Nederland – Bijna elke Nederlandse organisatie laat medewerkers jaarlijks een module over phishing doorlopen. Het grootste onderzoek dat ooit naar die aanpak is gedaan, komt tot een ongemakkelijke conclusie: het maakt nauwelijks verschil. Dat is meer dan een academische kwestie. Op 15 augustus 2026 treedt de Cyberbeveiligingswet in werking, de Nederlandse invulling van de Europese NIS2-richtlijn, waarmee voor ruim achtduizend organisaties een zorgplicht ontstaat waar bewustwording onder medewerkers expliciet deel van uitmaakt. Wie die verplichting invult met een programma dat aantoonbaar weinig oplevert, voldoet formeel aan de wet en blijft materieel kwetsbaar.
Wat het grootste onderzoek tot nu toe aantoonde
Onderzoekers van UC San Diego en de University of Chicago volgden acht maanden lang ruim 19.500 medewerkers van een groot ziekenhuisconcern en stuurden hun tien verschillende gesimuleerde phishingcampagnes. Het was een gerandomiseerd onderzoek met controlegroep, gepresenteerd op het IEEE Symposium on Security and Privacy in mei 2025.
De uitkomst was ontnuchterend. Er bleek geen significant verband tussen het recent afronden van de verplichte jaarlijkse training en de kans om in een phishingmail te trappen. Ook de zogeheten embedded training, waarbij iemand die klikt direct uitleg krijgt, leverde weinig op: getrainde medewerkers faalden gemiddeld slechts 1,7 procent minder vaak dan ongetrainde collega’s. Naarmate het onderzoek vorderde, klikten juist méér mensen. Eén uitzondering viel op: interactieve training die daadwerkelijk werd afgemaakt, hing samen met 19 procent minder fouten. Het probleem was dat vrijwel niemand die training afmaakte.
Het programma is ontworpen om afgevinkt te worden
De meeste awarenessprogramma’s zijn gebouwd rond een registratiedoel, niet rond een gedragsdoel. Zolang het dashboard honderd procent voltooiing laat zien, geldt de verplichting als afgehandeld. Dat leidt tot een aantal terugkerende ontwerpfouten:
- Een module van 35 tot 40 minuten die één keer per jaar wordt aangeboden, terwijl medewerkers dagelijks aan verdachte berichten worden blootgesteld
- Generieke content die geen onderscheid maakt tussen een salarisadministrateur, een inkoper en een verpleegkundige, terwijl hun risicoprofielen sterk verschillen
- De aanname dat mensen falen uit onwetendheid, terwijl ze meestal falen onder tijdsdruk en in de waan van de dag
- Doorklikken als voltooiingscriterium, waardoor de training beloont dat je hem snel wegwerkt
Kennis is met andere woorden zelden de ontbrekende schakel. De meeste medewerkers weten prima dat phishing bestaat. Ze herkennen het alleen niet op het moment dat het ertoe doet, en dat is een ontwerpvraagstuk, geen kennisvraagstuk.
De verborgen kosten van simulaties
Er speelt nog iets. Wanneer organisaties phishingsimulaties koppelen aan zichtbare consequenties, van een verplichte extra module tot een gesprek met de leidinggevende, ontstaat schaamte. Medewerkers die vermoeden dat ze een fout hebben gemaakt, wachten dan liever af of het misgaat dan dat ze het zelf melden.
Dat is schadelijk, want melden is juist de gedraging met de meeste waarde. Een aanval die binnen tien minuten wordt gemeld, is beheersbaar; dezelfde aanval die na drie dagen aan het licht komt, is dat meestal niet. Door het klikpercentage als belangrijkste graadmeter te nemen, sturen organisaties op de verkeerde uitkomst en ontmoedigen ze de reactie die ze het hardst nodig hebben. Dit geldt ongeacht of de aanval zich voordoet als een bank, een leverancier of fortunica casino.
Wat er wel bijdraagt aan weerbaarheid
Het alternatief is geen betere training, maar een andere rolverdeling. De onderzoekers concluderen zelf dat training niet als primaire verdedigingslinie kan functioneren en dat organisaties moeten inzetten op een gelaagde aanpak waarin techniek het zware werk doet.
In de praktijk betekent dat: phishingbestendige meervoudige authenticatie, zodat een gestolen wachtwoord op zichzelf onvoldoende is; scherpe e-mailfiltering die het volume verdachte berichten omlaag brengt; en meldprocedures die zo laagdrempelig zijn dat een medewerker binnen één handeling alarm kan slaan. De CISO van het onderzochte ziekenhuis verschoof daarnaast naar kortere, rolgerichte sessies, vaak in persoon en toegespitst op de fraudevormen die een specifieke afdeling daadwerkelijk tegenkomt. Training verdwijnt dus niet, maar krijgt een bescheidener en gerichtere taak.
Vertaal de zorgplicht naar meetbare weerbaarheid
De conclusie is niet dat bewustwording zinloos is, maar dat de gangbare invulling ervan te veel gewicht draagt. Met de Cyberbeveiligingswet komt de bewijslast bovendien nadrukkelijk bij het bestuur te liggen, en een voltooiingspercentage is geen bewijs van weerbaarheid.
Begin daarom met één concrete verschuiving: meet vanaf komend kwartaal hoe snel verdachte berichten worden gemeld in plaats van hoeveel mensen erop klikken, en verwijder elke consequentie die melden bestraft. Bekijk vervolgens of uw meervoudige authenticatie bestand is tegen phishing. Die twee stappen leveren aantoonbaar meer op dan een extra module, en ze zijn ruim voor de eerste toezichtsronde te realiseren.
