Wat houdt deze control in?
Alle medewerkers en relevante contractanten moeten regelmatig bewustwordingstraining ontvangen over informatiebeveiliging, afgestemd op hun rol.
Waarom is dit verplicht?
De meeste beveiligingsincidenten hebben een menselijke factor; training is een van de meest effectieve maatregelen.
Praktische implementatie
- Stel een jaarlijks bewustwordingsprogramma op
- Gebruik phishing-simulaties om gedrag te testen
- Geef rolspecifieke training aan beheerders en ontwikkelaars
- Registreer deelname als bewijs voor audits
Aandachtspunten voor de overheid
Let op: naast het algemene bewustwordingsprogramma kent de Cyberbeveiligingswet een aparte opleidingsplicht voor bestuurders. Zij moeten uiterlijk twee jaar na inwerkingtreding van de wet — dus vóór 15 augustus 2028 — aantoonbaar over voldoende kennis en vaardigheden beschikken en die actueel houden. Na afronding volgt een certificaat; de eisen aan de training staan in het Cyberbeveiligingsbesluit. Er is geen voorgeschreven aanbieder: je mag de training zelf organiseren, bijvoorbeeld met ondersteuning van de CISO. Voor gemeenten biedt de IBD (Informatiebeveiligingsdienst) kant-en-klare bewustwordingsmaterialen.
Relatie met andere controls
Verbonden met 6.2 (arbeidsvoorwaarden, contractuele verankering en instructie bij aanstelling), 6.4 (disciplinaire procedure), 5.4 (managementverantwoordelijkheden), 5.10 (gedragsregels voor bedrijfsmiddelen; medewerkers worden daar aantoonbaar op gewezen, 5.10.03), 6.7 (werken op afstand), 6.8 (meldingsprocedure; medewerkers kennen die aantoonbaar, 6.08.01), 7.6 (regels voor werken in beveiligde zones), 7.7 (clear desk / clear screen, ook thuis) en 8.1 (veilig mobiel werken; zie overheidsmaatregel 6.03.04).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je zorgt dat alle medewerkers en relevante contractanten regelmatig bewustwordingstraining krijgen, afgestemd op hun rol. De overheidsmaatregelen zijn hier concreet: iedereen — inclusief lijnmanagers en bestuurders — kent de IB-regels en -verplichtingen; nieuwe medewerkers en contractanten volgen binnen drie maanden aantoonbaar een training I-bewustzijn; het management stimuleert deelname actief; en veilig mobiel werken is een expliciet onderdeel van het programma. De meeste incidenten hebben een menselijke factor, waardoor training een van de meest effectieve maatregelen is.
Passende maatregelen
5 basismaatregelen + 1 verdieping.
- ›Stel een jaarlijks bewustwordingsprogramma op waarin alle medewerkers, lijnmanagers en bestuurders de IB-regels en -verplichtingen leren kennen.
- ›Zorg dat alle medewerkers en contractanten binnen drie maanden na indiensttreding aantoonbaar een training I-bewustzijn succesvol volgen.
- ›Neem gedragsaspecten van veilig mobiel werken expliciet op in het bewustwordingsprogramma.
- ›Laat het management bij aanstelling, overplaatsing en in werkoverleggen het belang van IB-opleiding benadrukken en periodieke deelname stimuleren.
- ›Registreer deelname aan trainingen als bewijs voor audits.
- ›Gebruik phishing-simulaties om gedrag te testen en geef rolspecifieke training aan beheerders en ontwikkelaars.verdieping
Bewijs dat je kunt verzamelen
- ›Het vastgestelde (jaarlijkse) bewustwordingsprogramma
- ›Deelnameregistratie waaruit blijkt dat medewerkers/contractanten binnen drie maanden de training I-bewustzijn volgden
- ›Materiaal waaruit blijkt dat veilig mobiel werken is behandeld
- ›Resultaten van phishing-simulaties (indien toegepast)
- ›Communicatie/notulen waaruit de managementstimulans blijkt
Wat je bij een audit moet kunnen aantonen
- ›Dat alle medewerkers, lijnmanagers en bestuurders de IB-regels aantoonbaar kennen
- ›Dat nieuwe medewerkers en contractanten binnen drie maanden de training succesvol volgden
- ›Dat veilig mobiel werken onderdeel is van het programma
- ›Dat het management deelname aantoonbaar stimuleert en dat deelname wordt geregistreerd
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een jaarlijks bewustwordingsprogramma vastgesteld dat alle doelgroepen en veilig mobiel werken dekt?
- ›Is een proces ingericht om nieuwe medewerkers binnen drie maanden te trainen?
- ›Is registratie van deelname geregeld?
- ›Hebben medewerkers en contractanten de training daadwerkelijk (op tijd) gevolgd?
- ›Is de deelname geregistreerd en aantoonbaar?
- ›Benadrukt het management het belang aantoonbaar?
- ›Wordt het programma jaarlijks herhaald en geactualiseerd?
- ›Worden nieuwe medewerkers structureel binnen drie maanden getraind?
- ›Leidt de training aantoonbaar tot beter gedrag (bijv. via phishing-resultaten)?
Gekoppelde overheidsmaatregel(en)
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.