NIS2 en security awareness: wat de wet vraagt en hoe je het aantoont

TL;DR

• NIS2 noemt basishygiëne en cybersecuritytraining als verplichte maatregelen (artikel 21) en verplicht het bestuur om zelf training te volgen (artikel 20).
• De richtlijn legt geen vorm, frequentie of leverancier op. Een toezichthouder of auditor kijkt of de training regelmatig is, iedereen bereikt en een spoor achterlaat.
• Dat spoor is een kleine set documenten: een programma op een pagina, aanwezigheid per groep, simulatieresultaten door de tijd en een meldweg die mensen echt gebruiken.
• Een bedrijf van 50 tot 500 mensen bouwt dat in vier kwartalen zonder complianceafdeling.
• Een jaarlijkse e-learning op zich voldoet slecht aan de letter en helemaal niet aan de geest.

Val je onder NIS2, of lever je aan een bedrijf dat eronder valt, dan vraagt iemand je vroeg of laat wat je doet aan de menselijke kant van beveiliging. De meeste bedrijven zoeken dan een certificaat van een e-learningplatform op en hopen dat het volstaat. Meestal is dat niet zo, en in dit artikel lees je waarom. We bekijken wat artikel 20 en 21 echt zeggen over training, hoe België dat in een wet heeft gegoten, en welke vijf documenten een auditor of een grote klant wil zien. Je krijgt ook een volgorde in vier kwartalen om die documenten op te bouwen als je van nul start. Sectricity verzorgt de trainingskant via het security awareness programma en de technische kant via de NIS2-oplossing; dit artikel gaat over het papierwerk daartussen, zodat je weet wat je van elke aanbieder mag vragen, ook van ons.

Wat NIS2 zegt over security awareness

Artikel 21, lid 2 van Richtlijn (EU) 2022/2555 somt de minimale maatregelen op, en punt g noemt basispraktijken voor cyberhygiëne en opleiding op het gebied van cyberbeveiliging; punt i voegt personeelsbeveiliging toe. Artikel 20, lid 2 verplicht de leden van het bestuursorgaan om zelf opleiding te volgen en vraagt om die opleiding regelmatig ook aan medewerkers aan te bieden. De rest van de richtlijn staat in onze uitleg over NIS2.

Hoe België en Nederland het toepassen

België zette NIS2 om met de wet van 26 april 2024, van kracht sinds 18 oktober 2024, met het Centrum voor Cybersecurity België (CCB) als toezichthouder en het CyberFundamentals Framework als praktische meetlat, dat een eigen categorie heeft voor awareness en training. In Nederland loopt de omzetting via de Cyberbeveiligingswet; controleer de actuele stand bij het NCSC voor je op een datum rekent.

Wie ermee te maken krijgt

Essentiële en belangrijke entiteiten in de genoemde sectoren hebben de plicht rechtstreeks. Hun leveranciers krijgen ze onrechtstreeks, via contractclausules en vragenlijsten, en daarom beantwoordt een IT-bedrijf van 60 mensen of een logistiek bedrijf buiten de scope toch dezelfde vragen.

Wat "regelmatige training" in de praktijk betekent

De richtlijn geeft geen getal. Toezichthouders en auditors lezen het in de praktijk als training bij onboarding, minstens jaarlijks een opfrissing, extra sessies voor rollen met geld of beheerrechten, en een apart dossier voor het bestuur.

Het bewijs waar een auditor echt naar kijkt

Een programma op een pagina

Wie eigenaar is van awareness, welke groepen er zijn (alle medewerkers, finance, IT, directie, nieuwe starters), wat elke groep krijgt en wanneer. Een pagina is meer waard dan een beleid van 40 slides dat niemand leest.

Aanwezigheid en dekking per groep

Een lijst per sessie met datum, groep en wie erbij was, plus een regel over hoe afwezigen inhalen. Het gat dat auditors het vaakst vinden: de directie en de nieuwe medewerkers.

Resultaten door de tijd

Een nulmeting en minstens een latere meting, meestal een phishingsimulatie met klikpercentage en meldpercentage. Houd training en meting uit elkaar: Swishing traint het beslismoment, een phishingtest meet het, en de trainingsgids legt uit welke cijfers iets zeggen.

Een meldweg die mensen gebruiken

Waar medewerkers een verdachte mail of een fout melden, wie het oppikt en hoe snel. Een schermafbeelding van de knop en drie recente tickets zeggen meer dan een procedure.

Betrokkenheid van het bestuur

Een bewijs dat het bestuursorgaan de training volgde en een regel in de notulen waar de resultaten besproken zijn. Artikel 20 maakt dit persoonlijk; een korte sessie voor de directie dekt het in een halve dag.

Een plan in vier kwartalen voor 50 tot 500 medewerkers

Kwartaal een: nulmeting en eigenaar

Benoem een eigenaar, schrijf het programma op een pagina, draai een eerste simulatie zonder ze als test aan te kondigen.

Kwartaal twee: iedereen een keer getraind, directie eerst

De directie gaat eerst, zodat het bewijs bestaat en zodat de rest van het bedrijf het ziet. Daarna alle medewerkers, in groepen klein genoeg om vragen te stellen.

Kwartaal drie: rolgerichte sessies en een tweede meting

Finance, HR en IT krijgen een sessie op hun eigen cases. Herhaal de simulatie en vergelijk met de nulmeting.

Kwartaal vier: review en de bewijsmap

Zet de vijf documenten in een map, bekijk wat veranderd is en plan jaar twee. Die map is wat je overhandigt als de vraag komt.

Gaten die auditors vaak vinden

De directie sloeg de training over. Nieuwe medewerkers kwamen na de sessie binnen en werden nooit ingehaald. Geen nulmeting, dus niemand kan verandering tonen. Een certificaat van een leverancier als bewijs van gedrag. Geen koppeling tussen awareness en het incidentproces.

Waar ISO 27001 en NIS2 elkaar overlappen

ISO/IEC 27001 vraagt om bewustwording, opleiding en training in beheersmaatregel A.6.3, en dezelfde vijf documenten dienen voor beide. Heb je het certificaat al, dan is het awarenessdeel van NIS2 vooral een kwestie van het bestuur en de meldweg toevoegen; de technische kant staat in onze uitleg over NIS2.

Veelgestelde vragen over NIS2 en security awareness

Is security awareness training verplicht onder NIS2?

Ja, voor essentiële en belangrijke entiteiten. Artikel 21, lid 2, punt g noemt opleiding op het gebied van cyberbeveiliging en basishygiëne als verplichte maatregelen, en artikel 20 verplicht het bestuur om zelf training te volgen. Hoe je dat doet zegt de richtlijn niet, en daarom telt het bewijs zwaarder dan de vorm.

Hoe vaak moet je security awareness training geven onder NIS2?

De richtlijn zegt "regelmatig" en laat het getal aan de lidstaten en de toezichthouders. In de praktijk komt dat neer op training bij onboarding, minstens een keer per jaar een opfrissing, en vaker voor rollen die betalingen of beheerrechten in handen hebben. Kies een ritme, schrijf het in het programma en houd je eraan.

Moet de directie ook training volgen?

Ja, en dat is het stuk dat de meeste bedrijven missen. Artikel 20, lid 2 verplicht de leden van het bestuursorgaan om opleiding te volgen zodat ze risico's en maatregelen kunnen beoordelen. Een halve dag voor het bestuur, met een getekende aanwezigheidslijst, sluit dat gat; onze sessie voor de directie is daarvoor gemaakt.

Welk bewijs heb ik nodig voor awareness training onder NIS2?

Vijf documenten dekken bijna elke vraag: het programma op een pagina, aanwezigheid per groep, een nulmeting en een latere meting, de meldweg met recente voorbeelden, en het bewijs van het bestuur. Bewaar ze in een map met een datum op elk stuk. Een auditor is tien minuten bezig met een nette map en een namiddag met een rommelige.

Telt een phishingsimulatie als training?

Een simulatie is een meting. Ze toont hoeveel mensen klikken en hoeveel er melden, en dat is het cijfer dat je in de bewijsmap nodig hebt. Training is wat ervoor en erna gebeurt: een sessie, een spel als Swishing, een dag in de Security Awareness Escape Truck. Je hebt beide nodig, en in het dossier mogen ze niet door elkaar lopen.

Wij vallen niet onder NIS2. Is dit dan nog van belang?

Valt een van je klanten eronder, dan stelt zijn leveranciersvragenlijst dezelfde vragen, want artikel 21 maakt de beveiliging van de toeleveringsketen zijn plicht. De vijf documenten klaar hebben is goedkoper dan elke vragenlijst opnieuw van nul beantwoorden. Twijfel je of je in scope valt, neem dan contact op en we bekijken het samen.

Gerelateerde diensten en bronnen

Begin met wat security awareness is als het begrip nieuw voor je is, lees daarna de trainingsgids voor het programma zelf en het artikel over een beveiligingsbewuste cultuur voor de lange termijn. Sectricity levert de training via het security awareness programma, het phishingspel Swishing en de Security Awareness Escape Truck, en dekt de technische kant van de richtlijn in de NIS2-oplossing.