Oktober 2026. Clausule 7.3 van ISO 27001 vraagt dat medewerkers zich bewust zijn van het beleid en hun rol. Auditors willen graag zien of dat bewustzijn ook effect heeft. Een lijst met afgeronde e-learnings bewijst dat training is aangeboden, niet dat die werkt. Dit zijn de indicatoren die er wel toe doen. Een bredere aanpak staat in ons artikel over security awareness in het MKB.
Deelname: noodzakelijk, niet voldoende
Houd bij welk percentage van de medewerkers de training heeft afgerond, inclusief nieuwe medewerkers binnen een vaste termijn na indiensttreding. Streef naar 100 procent bij verplichte onderdelen en leg uit waarom afwijkingen er zijn. Dit is de basis, geen eindpunt.
Meldgedrag: de belangrijkste indicator
Meet hoeveel verdachte e-mails medewerkers melden en hoe snel. Een stijgend meldpercentage laat vertrouwen en alertheid zien. Meet ook de tijd tussen ontvangst en melding. Een organisatie waar niemand meldt, is niet veiliger; het is een organisatie waar niemand het weet.
Phishing-simulaties: lees de cijfers goed
Simulaties geven een klikpercentage, maar vergelijk het met het meldpercentage en kijk naar de trend, niet naar een enkele meting. Straf individuen niet; gebruik de uitkomsten voor gerichte training. Zie ook security awareness training.
Incidenten door menselijk gedrag
Tel het aantal incidenten dat uit gedrag voortkomt, zoals verkeerd verstuurde e-mail of gedeelde wachtwoorden, en koppel dat aan de verbeteracties. Laat zien dat een incident leidt tot aangepaste training of regels. Dat sluit aan op uw incidentproces.
Vastleggen voor de auditor
Neem vier tot zes indicatoren op in uw KPI-dashboard, bespreek ze in de directiebeoordeling en bewaar het trainingsmateriaal, de aanwezigheids- of resultaatlijsten en de simulatierapporten. Voeg per afwijking toe wat u daaraan doet. Een auditor ziet liever een bescheiden maar levend meetsysteem dan een groot dashboard zonder opvolging.