Juni 2026. ISO 27001 vraagt aantoonbare awareness, niet alleen een policy op het intranet. Certificerende instellingen kijken naar deelname, follow-up en effect: wie voltooide training, wat gebeurde na phishing-failures, hoe rapporteert u trends aan bestuur?
Programma op MKB-schaal
- onboarding binnen week 1: MFA, phishing melden, wachtwoordbeleid;
- quarterly micro-learning (5–10 min) i.p.v. jaarlijkse marathon;
- gesimuleerde phishing met coaching, geen schuld-spel;
- metrics: click-rate, meldrate, training completion, in management review.
Koppeling met controls
Map awareness op Annex A (personeel, toegang, incidentmelding). Leg in SoA vast hoe u effect meet, bijvoorbeeld dalende click-rate of stijgende meldrate. Auditors accepteren pragmatische metrics voor MKB.
Praktische tips
- Bestuur doet mee, zichtbaar in eerste campagne.
- Beloon melden van verdachte mail, niet alleen straf voor misclicks.
- Link naar ISMS en NCSC-basismaatregelen.
Ransomware start vaak bij een gebruiker, awareness is geen nice-to-have maar onderdeel van risicobehandeling. Documenteer budget en eigenaar; “HR doet wel iets” is onvoldoende bij surveillance.
Cultuur meten zonder blame
Phishing-simulaties werken het best met directe uitleg na misclick, wat had gemeld moeten worden, hoe melden, waarom het ertoe doet. Publiceer aggregate metrics naar bestuur, geen naam-en-shame lijsten.
Koppel awareness aan HR: onboarding, rolwijziging, offboarding. Nieuwe medewerkers zijn vaak het zwakste punt in de eerste weken.
Documenteer budget en tooling in management review, “gratis YouTube” zonder eigenaar en planning is onvoldoende bij ISO 27001 surveillance.
Vervolgstappen in uw ISMS
Vertaal dit artikel naar één concrete actie in uw risicoregister of verbeterplan: eigenaar, deadline, gewenst bewijs. Bespreek voortgang in het eerstvolgende management review-overleg, auditors en ketenpartners willen besluiten zien, niet alleen beleidsintentie. Koppel waar mogelijk aan bestaande ISO 27001-, NIS2- of AVG-documentatie zodat u geen parallelle mappen onderhoudt.
Heeft u vragen over scope, certificering of keteneisen? Gebruik onze readiness-overzicht en kennisbank-pagina’s voor diepere guidance. Dit artikel vervangt geen juridisch of auditorisch advies voor uw specifieke situatie.
Deel relevante bevindingen kort met lijnmanagement en inkoop, compliance wordt pas werkbaar wanneer de hele organisatie dezelfde prioriteiten herkent. Herhaal de gekozen actie kwartaal in teamoverleg en update evidence-locaties in uw SoA of controleplan zodat surveillance steekproeven snel te beantwoorden zijn.