Oktober is in de hele EU de European Cybersecurity Month (ECSM), een jaarlijkse campagne die wordt gecoördineerd door ENISA en de Europese Commissie. Een mooi moment om aandacht te vragen voor cyberveilig gedrag, en om er een programma van te maken dat niet na oktober stopt.
Het is ook een moment om uzelf een eerlijke vraag te stellen: is awareness in uw organisatie een campagne die in oktober begint en in november weer wegzakt, of een aantoonbaar onderdeel van het managementsysteem?
Waarom een campagne alleen niet genoeg is
Bij het merendeel van de beveiligingsincidenten speelt menselijk handelen een rol. Een medewerker klikt op een phishinglink, hergebruikt een wachtwoord of laat een instelling open staan die dicht had gemoeten. Techniek vangt veel af, maar niet alles. Gedrag is dus een beheersmaatregel, net als een firewall of multifactor-authenticatie.
Het probleem met een eenmalige campagne is niet de inhoud, maar het ontbreken van een vervolg. Posters worden weggehaald, de quiz is gedaan, en niemand kan een half jaar later nog zeggen wie er heeft meegedaan, wat er is geleerd en of het gedrag daadwerkelijk is veranderd. Precies dat laatste is wat een auditor of toezichthouder wil weten.
Wat normen en wetten van u vragen
Bewustzijn is geen vrijblijvend onderwerp meer. Drie kaders die u waarschijnlijk herkent:
ISO 27001:2022
Clausule 7.2 vraagt dat u de benodigde competenties bepaalt, invult en daarvan bewijs bewaart. Clausule 7.3 vraagt dat medewerkers zich bewust zijn van het informatiebeveiligingsbeleid, hun eigen bijdrage en de gevolgen van het niet naleven ervan. Control 6.3 uit Annex A (bewustzijn, opleiding en training) maakt dat concreet: periodieke awareness, passend bij de functie, en actueel gehouden.
Cyberbeveiligingswet
De Cyberbeveiligingswet verplicht bestuurders van essentiële en belangrijke entiteiten om opleiding te volgen en hun kennis actueel te houden. Daarnaast moedigt de wet organisaties aan om medewerkers periodiek te trainen. Aantoonbaarheid staat centraal: het bestuur moet kunnen laten zien dat dit is georganiseerd.
NEN 7510
Voor de zorg vraagt NEN 7510 hetzelfde. Wie met patiëntgegevens werkt, moet weten wat er van hem of haar wordt verwacht, en de organisatie moet dat kunnen onderbouwen.
De gemene deler: het gaat niet om de vraag of u aan awareness doet, maar of u kunt aantonen wie wanneer wat heeft geleerd en welk effect dat had.
Een programma voor oktober: drie stappen
De cybersecuritymaand is een goed startmoment voor een compact programma dat u ieder jaar herhaalt. Geef elke stap een eigenaar, een deadline en bewijs. Een opzet die in de praktijk goed werkt:
Zo is oktober geen losse campagne, maar het begin van een cyclus van meting, registratie en herhaling. De uitdaging zit zelden in de eerste ronde, maar in het volhouden ervan.
Meten en vastleggen: zo wordt gedrag aantoonbaar
Wilt u in december, of bij de audit in het voorjaar, kunnen laten zien wat oktober heeft opgeleverd? Zorg dan dat u per activiteit het volgende vastlegt:
Zonder deze zes punten blijft awareness een gevoel. Met deze punten wordt het een beheerste maatregel, met bewijs.
Hoe uComply helpt
Naast advies en hulp bij de drie stappen maakt uComply het makkelijker om het programma jaar na jaar vol te houden, met het bewijs op één plek. In uComply legt u de awareness-activiteiten van oktober vast als taken met een eigenaar en een deadline, gekoppeld aan de bijbehorende maatregel voor control 6.3 en clausule 7.2 van ISO 27001, of aan de opleidingsplicht uit het Cbw/NIS2-controlframework. Omdat u één maatregel aan meerdere normeisen koppelt, telt dezelfde campagne direct mee voor ISO 27001, NEN 7510 en de Cyberbeveiligingswet. Presentielijsten van de awareness-sessies, het overzicht van de uitrol van de wachtwoordmanager en het rapport van de phishingsimulatie koppelt u als bewijs aan de maatregel, zodat de onderbouwing bij de audit niet meer gezocht hoeft te worden.
Met Reminders en geplande taken plant u de jaarlijkse herhaling in één keer als serie; uComply herinnert de eigenaar automatisch vóór de deadline en taken verschijnen gewoon in Outlook. Het Flightdeck-dashboard toont de implementatiestatus van de controls en de voortgang per norm, zodat management en bestuur zien dat awareness geen losse actie is maar een werkende maatregel. Voor de invulling helpen de templates voor communicatieplannen en awareness-acties uit de content packs.
Samenvatting
De cybersecuritymaand start op 1 oktober 2026 en is een goed moment om awareness op de agenda te zetten. Organiseer wat een losse campagne niet biedt: awareness-sessies, een wachtwoordmanager voor iedereen, een phishingsimulatie als meting, bewijs gekoppeld aan de norm en een vaste jaarlijkse herhaling. Zo voldoet u aan ISO 27001, NEN 7510 en de Cyberbeveiligingswet met dezelfde inspanning, en kunt u dat ook laten zien. Met uComply geeft u het programma eenvoudig continuïteit.
Wilt u hiermee aan de slag? Neem contact op voor een vrijblijvende offerte voor een phishingcampagne, een wachtwoordmanager of een awareness-sessie. Benieuwd hoe u awareness als aantoonbare maatregel in uw managementsysteem opneemt? Plan een vrijblijvende demo.
