Bijna elke Nederlandse organisatie laat medewerkers jaarlijks een module over phishing doorlopen. Het grootste onderzoek dat ooit naar die aanpak is gedaan, komt tot een ongemakkelijke conclusie: het maakt nauwelijks verschil. Dat is meer dan een academische kwestie. Op 15 augustus 2026 treedt de Cyberbeveiligingswet in werking, de Nederlandse invulling van de Europese NIS2-richtlijn, waarmee voor ruim achtduizend organisaties een zorgplicht ontstaat waar bewustwording onder medewerkers expliciet deel van uitmaakt. Wie die verplichting invult met een programma dat aantoonbaar weinig oplevert, voldoet formeel aan de wet en blijft materieel kwetsbaar.

Wat het grootste onderzoek tot nu toe aantoonde

Onderzoekers van UC San Diego en de University of Chicago volgden acht maanden lang ruim 19.500 medewerkers van een groot ziekenhuisconcern en stuurden hun tien verschillende gesimuleerde phishingcampagnes. Het was een gerandomiseerd onderzoek met controlegroep, gepresenteerd op het IEEE Symposium on Security and Privacy in mei 2025.

De uitkomst was ontnuchterend. Er bleek geen significant verband tussen het recent afronden van de verplichte jaarlijkse training en de kans om in een phishingmail te trappen. Ook de zogeheten embedded training, waarbij iemand die klikt direct uitleg krijgt, leverde weinig op: getrainde medewerkers faalden gemiddeld slechts 1,7 procent minder vaak dan ongetrainde collega’s. Naarmate het onderzoek vorderde, klikten juist méér mensen. Eén uitzondering viel op: interactieve training die daadwerkelijk werd afgemaakt, hing samen met 19 procent minder fouten. Het probleem was dat vrijwel niemand die training afmaakte.

Het programma is ontworpen om afgevinkt te worden

De meeste awarenessprogramma’s zijn gebouwd rond een registratiedoel, niet rond een gedragsdoel. Zolang het dashboard honderd procent voltooiing laat zien, geldt de verplichting als afgehandeld. Dat leidt tot een aantal terugkerende ontwerpfouten:

• Een module van 35 tot 40 minuten die één keer per jaar wordt aangeboden, terwijl medewerkers dagelijks aan verdachte berichten worden blootgesteld
• Generieke content die geen onderscheid maakt tussen een salarisadministrateur, een inkoper en een verpleegkundige, terwijl hun risicoprofielen sterk verschillen
• De aanname dat mensen falen uit onwetendheid, terwijl ze meestal falen onder tijdsdruk en in de waan van de dag
• Doorklikken als voltooiingscriterium, waardoor de training beloont dat je hem snel wegwerkt

Kennis is met andere woorden zelden de ontbrekende schakel. De meeste medewerkers weten prima dat phishing bestaat. Ze herkennen het alleen niet op het moment dat het ertoe doet, en dat is een ontwerpvraagstuk, geen kennisvraagstuk.

De verborgen kosten van simulaties

Er speelt nog iets. Wanneer organisaties phishingsimulaties koppelen aan zichtbare consequenties, van een verplichte extra module tot een gesprek met de leidinggevende, ontstaat schaamte. Medewerkers die vermoeden dat ze een fout hebben gemaakt, wachten dan liever af of het misgaat dan dat ze het zelf melden.

Deze versturen we 3-4x per jaar.