Het draagvlakprobleem

Wie een privacy- en security-awareness-programma ziet mislukken, zoekt de oorzaak meestal dicht bij het programma zelf. Misschien was de e-learning te saai, was de communicatie te dun of waren de medewerkers te druk. Soms ligt de oorzaak inderdaad in het programma zelf, bijvoorbeeld wanneer beveiliging en privacy over één kam worden geschoren terwijl ze om een andere aanpak vragen, zoals we lieten zien in Het verschil tussen security awareness en privacy awareness. In de praktijk gaat aan dat alles echter vaak iets anders vooraf: een management dat awareness samenvat als "het is toch gewoon een e-learning uitrollen", en dat er vervolgens niet meer budget, tijd en aandacht voor vrijmaakt dan voor een willekeurige softwarelicentie.

Dit rapport zet op een rij wat het wetenschappelijk onderzoek zegt over de rol van het management in awareness-programma's, waarom die rol zo zwaar weegt en hoe je als professional een terughoudend management toch meekrijgt.

01 · BevindingManagementbetrokkenheid is geen randvoorwaarde, maar een hoofdfactor

Het onderzoek naar de vraag waarom medewerkers zich wel of niet veilig gedragen, is omvangrijk. De meest volledige samenvatting is de meta-analyse van Cram, D'Arcy en Proudfoot (2019) in MIS Quarterly, waarin 95 empirische studies en 401 onderzochte variabelen werden teruggebracht tot zeventien categorieën van factoren die de naleving van beveiligingsbeleid voorspellen. De rode draad uit deze en latere overzichtsstudies is dat de doorslaggevende factoren niet technisch zijn, maar organisatorisch: de houding en de persoonlijke normen van medewerkers, de sociale omgeving waarin zij werken en de organisatiecultuur. Opvallend genoeg blijkt het klassieke instrument van veel managers, het belonen en straffen, juist een van de zwakste voorspellers te zijn.

Een systematische literatuurstudie over de periode 2001 tot en met 2023 komt tot dezelfde kern: de steun van het topmanagement en de organisatiecultuur behoren, samen met de ervaren effectiviteit van de maatregelen, tot de bepalende factoren voor nalevingsgedrag (García de Blanes-Sebastián e.a., 2025). En in de overzichtsstudie van Khando en collega's (2021), die specifiek keek naar manieren om het beveiligingsbewustzijn van medewerkers te vergroten, komt de deelname van het management naar voren als een van de factoren met het sterkste effect op dat bewustzijn.

Hetzelfde beeld ontstaat wanneer je het niet aan de literatuur vraagt, maar aan de mensen die awareness-programma's bouwen. Alyami en collega's (2023, 2024) interviewden ervaren professionals in de Verenigde Staten, het Verenigd Koninkrijk, Ierland en het Midden-Oosten, en leidden daaruit elf kritieke succesfactoren af voor de effectiviteit van programma's voor security, educatie, training en awareness, geordend langs de levenscyclus van zo'n programma. De steun van het management en de beschikbaarheid van middelen lopen daar als voorwaarde doorheen: zonder die basis komen de overige succesfactoren, zoals maatwerk en doorlopende evaluatie, eenvoudigweg niet van de grond.

De conclusie van deze eerste bevinding is daarmee duidelijk. De betrokkenheid van het management is in het onderzoek geen wenselijke bijkomstigheid, maar een van de hoofdfactoren die bepalen of een awareness-programma het gedrag van medewerkers verandert.

02 · BevindingBetrokkenheid werkt via cultuur en voorbeeldgedrag, niet via de aankondigingsmail

Hoe werkt die invloed van het management dan precies? De klassieke studie hierover is die van Hu, Dinev, Hart en Cooke (2012) in Decision Sciences. Zij brachten de rol van het topmanagement en de organisatiecultuur onder in de gedragstheorie van gepland gedrag en toetsten dat model met vragenlijstonderzoek en structurele vergelijkingsmodellen. De uitkomst: de deelname van het topmanagement aan beveiligingsinitiatieven heeft zowel een directe als een indirecte invloed op de houding van medewerkers tegenover naleving, op de sociale norm die zij ervaren en op de mate waarin zij zichzelf in staat achten om het goede te doen. Een belangrijk deel van die invloed loopt via de organisatiecultuur: het management vormt de cultuur, en de cultuur vormt het gedrag.

Het sleutelwoord in die studie is deelname, en dat is geen toeval. De onderzoekers maken een nadrukkelijk onderscheid tussen actieve deelname van het management en steun op afstand. Een directie die het programma goedkeurt en er verder niet meer naar omkijkt, geeft steun. Een directie die zelf als eerste de training doorloopt, daarover vertelt in het werkoverleg en ernaar vraagt in de kwartaalgesprekken, neemt deel. Alleen die tweede vorm verandert wat medewerkers als normaal beschouwen.

Onderzoek naar leiderschapsstijlen bevestigt dat. Guhr, Lebek en Breitner (2019) verbonden het zogeheten full-range leiderschapsmodel aan het beveiligingsgedrag van medewerkers, en vonden dat inspirerend en betrokken leiderschap niet alleen de bereidheid vergroot om de regels te volgen, maar ook de bereidheid om actief bij te dragen, bijvoorbeeld door incidenten te melden of collega's aan te spreken. Passief leiderschap, dat pas in beweging komt wanneer er iets misgaat, laat die effecten niet zien. En in de overzichtsstudie van Uchendu, Nurse, Bada en Furnell (2021) over het bouwen van een veiligheidscultuur wordt managementsteun uitgesplitst in twee dimensies: het belang dat het management aan beveiliging hecht, en de inzet die het er zichtbaar voor toont. Volledige steun én betrokkenheid van de top blijken nodig, want het een werkt niet zonder het ander.

Voor de praktijk betekent dit dat de gebruikelijke invulling van managementbetrokkenheid, een aankondigingsmail bij de start van de campagne, vrijwel niets oplevert. Medewerkers lezen die mail, kijken vervolgens naar het gedrag van hun eigen leidinggevende en richten zich daarnaar. Een directeur die zijn wachtwoord deelt met zijn managementassistent, vertelt de organisatie meer over het belang van beveiliging dan tien campagnes bij elkaar.

03 · VerklaringHet management beheert de gelegenheid, en die is niet te koop bij een leverancier

Waarom is de rol van het management dan zo doorslaggevend, terwijl het de training zelf zelden ontwikkelt of verzorgt? Het antwoord wordt zichtbaar zodra je het COM-B-model uit de gedragswetenschap ernaast legt (Michie, van Stralen en West, 2011). Veilig gedrag ontstaat pas wanneer drie dingen samenkomen: de capaciteit (kennis en vaardigheid), de motivatie (de wil) en de gelegenheid (de fysieke en sociale ruimte om het goede te doen).

Een e-learning levert de capaciteit, en bij een goed ontwerp ook een deel van de motivatie. De gelegenheid kan een leverancier echter niet leveren, want die ligt vrijwel volledig in handen van het management. Het management bepaalt of medewerkers de training onder werktijd mogen volgen of dat die er 's avonds bij moet komen. Het bepaalt of er budget is voor herhaling en maatwerk, of alleen voor een eenmalige licentie. En het bepaalt of awareness een vast punt is op de agenda van het werkoverleg, of een jaarlijkse verplichting die teamleiders snel wegklikken. Via de sociale norm en het voorbeeldgedrag uit de vorige paragraaf bepaalt het bovendien een flink deel van de motivatie.

Daarmee valt de redenering "het is toch gewoon een e-learning uitrollen" op haar plaats. Wie zo redeneert, koopt van de drie voorwaarden voor gedragsverandering alleen de eerste in en laat juist de twee voorwaarden liggen die alleen de organisatie zelf kan leveren. Dat is geen detail. De meta-analyse van Prümmer, van Steen en van den Berg (2024), die we ook in ons rapport over phishingsimulaties aanhaalden, laat zien dat training het gedrag pas merkbaar verandert wanneer zij actief, herhaald en op de doelgroep afgestemd is. Herhaling kost tijd onder werktijd, maatwerk kost budget en actieve werkvormen vragen de aandacht van leidinggevenden. De vormen van training die aantoonbaar werken, zijn dus precies de vormen die zonder managementbetrokkenheid als eerste worden wegbezuinigd.

Bada, Sasse en Nurse (2015) beschreven al waarom awareness-campagnes zo vaak geen gedrag veranderen: ze zenden informatie zonder de omgeving te veranderen, ze zijn eenmalig in plaats van doorlopend, en ze worden niet verankerd in de organisatie. Elk van die drie faalfactoren komt in de kern voort uit een beslissing, of het uitblijven daarvan, op managementniveau.

Eén kanttekening is hier op haar plaats. Het meeste onderzoek in dit veld is correlationeel: het laat sterke en consistente verbanden zien, maar bewijst niet in strikte zin dat het ontbreken van managementbetrokkenheid de oorzaak van het falen is. Wat wel vaststaat, is dat de betrokkenheid van het management tot de sterkste voorspellers van succes behoort, en dat het ontbreken ervan precies de mechanismen ondermijnt waarvan gedragsverandering afhangt: de cultuur, de sociale norm en de gelegenheid om te leren. Voor de praktijk is dat onderscheid minder belangrijk dan het klinkt. De vraag is immers niet wie schuld heeft wanneer een programma faalt, maar welke voorwaarden je vooraf moet regelen om het te laten slagen.

04 · AanpakZo overtuig je het management

De voorgaande bevindingen leiden tot een ongemakkelijke maar bruikbare conclusie: het overtuigen van het management is geen randactiviteit naast het awareness-programma, maar de eerste fase ervan. Het onderzoek, aangevuld met bestuursonderzoek van MIT Sloan en Bentley University onder bestuurders en commissarissen (Proudfoot, Cram, Madnick en Coden, 2023), wijst op vijf stappen.

1. Begin bij de zorgplicht en niet bij de dreiging.Angstbeelden over hackers doen weinig met een bestuur; het besef van de eigen verantwoordelijkheid des te meer. De Cyberbeveiligingswet, de Nederlandse uitvoering van de Europese NIS2-richtlijn, legt de verantwoordelijkheid voor de beheersmaatregelen uitdrukkelijk bij het bestuur: het moet de maatregelen goedkeuren, toezien op de uitvoering en kan bij verwaarlozing persoonlijk aansprakelijk worden gesteld. Bestuurders zijn bovendien verplicht zelf een opleiding te volgen en worden geacht hun medewerkers vergelijkbare training aan te bieden (Richtlijn (EU) 2022/2555, artikel 20). Awareness is daarmee geen aanbod vanuit de CISO, maar een wettelijke taak van het bestuur waarbij de CISO ondersteunt. Dat verandert de toon van het gesprek volledig.
2. Vraag niet om draagvlak, maar om gedrag."Wij rekenen op de steun van de directie" levert instemmend geknik op en verandert niets. Vraag in plaats daarvan om drie of vier concrete, kleine gedragingen die samen wél het verschil maken: het management volgt de training zelf en als eerste, vertelt daarover in een eigen bericht of overleg, zet het onderwerp vast op de eigen vergaderagenda en vraagt leidinggevenden geregeld naar de voortgang in hun teams. Dit zijn de vormen van deelname en voorbeeldgedrag waarvan het onderzoek het effect aantoont (Hu e.a., 2012; Khando e.a., 2021), en ze kosten een bestuurder hooguit enkele uren per jaar.
3. Maak de gelegenheid een uitdrukkelijk onderdeel van het besluit.Leg het management niet de aanschaf van een e-learning voor, maar een besluit met drie onderdelen: de inhoud (het programma), de gelegenheid (leertijd onder werktijd, een ritme van herhaling en ruimte voor maatwerk per doelgroep) en de eigen rol van het management (de gedragingen uit stap 2). Wie alleen het eerste onderdeel laat goedkeuren, organiseert het mislukken van de andere twee. Maak daarbij de kosten van de gelegenheid zichtbaar in uren per medewerker per jaar, zodat het bestuur weet waarover het werkelijk beslist.
4. Rapporteer in de taal van risico's en niet in voltooiingspercentages.Het bestuursonderzoek laat zien dat bestuurders worstelen met cybersecurity doordat de informatie die zij krijgen te technisch of te oppervlakkig is (Proudfoot e.a., 2023). Een voltooiingspercentage van de e-learning zegt een bestuur niets en versterkt juist het beeld van awareness als afvinkproduct. Rapporteer in plaats daarvan op indicatoren die gedrag en risico raken, zoals het meldgedrag bij verdachte berichten, de uitkomsten per risicogroep en de restrisico's die het bestuur accepteert. Zo wordt awareness onderdeel van de risicodialoog waarin een bestuur zich thuis voelt, en waarop het volgens de Cyberbeveiligingswet ook móét sturen.
5. Gebruik de wetenschap als breekijzer.Op "het is toch gewoon een e-learning uitrollen" bestaat een kort en eerlijk antwoord: dat is al geprobeerd en onderzocht, en zo werkt het niet. Eenmalige, passieve voorlichting verandert het gedrag nauwelijks; programma's met herhaling, maatwerk en zichtbare managementbetrokkenheid doen dat wel (Prümmer e.a., 2024; Bada e.a., 2015; Cram e.a., 2019). Wie als bestuur kiest voor de kale e-learning, kiest dus willens en wetens voor de variant waarvan de beperkte werking is aangetoond. Weinig besturen willen die keuze zwart-op-wit in de notulen terugzien.

05 · ConclusieNiet de e-learning, maar de weerklank

In ons rapport over phishingsimulaties was de conclusie dat het probleem niet bij de medewerker ligt. De conclusie van dit rapport is daarvan de spiegel: het probleem ligt meestal ook niet bij de e-learning. Een awareness-programma verandert gedrag pas wanneer kennis, motivatie en gelegenheid samenkomen. Van die drie levert de leverancier alleen de kennis en hooguit een deel van de motivatie. De rest moet uit de organisatie zelf komen, en dat is de weerklank die het programma daar krijgt: de leidinggevende die het er wel of niet over heeft, de tijd die er wel of niet voor wordt vrijgemaakt en de directeur die zelf wel of niet doet wat het beleid vraagt.

Het wetenschappelijk onderzoek is daarover opvallend eensgezind. De betrokkenheid van het management behoort tot de sterkste voorspellers van veilig gedrag, zij werkt via cultuur en voorbeeldgedrag in plaats van via aankondigingen, en haar afwezigheid verklaart waarom zoveel programma's verworden tot een jaarlijkse klikverplichting. Voor de professional betekent dit dat het gesprek met het management geen voorwerk is, maar de kern van het vak. En sinds de Cyberbeveiligingswet, de Nederlandse uitvoering van NIS2, staat die professional in dat gesprek sterker dan ooit: de vraag is niet langer of het bestuur betrokken wil zijn bij awareness, maar of het zijn wettelijke taak wil uitvoeren met de aanpak waarvan de werking is aangetoond.