Hoe kies je tussen SCORM en een standalone awareness platform?

De keuze tussen SCORM en een standalone awareness platform speelt vooral bij organisaties die al een LMS hebben draaien en zich afvragen of een tweede leeromgeving nog wel nodig is. SCORM is een open standaard waarmee je losse modules in je eigen LMS importeert. Een standalone awareness platform is een aparte omgeving die specifiek voor security awareness is gebouwd, met training, phishing-simulatie, doelgroepsegmentatie en governance-rapportage in één.

Het is geen technische keuze, maar een operationele. De vraag is niet welke standaard beter is, maar welke aanpak past bij hoe jouw organisatie awareness wil sturen, meten en aantonen. Deze pagina helpt je die afweging concreet te maken.

Waar SCORM sterk in is

SCORM werkt goed wanneer awareness vooral als content moet landen binnen een bestaande LMS-strategie. Je behoudt één plek voor alle leerlijnen, je benut de single sign-on die er al staat en je laat rapportage lopen via de tooling die je organisatie al kent. Voor L&D-teams die awareness als onderdeel van het bredere opleidingsaanbod beschouwen, is dat een logische route.

SCORM is ook de pragmatische keuze in afgeschermde omgevingen. Sectoren als defensie, delen van de zorg en bepaalde overheidsdomeinen werken met netwerken die geen externe content mogen laden. Een zelfstandig SCORM-pakket dat volledig binnen het eigen LMS draait, voldoet daar makkelijker aan dan een platform dat extern wordt gehost.

Waar een standalone awareness platform sterker wordt

Een standalone awareness platform wint zodra awareness meer moet zijn dan content. Phishing-simulatie, doelgroepsegmentatie per risicoprofiel, automatische herinneringen en governance-rapportage zijn standaard onderdeel, niet iets dat je er los omheen moet bouwen. Dat scheelt beheer en geeft management consistentere stuurinformatie.

Het verschil wordt extra groot bij meertalige organisaties of bij sterk verschillende doelgroepen. Een platform kan automatisch de juiste taal kiezen op basis van het HR-record, een ander cursuspad geven aan finance dan aan operations en risico-indicatoren bijhouden per team. Bij SCORM moet je dat op het niveau van je LMS regelen, wat in de praktijk niet altijd meeschaalt.

De vergelijking op vijf beslispunten

Hosting en runtime

SCORM: Het pakket draait in jouw LMS, je behoudt volledige controle over de omgeving.

Standalone awareness platform: Het platform wordt gehost door de leverancier, met monitoring en updates op afstand.

Content-updates

SCORM: Static-pakketten zijn eenmalig, Connected-pakketten worden centraal bijgewerkt door de leverancier.

Standalone awareness platform: Continue updates door de leverancier, zonder dat een LMS-beheerder iets hoeft te importeren.

Phishing-simulatie

SCORM: Niet inbegrepen, vraagt een aparte tool of dienst.

Standalone awareness platform: Native onderdeel met campagne-templates, klik- en meldgedrag in dezelfde rapportage.

Rapportage en governance

SCORM: Beperkt tot wat je LMS uit cmi.completion_status, cmi.success_status en score weet te halen.

Standalone awareness platform: Specifieke rapportage voor NIS2, de Cbw en de Belgische NIS2-wet, risicoprofielen per team en bewijslogica voor audits.

Talen en schaalbaarheid

SCORM: Per taal lever je een apart pakket, of een wrapper die de juiste taal kiest.

Standalone awareness platform: Automatische taalkeuze, doelgroepsegmentatie en uitrol over meerdere entiteiten of vestigingen.

Wat organisaties in de praktijk meestal doen

In de praktijk gaat het zelden om alles-of-niets. Veel organisaties kiezen voor SCORM-pakketten als basislaag in hun bestaande LMS, en zetten een standalone platform of losse diensten in op de plekken waar de SCORM-route tekortschiet. Phishing-simulatie via een aparte tool, of een aanvullend platformcomponent voor governance-rapportage, zijn dan logische uitbreidingen.

Andere organisaties keren het juist om. Zij gebruiken het standalone platform voor de hele awareness-aanpak en exporteren alleen specifieke modules naar het LMS voor onboarding-doelen. Welke richting past, hangt vooral af van waar jouw organisatie haar bewijs en stuurinformatie vandaan haalt: uit het LMS of uit een aparte awareness-omgeving.

Wat NIS2 en de nationale omzettingen hierover zeggen

NIS2 artikel 20 en 21 schrijven niet voor welk technisch platform je gebruikt. De richtlijn vraagt wel dat bestuurders aantoonbaar getraind zijn en dat medewerkers structureel beveiligingsbewustzijn ontwikkelen. Het knelpunt zit dus niet in SCORM of platform, maar in de vraag of jouw aanpak aantoonbaar continu is en doelgroepen verschillend bereikt.

In Nederland versterkt de Cyberbeveiligingswet dat met artikel 24, dat een specifieke bestuurstrainingsplicht oplegt. In België doet de NIS2-wet van 26 april 2024 hetzelfde voor bestuursverantwoordelijkheid en aantoonbare opleiding. In beide gevallen is een SCORM-pakket dat één keer wordt uitgerold zonder herhaling zelden voldoende. Een platform dat automatisch trainingen toewijst, herinneringen stuurt en bestuursrapportages genereert, levert dat bewijs makkelijker.

De kernvraag voor governance is dus niet "SCORM of platform", maar "kun je laten zien dat training continu plaatsvindt, gericht is per doelgroep en gemeten wordt op uitkomst". Beide routes kunnen dat aantonen, maar de hoeveelheid handwerk verschilt aanzienlijk.

Wanneer SCORM bewust de juiste keuze is

SCORM is bewust de juiste keuze wanneer jouw L&D-functie volwassen is, je LMS al draait, en awareness-content vooral moet aansluiten bij het bredere leeraanbod. Ook in afgesloten netwerken zonder externe verbindingen, of bij organisaties met een strenge IT-securitybaseline, is SCORM Static de meest realistische route.

Wanneer governance, phishing-simulatie en doelgroepsegmentatie centraal staan, of wanneer je in 27 talen wilt uitrollen zonder per taal een pakket te beheren, komt een standalone platform sterker uit de bus. De afweging valt vaak pas helder uit zodra je de exacte rapportage- en bewijsbehoefte op tafel legt.

Vragen die je leveranciers stelt bij deze vergelijking

Bij SCORM: hoe vaak worden de pakketten geactualiseerd, en is dat een Static- of Connected-model? Kun je voorbeeldpakketten leveren die we eerst in ons LMS valideren?

Bij een platform: welke rapportage is standaard, en welke vraagt extra inrichting? Krijg ik segmentatie per team, taal of risicoprofiel zonder maatwerk?

Bij beide: welke awareness-thema's zijn meegeleverd, hoe vaak worden ze vernieuwd, en hoe gaan ze om met sector-specifieke risico's zoals zorg, overheid of financieel?

En vooral: hoe vertaalt de oplossing zich naar het bewijs dat ik richting auditors, bestuurders of toezichthouders moet leveren? Een aanbieder die daar geen concreet antwoord op heeft, levert meestal alleen content en geen programma.

Gerelateerd op deze site

Security awareness als SCORM voor je bestaande LMS · Security awareness platform · Hoe kies je een security awareness platform? · Een security awareness programma opzetten · NIS2 awareness

FAQ

Is SCORM goedkoper dan een standalone awareness platform?

Op pakketprijs lijkt SCORM goedkoper, vooral het Static-model. Maar wanneer je hosting, governance-rapportage, phishing-simulatie en handmatige doelgroepsegmentatie meerekent, draait dat vaak om. De vergelijking wordt pas eerlijk zodra je alle componenten meeneemt die je organisatie nodig heeft.

Kan ik SCORM en een standalone platform combineren?

Ja, en in de praktijk doen veel organisaties dat. SCORM-pakketten worden gebruikt voor structurele onboarding-content in het bestaande LMS, terwijl het standalone platform de phishing-simulatie, segmentatie en bestuursrapportage levert. Belangrijk is dat je dubbele rapportage voorkomt door één bron als waarheid te kiezen.

Voldoet SCORM aan NIS2, de Nederlandse Cyberbeveiligingswet en de Belgische NIS2-wet?

SCORM zelf is een leveringsformat en zegt niets over compliance. Of jouw aanpak voldoet, hangt af van hoe je continuïteit, doelgroepsegmentatie en bewijslogica regelt. Een eenmalig uitgerold SCORM-pakket zonder herhaling voldoet zelden, terwijl een Connected-aanpak met jaarlijkse updates en gestructureerde rapportage dat veel makkelijker maakt. Zowel de Cbw als de Belgische NIS2-wet leggen daarbij specifieke verantwoordelijkheden op het bestuur.

Welke variant past bij een gemeente of zorgorganisatie in Nederland of België?

Voor lokale overheden en zorgorganisaties is sectorspecifieke content belangrijker dan het leveringsformat. In Nederland gaat het dan om de BIO, NEN 7510 en NIS2, in België om de federale informatieveiligheidsnormen, de NIS2-wet en specifieke zorgnormen via het eHealth-platform. Zowel SCORM als een platform kunnen die content leveren. De praktijk wijst uit dat bestuurstrainingsplicht en doorlopend bewijs sneller te realiseren zijn met een platform, terwijl SCORM logischer is wanneer er al een sterk LMS staat en awareness onderdeel is van een breder leerportfolio.