Waarom juist Haagse bedrijven baat hebben bij security awareness

Maar tussen al die instituten werken ook duizenden gewone bedrijven aan security awareness — en juist daar slaan cybercriminelen het liefst toe.

Wat is security awareness?

Security awareness is het vermogen van medewerkers om digitale dreigingen te herkennen en er goed op te reageren. Denk aan een phishingmail doorzien voordat erop geklikt wordt, een vreemd betaalverzoek van “de directeur” checken via een ander kanaal, en een incident direct melden in plaats van het stil te houden.

Veel organisaties investeren flink in techniek: firewalls, virusscanners, back-ups. Verstandig, maar de meeste geslaagde aanvallen beginnen niet bij de techniek. Ze beginnen met een overtuigend mailtje aan een medewerker die het even niet doorheeft. Eén klik op het verkeerde moment kan genoeg zijn om een aanvaller binnen te laten. De mens is dus geen sluitpost van informatiebeveiliging, maar de eerste verdedigingslinie.

Waarom dit in de regio Den Haag extra speelt

De Haagse economie draait om vertrouwen en om de overheid. Advocatenkantoren, consultants, IT-dienstverleners, facilitaire bedrijven en zzp’ers werken dagelijks voor ministeries, ambassades, internationale organisaties en grote uitvoerders. Voor cybercriminelen is dat interessant: wie niet rechtstreeks bij een ministerie binnenkomt, probeert het via een leverancier. Een gehackt Haags administratiekantoor is zo een zij-ingang naar veel grotere doelwitten.

Daar komt nieuwe wetgeving bij. De Europese NIS2-richtlijn — in Nederland uitgewerkt in de Cyberbeveiligingswet — verplicht duizenden organisaties om hun beveiliging aantoonbaar op orde te brengen, inclusief het trainen van personeel. Belangrijk voor de regio: die eisen werken dóór in de keten. Ook wie zelf niet onder de wet valt, krijgt er via opdrachtgevers steeds vaker vragen over bij aanbestedingen en contractverlengingen. In de NIS2-gids 2026 van Guardey staat overzichtelijk welke sectoren onder de nieuwe regels vallen en wat er concreet van organisaties wordt verwacht.

Wat werkt — en wat niet

De klassieke aanpak, één verplichte presentatie per jaar, blijkt in de praktijk nauwelijks te beklijven. Na een paar weken is de boodschap weggezakt en klikt men weer. Wat wél werkt: korte, regelmatige oefening. Een paar minuten per week, afgewisseld met realistische phishing-simulaties, houdt medewerkers scherp en maakt meteen meetbaar waar de risico’s zitten. Steeds meer bedrijven kiezen daarom voor een doorlopende training in security awareness in spelvorm, waarbij teams het tegen elkaar opnemen. Dat maakt van een verplicht nummer iets waar collega’s over praten bij de koffieautomaat — en gedragsverandering begint precies daar.

Klein beginnen kan vandaag

Wie morgen wil starten, hoeft geen securityafdeling op te tuigen. Meet met een onschuldige phishingtest hoeveel collega’s klikken, maak melden laagdrempelig (“goed dat je het meldt” in plaats van “hoe kon je klikken”), en herhaal het gesprek regelmatig. In de stad van vrede en recht mag digitale weerbaarheid geen bijzaak zijn: klanten en opdrachtgevers rekenen erop dat hun gegevens bij Haagse bedrijven in veilige handen zijn.