Phishing simulatie
Een phishing simulatie is een geoefende nepmail die u zelf naar uw medewerkers stuurt, om te zien wie erop reageert en wie hem meldt. Het doel is niet betrappen maar leren: u ontdekt waar de organisatie kwetsbaar is en medewerkers oefenen het herkennen.
Op deze pagina leest u hoe een simulatie verloopt, welke cijfers werkelijk iets zeggen, welke afspraken u vooraf maakt met uw medewerkers en ondernemingsraad, en hoe u een programma over meerdere rondes opbouwt.
Wij komen deze vraag meestal tegen bij organisaties die een awarenessprogramma willen starten, of die voor een audit moeten aantonen dat zij aan bewustwording werken.
Wat is een phishing simulatie?
Bij een phishing simulatie ontvangen medewerkers een nagebootste phishingmail, en wordt geregistreerd wie klikt, wie gegevens invult en wie de mail meldt.
De mail komt van uzelf, met medeweten van een kleine groep binnen de organisatie. Klikt iemand, dan komt die op een landingspagina waar meteen wordt uitgelegd wat er aan de hand was en waar de signalen zaten. Dat leermoment is het belangrijkste onderdeel van de hele exercitie.
De opzet varieert. Een eenvoudige simulatie gebruikt een algemene mail, bijvoorbeeld een pakketmelding of een verzoek om een wachtwoord te wijzigen. Een gerichte simulatie gebruikt informatie over uw organisatie: een mail die lijkt te komen van de directie, of van een leverancier waar u werkelijk mee werkt.
Wat een simulatie niet is: een beoordelingsinstrument. Zodra medewerkers het gevoel krijgen dat het over hun functioneren gaat, verandert het gedrag. Ze melden minder, uit angst dat een melding tegen hen wordt gebruikt. Dan werkt het middel averechts.
Wat een phishing simulatie uw organisatie oplevert
De belangrijkste opbrengst is niet het percentage dat klikt. Het is de vraag of mensen weten waar ze iets moeten melden.
Klikken zal altijd gebeuren. Bij een goed gemaakte mail klikt ook een oplettende medewerker een keer, zeker als hij haast heeft. Wat het verschil maakt bij een echt incident is hoe snel iemand aan de bel trekt, want dat bepaalt hoeveel tijd u heeft om te reageren.
Een simulatie levert daarnaast een concreet beeld op van waar de aandacht heen moet. Meestal blijkt dat de meldweg onbekend is, dat mensen niet weten of ze mogen storen, of dat er twijfel is of een melding wel de moeite waard is.
Het derde is aantoonbaarheid. Een rapport met datum, doelgroep, scenario en uitkomsten is een bewijsstuk waar auditors en klanten naar vragen. Dat geldt zeker in combinatie met een security awareness training, want dan laat u zien dat u meet én opleidt.
Welke cijfers ertoe doen
De markt verkoopt op klikpercentage. Dat is het minst bruikbare cijfer van de drie.
De klikratio zegt vooral iets over de moeilijkheidsgraad van uw mail. Maakt u hem lastiger, dan stijgt het percentage, ongeacht hoe goed uw medewerkers zijn. Als stuurgetal is het daarom onbetrouwbaar, en vergelijken met andere organisaties heeft weinig zin.
De meldratio is het cijfer waarop u wel kunt sturen. Hoeveel procent van de ontvangers meldt de mail actief? Dat getal kunt u beïnvloeden door de meldweg bekend en laagdrempelig te maken, en het zegt direct iets over uw weerbaarheid.
De tijd tot de eerste melding is misschien wel het meest waardevol. Bij een echt incident bepaalt dat hoe snel u kunt ingrijpen. Gaat het van een halve dag naar twintig minuten, dan heeft u werkelijk iets bereikt.
Kijk daarnaast naar het aandeel dat gegevens invult na een klik. Klikken is menselijk, inloggegevens invullen is een stap verder en zegt meer over de herkenning.
Afspraken met medewerkers en ondernemingsraad
Een simulatie raakt uw medewerkers persoonlijk. Regel dat vooraf, niet achteraf.
Een simulatie waarbij resultaten tot op de persoon herleidbaar zijn, kan onder het instemmingsrecht van de ondernemingsraad vallen. De Wet op de ondernemingsraden vraagt instemming voor regelingen die gericht zijn op controle op gedrag of prestaties van werknemers. Leg het daarom voor aan uw ondernemingsraad of personeelsvertegenwoordiging voordat u begint.
Daarnaast zijn de resultaten persoonsgegevens. Neem de verwerking op in uw verwerkingsregister, bepaal een bewaartermijn en leg vast wie de gegevens mag inzien. Het advies dat wij vrijwel altijd geven is om alleen op groepsniveau te rapporteren.
Wat wel werkt is vooraf aankondigen dát er in de komende periode simulaties komen, zonder te zeggen wanneer of hoe. Dat haalt het element van betrappen eruit en houdt de test bruikbaar. Medewerkers weten dan dat het bij het werk hoort.
Spreek tot slot af dat resultaten niet met leidinggevenden worden gedeeld op persoonsniveau en niet worden gebruikt in beoordelingsgesprekken. Zeg dat ook hardop, want dat vertrouwen bepaalt of mensen blijven melden.
Wat er gebeurt met de medewerker die klikt
De directe terugkoppeling bepaalt of uw programma werkt of dat het weerstand oproept.
Wie klikt, komt op een korte landingspagina. Daar staat wat er aan de hand was, welke signalen in de mail zaten en wat de medewerker een volgende keer kan doen. Houd die pagina vriendelijk en kort, en vermijd elke toon van betrapping.
Wie inloggegevens invult, krijgt een uitgebreidere uitleg en de vraag om het wachtwoord te wijzigen. Ook hier zonder verwijt, want de mail was er juist op gemaakt om te werken.
Wie de mail meldt, hoort dat terug. Dat is het onderdeel dat het vaakst wordt vergeten. Een korte bevestiging dat de melding is ontvangen en dat het goed was om hem te doen, is de goedkoopste manier om de meldratio te verhogen.
Herhaald klikken pakt u aan met extra uitleg, niet met een gesprek met de leidinggevende. Blijkt een hele afdeling structureel gevoelig, dan zegt dat meer over de werkdruk of het proces dan over de mensen.
Van eenmalige test naar programma over vier rondes
Eén simulatie levert een cijfer op. Een reeks levert verbetering op, mits de opbouw klopt.
- 1. Nulmeting. Doel: Vaststellen waar u staat. Type mail: Algemeen en herkenbaar, bijvoorbeeld een pakketmelding. Waar u op stuurt: Meldratio en of de meldweg bekend is.
- 2. Meldweg oefenen. Doel: Melden tot gewoonte maken. Type mail: Vergelijkbaar niveau, ander onderwerp. Waar u op stuurt: Stijging van de meldratio en kortere meldtijd.
- 3. Verhoogde moeilijkheid. Doel: Herkenning testen bij een geloofwaardige mail. Type mail: Gericht op uw sector of op een bekende leverancier. Waar u op stuurt: Aandeel dat gegevens invult na een klik.
- 4. Gerichte simulatie. Doel: De realistische situatie oefenen. Type mail: Lijkt van een collega of van de directie te komen. Waar u op stuurt: Meldtijd onder druk en of de meldweg dan nog gebruikt wordt.
Spreid de rondes over een jaar. Meer dan vier keer per jaar wordt vermoeiend en levert weinig extra op. Verhoog de moeilijkheidsgraad geleidelijk, want een te lastige mail in ronde één ontmoedigt.
Platform of begeleide simulatie
U kunt een abonnement op een platform nemen of een simulatie laten begeleiden. Dat is een echte keuze.
Een platform is aantrekkelijk bij grotere aantallen medewerkers en een doorlopend programma. U heeft dan zelf de knoppen in handen en kunt vaker draaien. Het vraagt wel iemand binnen uw organisatie die de campagnes opzet, de resultaten beoordeelt en de opvolging doet.
Begeleide simulaties werken beter als u begint, als de aantallen beperkt zijn, of als het scenario maatwerk vraagt. U heeft dan geen abonnement nodig en de aandacht gaat naar het gesprek achteraf in plaats van naar de tooling.
Wij verkopen zelf geen platform. Dat betekent dat wij kunnen adviseren dat een abonnement in uw situatie zinvol is, en welke functies u dan werkelijk nodig heeft. In de praktijk zien wij organisaties betalen voor mogelijkheden die zij nooit gebruiken.
Aantoonbaar maken voor wet en norm
Bewustwording staat in alle drie de kaders. Wat zij vragen is bewijs, niet een percentage.
ISO 27001 vraagt bewustzijn, opleiding en training van medewerkers. Een auditor wil zien wie er is bereikt, wanneer, met welke inhoud, en wat u met de uitkomsten heeft gedaan. Een simulatierapport met een verbeterplan en een vervolgronde is daarvoor een sterk bewijsstuk.
De Cyberbeveiligingswet, die vanaf 15 augustus 2026 geldt, noemt cyberhygiëne en opleiding als onderdeel van de zorgplicht, en betrekt daar uitdrukkelijk bestuurders bij. Laat de directie dus meedoen aan de simulatie en leg dat vast. In de zorg vraagt NEN 7510 hetzelfde.
Bewaar per ronde het scenario, de doelgroep, de datum, de resultaten op groepsniveau en de vervolgacties. Dat dossier hoort thuis in uw ISMS, naast de deelnameregistratie van uw trainingen.
Wat de omvang van de opdracht bepaalt
Een simulatie is een afgebakende opdracht. Deze factoren bepalen het verschil.
- Aantal medewerkers en vestigingen. Grotere groepen vragen meer voorbereiding rond verzending en segmentatie.
- Mate van maatwerk in het scenario. Een algemene mail is snel klaar, een mail die op uw organisatie lijkt vraagt onderzoek.
- Aantal rondes. Een nulmeting verschilt van een programma van vier rondes met tussentijdse rapportage.
- Wel of geen begeleiding bij de opvolging. Het nagesprek en het verbeterplan zijn een aparte inspanning.
- Combinatie met training. Een simulatie naast een awarenessprogramma vraagt afstemming van de inhoud.
- Meertaligheid. Werkt u met meerdere talen, dan vraagt elk scenario een eigen uitwerking.
Wij maken de omvang van uw traject inzichtelijk in een vrijblijvend gesprek.
Zo voert QENSORA de phishing simulatie uit
Wij richten de simulatie in, verzorgen de uitvoering en begeleiden het nagesprek. Wij verkopen geen platform.
Dat laatste bepaalt de aard van het advies. Voor een organisatie van dertig medewerkers is een jaarabonnement zelden de beste keuze, en dat zeggen wij dan ook. Voor een organisatie met honderden medewerkers en een doorlopend programma ligt dat anders, en dan helpen wij bij de selectie.
Wat wij toevoegen zit vooral aan de randen. De afspraken met de ondernemingsraad en de verwerking van persoonsgegevens vooraf. En achteraf het gesprek waarin de uitkomsten worden vertaald naar wat er moet veranderen, meestal aan de meldweg en niet aan de mensen.
Wij koppelen de simulatie bovendien aan uw incident response plan. Een melding moet ergens terechtkomen waar iemand er iets mee doet, en dat is precies de schakel die tijdens een echt incident telt.
René van der Horst werkt dertig jaar in IT-leiderschap en begeleidt organisaties bij bewustwording, ISO 27001 en de Cyberbeveiligingswet. Hij bespreekt de uitkomsten met de directie, omdat de belangrijkste verbeteringen daar worden besloten.
Meten om te helpen, niet om af te rekenen
Een phishing simulatie werkt als medewerkers hem ervaren als oefening en niet als controle. Dan gaan ze melden, en melden is precies wat u bij een echt incident nodig heeft.
Wilt u weten hoe u dit in uw organisatie aanpakt, inclusief de afspraken vooraf? Neem vrijblijvend contact op. In een eerste gesprek wordt meestal snel duidelijk of u begint met een nulmeting of met de meldweg zelf.
Veelgestelde vragen over phishing simulaties
Mogen wij onze medewerkers zomaar testen?
Niet zonder voorbereiding. Een simulatie met herleidbare resultaten kan onder het instemmingsrecht van de ondernemingsraad vallen, omdat het gaat om controle op gedrag. Leg het voor aan uw ondernemingsraad, neem de verwerking op in uw verwerkingsregister en spreek af dat u alleen op groepsniveau rapporteert.
Moeten wij het vooraf aankondigen?
Kondig aan dát er simulaties komen, niet wanneer of hoe. Dat is eerlijk naar medewerkers en het haalt het gevoel van betrapping weg, terwijl de test bruikbaar blijft. Volledig onaangekondigd testen levert vaak weerstand op en verlaagt de meldratio in latere rondes.
Wat is een normaal klikpercentage?
Dat is de verkeerde vraag. De klikratio hangt vooral af van hoe lastig u de mail maakt, dus vergelijken met andere organisaties zegt weinig. Stuur liever op de meldratio en op de tijd tot de eerste melding. Die twee cijfers zeggen wel iets over uw weerbaarheid.
Wat doen wij met medewerkers die blijven klikken?
Extra uitleg aanbieden, geen gesprek met de leidinggevende. Zodra het een beoordelingskwestie wordt, gaan mensen minder melden en verliest u het middel dat er werkelijk toe doet. Blijkt een hele afdeling gevoelig, kijk dan naar het proces en de werkdruk in plaats van naar de personen.
Hoe vaak moeten wij een simulatie doen?
Twee tot vier keer per jaar werkt goed, met een oplopende moeilijkheidsgraad. Vaker wordt vermoeiend en levert weinig extra op. Combineer het met een awarenessprogramma, want een simulatie meet vooral en leert beperkt.
Telt een simulatie mee voor onze ISO 27001-audit?
Als onderdeel van bewustwording, ja. Bewaar per ronde het scenario, de doelgroep, de datum, de resultaten op groepsniveau en de vervolgacties. Een auditor kijkt naar het geheel: meet u, leidt u op, en doet u iets met de uitkomsten. Eén losse ronde is daarvoor te weinig.
Moet de directie ook meedoen?
Ja, en dat is belangrijker dan het lijkt. Bestuurders zijn een gewild doelwit en de Cyberbeveiligingswet betrekt hen uitdrukkelijk bij opleiding. Bovendien geeft het een verkeerd signaal als de directie zichzelf uitzondert. Neem hen mee in dezelfde ronde als de rest.
Hebben wij een platform nodig?
Niet altijd. Bij kleinere aantallen en een paar rondes per jaar is een begeleide simulatie eenvoudiger en goedkoper. Een platform loont bij grotere organisaties met een doorlopend programma en iemand die het beheert. Wij verkopen zelf geen platform, dus wij kunnen die afweging vrij maken.
Improved Security, Smarter Compliance.
Weten waar uw organisatie staat op het gebied van cybersecurity, compliance of IT? Of bent u benieuwd welke risico’s of verplichtingen voor uw organisatie relevant zijn?
Neem vrijblijvend contact op met QENSORA voor een kennismaking of adviesgesprek. Samen kijken we hoe uw organisatie veiliger en slimmer kan worden.
