Krijgen medewerkers training in basispraktijken voor cyberhygiëne?

Cyberhygiëne en trainingen: twee losse maatregelen

Ja, dit veld hoort standaard in vragenlijsten over informatiebeveiliging, want het is een van de tien maatregelen uit artikel 21 lid 2 van de NIS2-richtlijn. Punt (g) van dat lid noemt letterlijk "basispraktijken op het gebied van cyberhygiëne en cyberbeveiligingstraining". Het gaat dus om twee dingen tegelijk: structurele basispraktijken (wachtwoordbeleid, updatediscipline, veilig omgaan met bijlagen en links) én trainingen die medewerkers daarop wijzen. Een klant die dit vraagt, wil meestal weten of er iets bestaat naast technische maatregelen — het menselijke deel van de beveiliging.

Als bewijsstuk wordt meestal gevraagd naar een trainingsoverzicht, een e-learningmodule met voltooiingspercentage, of een intern beleidsdocument met de basispraktijken erin. Heb je dat niet, dan is "nee" of "nog niet aanwezig" een eerlijker antwoord dan een training suggereren die er niet is — de klant vraagt dit vaak juist als aanvulling op vragen over toegangsbeleid, dus check ook of het toegangsbeleid van de onderneming is vastgelegd, want awareness zonder onderliggend beleid overtuigt zelden. Let ook op periodiciteit: een eenmalige training bij indiensttreding is iets anders dan jaarlijkse herhaling, en dat onderscheid maakt vaak het verschil in de beoordeling door de klant.

Waar dit vandaan komt: artikel 21 lid 2, punt g

Artikel 21 lid 2 van Richtlijn (EU) 2022/2555 somt tien categorieën maatregelen op die entiteiten moeten nemen om hun netwerk- en informatiesystemen te beveiligen. Punt (g) noemt specifiek cyberhygiëne en beveiligingstraining, naast onder meer punt (a) over risicoanalysebeleid — zie ook hoe risicoanalysebeleid wordt beoordeeld — en punt (d) over bedrijfscontinuïteit. Deze vraag komt dus niet los te staan van de rest van de lijst: hij is één van de tien verplichte onderdelen die een klant systematisch naloopt.