De meeste beveiligingsincidenten in een klein bedrijf beginnen niet bij een hacker die door een firewall breekt. Ze beginnen bij een medewerker die op een link klikt, een wachtwoord deelt of een bestand naar de verkeerde persoon stuurt. De GDPR (in Nederland ook AVG genoemd) verwacht dat je je team daarop voorbereidt. Dit artikel legt uit wat de wet vraagt, hoe een haalbare trainingsroutine voor een klein team eruitziet, en wat de twee gratis GDPRWise-cursussen en het officiële examen in de app behandelen.
Waarom mensen de zwakke plek zijn, met de meest voorkomende scenario’s, lees je in De menselijke factor: waarom de meeste datalekken bij je medewerkers beginnen. Dit artikel gaat over de training zelf.
Wat de GDPR van je verwacht
De GDPR schrijft geen specifiek opleidingsprogramma voor. Wel legt ze een paar verplichtingen op die zonder training moeilijk na te komen zijn:
- Integriteit en vertrouwelijkheid (artikel 5(1)(f)). Persoonsgegevens moeten beschermd zijn tegen onbevoegde toegang, verlies en beschadiging. Dat is een kernbeginsel, geen technisch detail.
- Passende maatregelen (artikel 32(1)). Je moet passende technische en organisatorische maatregelen nemen. De mensen opleiden die met persoonsgegevens werken is een van de meest gebruikte organisatorische maatregelen.
- Werken op instructie (artikel 32(4)). Wie onder jouw gezag werkt en toegang heeft tot persoonsgegevens, mag ze alleen op jouw instructie verwerken. Medewerkers kunnen alleen instructies volgen die ze kennen.
- Datalekken melden (artikel 33). Moet een inbreuk in verband met persoonsgegevens gemeld worden, dan heb je 72 uur nadat je ervan op de hoogte bent om de toezichthoudende autoriteit te verwittigen. Die klok werkt alleen als medewerkers een verdachte mail of een vergissing meteen aan jou melden.
- De taak van de DPO (artikel 39(1)(b)). Heb je een functionaris voor gegevensbescherming (DPO) aangesteld, dan is bewustmaking en opleiding van het personeel uitdrukkelijk een van diens taken.
De vraag is dus niet of je je team opleidt, maar hoe je dat praktisch aanpakt en achteraf kunt aantonen.
Als NIS2 op je bedrijf van toepassing is
Sommige bedrijven vallen ook onder NIS2, de Europese cyberbeveiligingsrichtlijn (Richtlijn (EU) 2022/2555). Voor bedrijven die eronder vallen, is training explicieter uitgeschreven:
- Artikel 21(2)(g) noemt basispraktijken voor cyberhygiëne en cyberbeveiligingstraining bij de risicobeheersmaatregelen.
- Artikel 20(2) verplicht leden van het management om een opleiding te volgen, en moedigt bedrijven aan om hun medewerkers regelmatig een vergelijkbare opleiding aan te bieden.
Of NIS2 van toepassing is, hangt af van je sector en grootte, en elk land heeft een eigen omzettingswet. Lees GDPRWise en NIS2 om te zien wie eronder valt.
Wat de gratis cursussen behandelen
GDPRWise biedt twee gratis cursussen aan voor precies dit onderwerp. Ze werken in de browser, vragen geen account, bestaan uit korte modules in klare taal, en eindigen met een gratis oefenquiz.
Phishing herkennen behandelt de meest voorkomende manier waarop het misgaat:
- Wat is phishing?
- E-mail inspecteren
- Smishing en chatberichten
- Op het werk en wat te doen
Security awareness behandelt de dagelijkse gewoonten eromheen:
- Waarom beveiliging iedereen aangaat
- Accounts beveiligen: wachtwoord, 2FA en passkeys
- Toegang en systemen
- Veilig omgaan met gegevens
- Datalek herkennen en melden
Samen dekken ze beide kanten: een aanval herkennen, en de gewoonten die de schade beperken als er toch een doorkomt.
Het officiële examen in de app en het deelnamebewijs
De oefenquiz helpt medewerkers nagaan wat ze geleerd hebben, maar laat geen spoor na. Daarvoor heeft de GDPRWise-app een trainingsfunctie met een officieel examen per cursus. Die zit in de betalende plannen.
De twee doen elk iets anders:
- De oefenquiz op de website heeft vijf vragen om jezelf te testen. Er wordt niets bijgehouden en er is geen deelnamebewijs.
- Het officiële examen in de app heeft 15 vragen per cursus uit een aparte reeks die niet op de website staat, en een slaagdrempel van 70%. Elke medewerker die slaagt, krijgt een deelnamebewijs op zijn of haar naam.
In de app wijst de accounteigenaar de training toe aan medewerkers en volgt per persoon de voortgang, de afronding en de score, zodat je geen aparte lijst hoeft bij te houden.
Elke medewerker die het officiële examen aflegt, krijgt een deelnamebewijs. Het toont dat die persoon de training heeft gevolgd, en geeft je zo eenvoudig, gedocumenteerd bewijs van een organisatorische maatregel onder artikel 32. Het is geen professionele certificering, en de cursussen alleen maken je bedrijf niet compliant; ze zijn één onderdeel van je beveiligingsmaatregelen.
Een praktisch trainingsplan voor een klein team
- Iedereen volgt beide cursussen. Niet alleen het kantoorpersoneel: iedereen met een e-mailadres of toegang tot klant- of personeelsgegevens.
- Spreek één meldroute af. Kies één manier om een verdacht bericht of een vergissing te melden, bijvoorbeeld een vaste collega of een gedeeld adres. Maak duidelijk dat snel melden altijd goed is, ook na een klik.
- Simulaties alleen met aankondiging. Test je met nep-phishingmails, laat medewerkers dan weten dat dit gebeurt, en gebruik de resultaten om te leren, nooit om te straffen.
- Jaarlijks en na incidenten opfrissen. Herhaal de cursussen één keer per jaar, en voeg een korte opfrissing toe na een bijna-incident, een nieuw soort oplichting, een nieuw systeem of een nieuwe medewerker.
- Houd het bij. De app toont wie het officiële examen heeft afgelegd, wanneer en met welke score. Samen met de deelnamebewijzen in de app toont dat wat je gedaan hebt.
Voor de opvolging als het toch misgaat, lees Datalek: wat is het en wat moet je doen?.
Training werkt het best als je team weet wat er op het spel staat. Scan je website en bouw je GDPR-dossier op met GDPRWise, en train je team daarbovenop.