Kies een ritme dat gedrag én beheer volhouden.

Veel organisaties draaien een keer per jaar een phishing simulatie. Vaak voor een audit of tijdens een awareness-week. De resultaten komen op een slide. Er volgt een korte training. En dan gaat iedereen weer door met de dagelijkse routine.

Drie maanden later is het effect weg. Onderzoek laat zien dat security awareness binnen 90 dagen flink afneemt als er geen herhaling volgt. Na zes maanden ben je terug bij af.

Een jaarlijkse simulatie is geen programma. Het is een momentopname. En een momentopname verandert geen gedrag.

Gedragsverandering vraagt om herhaling. Dat is geen mening. Zo werkt het menselijk brein. Leren rijden doe je niet met een les per jaar. Phishing herkennen ook niet.

Elke simulatie is een leermoment. Iemand die klikt, krijgt direct feedback en onthoudt het scenario. De volgende keer dat een vergelijkbare mail binnenkomt, gaat er een belletje rinkelen. Maar dat belletje wordt zachter als het maanden niet afgaat.

Regelmatig simuleren houdt het bewustzijn actief. Niet omdat mensen bang zijn. Maar omdat ze regelmatig oefenen met het herkennen van patronen. Net als een brandoefening. Niet spannend, maar als het een keer echt is, weet je wat je moet doen.

Er is geen universeel antwoord op “hoe vaak.” Het hangt af van waar je staat als organisatie. Drie niveaus:

Niveau	Kenmerken	Hoe vaak	Focus
Starter	Eerste programma, geen startpunt	Maandelijks	Nulmeting, basis opbouwen, meldproces inrichten
Groeiend	3-6 maanden ervaring, klikratio daalt	Twee keer per maand	Moeilijkheid verhogen, scenario’s afwisselen
Volwassen	12+ maanden, lage klikratio, hoog meldpercentage	Doorlopend (wekelijks)	Scherp houden, moeilijke scenario’s, nieuwe medewerkers

Starter: maandelijks

Begin met een nulmeting. Draai daarna elke maand een campagne. Houd de moeilijkheid gemiddeld. Het doel: een ritme opbouwen en genoeg datapunten verzamelen om trends te zien.

Na drie maanden heb je vier datapunten (met de nulmeting erbij). Genoeg om te zien of de richting goed is. Na zes maanden heb je een betrouwbare trendlijn voor management.

Groeiend: twee keer per maand

Zit je klikratio structureel onder de 15% en je meldpercentage boven de 15%? Dan ben je klaar voor de volgende stap. Verhoog de frequentie naar twee keer per maand. Wissel scenario’s af: niet alleen e-mail, maar ook sms als je platform dat ondersteunt.

Maak je campagnes specifieker. Stuur factuurscenario’s naar finance. HR-scenario’s naar HR. Hoe relevanter het scenario, hoe meer medewerkers ervan leren.

Volwassen: doorlopend

De best beschermde organisaties simuleren doorlopend. Niet iedereen tegelijk. Elke week ontvangt een deel van de organisatie een simulatie. Medewerkers weten niet wanneer de volgende komt. Dat houdt ze scherp. Precies zoals echte phishing onvoorspelbaar is.

Op dit niveau gebruik je moeilijke scenario’s: spearphishing, CEO-fraude, supply chain-aanvallen. En je Human Firewall Score is je belangrijkste stuurmiddel.

Het grootste obstakel voor een hoge frequentie is niet overtuiging. Het is tijd. Elke maand een campagne handmatig opzetten, een scenario kiezen, doelgroep selecteren, plannen en resultaten bekijken. Het kost tijd die de meeste IT-managers niet hebben.

Daarom heeft Phishwise een Campaign Autopilot. Je stelt een programma in met rondes, templates, doelgroepen en frequentie. De autopilot maakt campagnes automatisch aan, spreidt de verzending en past de moeilijkheid aan.

Jij bekijkt de resultaten en stuurt bij waar nodig. Het planwerk doet het systeem. Dat is het verschil tussen “we willen maandelijks simuleren” en “we doen het ook echt.” Meer hierover lees je op de pagina over het security awareness platform.

Ja. Simulatiemoeheid is een echt risico. Als medewerkers het gevoel krijgen dat ze constant getest worden, leidt dat tot frustratie. En dan gebeurt precies het tegenovergestelde van wat je wilt. “Ach, het is vast weer een test” is niet de houding die je zoekt.

Tekenen van simulatiemoeheid:

• Medewerkers klagen openlijk over de frequentie
• Het meldpercentage daalt terwijl de klikratio gelijk blijft
• Mensen melden alles als phishing (stijgende false positive rate)
• De OR stelt vragen over of het nog redelijk is

De oplossing is niet stoppen. De oplossing is afwisselen. Andere scenario’s. Andere moeilijkheidsgraden. Andere verzendmomenten. En communiceer het doel: dit is geen controle, dit is oefening. Net als een brandoefening.

Eenmalige of kwartaalcampagnes zijn erger dan te vaak simuleren.

Geen trend zichtbaar. Met twee datapunten per jaar kun je geen conclusies trekken. Je kunt geen effectiviteit aantonen en geen ROI berekenen.

Geen gedragsverandering. Medewerkers vergeten de lessen tussen campagnes. Het bewustzijn piekt kort na de simulatie en zakt daarna weg. Zonder herhaling geen blijvend effect.

Compliance-risico. Auditors voor ISO 27001 en NIS2 verwachten structurele awareness-activiteiten. “We hebben vorig jaar twee keer gesimuleerd” is niet genoeg als je geen doorlopend programma kunt laten zien.

Nieuwe medewerkers missen de boot. Bij kwartaalcampagnes kan een nieuwe medewerker drie maanden werken zonder ooit een simulatie te krijgen. Juist nieuwe medewerkers zijn kwetsbaar. Ze kennen de interne processen nog niet en vertrouwen alles wat van hun nieuwe werkgever lijkt te komen.

Frequentie alleen is niet genoeg. Als je elke maand hetzelfde type scenario stuurt, leren medewerkers alleen dat ene type herkennen. Echte aanvallers zijn niet zo voorspelbaar.

Wissel af op drie manieren:

Scenario-type. Wissel af tussen wachtwoord-resets, pakketmeldingen, facturen, HR-communicatie, CEO-verzoeken en IT-meldingen. Elk type traint een ander herkenningspatroon.

Moeilijkheidsgraad. Begin gemiddeld. Na drie maanden voeg je moeilijke scenario’s toe. Na zes maanden mix je bewust makkelijk, gemiddeld en moeilijk door elkaar. Zo leren medewerkers niet alleen herkennen op basis van een specifiek kenmerk.

Scenario’s per afdeling. Finance ontvangt factuurscenario’s. HR ontvangt sollicitatiescenario’s. Management ontvangt CEO-fraude. Hoe relevanter het scenario, hoe groter het leereffect.

Echte phishing volgt seizoenspatronen. Slim simuleren ook.

• Januari-maart: Belastingaangifte-scenario’s. Nepberichten “van de Belastingdienst” pieken in deze periode.
• April-mei: Vakantieboekingen. Nepbevestigingen van reisorganisaties.
• September: Veel nieuwe medewerkers. Ideaal moment voor onboarding-simulaties.
• November-december: Black Friday en eindejaarsacties. Pakketmeldingen en “je bestelling is onderweg”-scenario’s.
• Zomerperiode: Minder bezetting, langere reactietijden. Pas de frequentie aan, maar stop niet helemaal.

Door je simulaties af te stemmen op seizoenspatronen train je medewerkers op precies de scenario’s die echte aanvallers ook gebruiken.

Wat zien we bij organisaties die structureel simuleren?

Frequentie	Klikratio na 12 maanden	Meldratio na 12 maanden
Jaarlijks (1-2x)	18-25%	<5%
Per kwartaal (4x)	12-18%	10-15%
Maandelijks (12x)	6-12%	20-35%
Doorlopend (24x+)	<8%	35-60%

Het verschil is groot. Organisaties die maandelijks of vaker simuleren, presteren twee tot drie keer beter dan organisaties die het per kwartaal doen. En het verschil in meldgedrag is nog groter. Doorlopend simuleren bouwt een meldcultuur op die kwartaalcampagnes nooit bereiken.

Bepaal waar je staat. Nog geen programma? Start met een nulmeting en plan maandelijkse campagnes. Al een paar maanden bezig? Verhoog de frequentie en wissel je scenario’s af. Wil je het automatiseren? Stel een programma in met de Campaign Autopilot.

Het belangrijkste is regelmaat. Niet de perfecte frequentie, maar een vaste frequentie. Liever elke maand een standaardcampagne dan elk kwartaal een perfecte campagne. Bekijk ook de voordelen van structureel simuleren voor meer onderbouwing.

Vraag advies over de juiste frequentie voor jouw organisatie