Wat kost een security awareness training?

Voordat we het over geld hebben: de eerlijkste prijsindicatie die wij kunnen geven voor een security awareness training ligt ergens tussen de € 25 en € 480 per medewerker. Dat is een breed bereik, en dat is geen toeval. In gesprekken met klanten merken wij dat de échte vraag zelden “wat kost het?” is, maar “wat krijg ik ervoor, en wat levert het op?”. In dit blog leggen we uit hoe wij bij AVK naar die prijsopbouw kijken, welke keuzes het verschil maken en hoe je voorkomt dat je investeert in een training die na drie maanden weer is weggezakt.

Wat bepaalt de kosten van security awareness training?

Als wij een offerte maken, kijken we eigenlijk altijd naar dezelfde vijf knoppen waar je aan kunt draaien: de vorm van de training, het aantal deelnemers, de looptijd van het programma, de mate van maatwerk en de expertise die we erbij inzetten. De vorm heeft veruit de grootste impact. Een e-learning module die honderden mensen tegelijk kunnen volgen is logischerwijs goedkoper per persoon dan een live verdiepingstraining op maat met een ervaren trainer in de zaal.

Het aantal deelnemers werkt zoals je zou verwachten: hoe groter de groep, hoe lager de prijs per persoon. Bij organisaties vanaf zo’n honderd medewerkers kunnen we vaak een staffelkorting van 7% procent meegeven. Voor kleinere teams zit er meer vaste kosten in de prijs per deelnemer, simpelweg omdat een trainer evenveel voorbereidingstijd nodig heeft voor acht mensen als voor honderd.

De looptijd loopt uiteen van een eenmalige sessie van twee tot drie uur tot een jaarprogramma met opfrissessies, phishing-simulaties en e-learnings. Wat wij in de praktijk zien werken, is een combinatie: een stevige startsessie, daarna gedoseerd onderhoud. Een eenmalige sessie scoort goed op kosten, maar slecht op blijvend effect.

Maatwerk maakt het verschil tussen “een training” en “jullie training”. Een standaardprogramma is prima om mee te starten, maar als we casussen, voorbeelden en scenario’s gebruiken die uit jullie eigen organisatie komen, een fictieve phishingmail die lijkt op die van jullie ICT-leverancier, een datalek-scenario uit jullie sector, gaat de betrokkenheid omhoog. Dat kost ongeveer 30 tot 50 procent meer aan voorbereidingstijd, maar het rendement is in onze ervaring de meerprijs ruim waard.

Tot slot speelt expertise mee. Wij werken met trainers die niet alleen weten hoe phishing technisch werkt, maar die ook weten hoe je een afdelingshoofd, een baliemedewerker of een directeur in beweging krijgt. Dat is een ander vak dan techneut zijn, en het zit in onze tarieven verdisconteerd.

Wat krijg je voor welk budget?

Even concreet, zonder mist eromheen.

In de categorie van €25 tot € 75 per medewerker zit je in standaard e-learning. Korte modules over phishing, wachtwoorden, veilig internetgebruik en één meting rondom kennis en gedrag. Prima als basislaag, maar verwacht er geen gedragsverandering van als je het hierbij laat.

Voor € 75 tot € 150 per medewerker krijg je interactievere online klassikale training met eigen praktijk cases, kennistoetsen en vaak een dashboard waarin je voortgang kunt zien. Hier komt het leereffect echt op gang.

Tussen € 150 en € 200 beweeg je in blended learning: online modules gecombineerd met live sessies. Voor de meeste organisaties die wij begeleiden is dit de sweet spot. Je houdt de schaalbaarheid van online, maar krijgt het gespreksonderdeel waarin medewerkers hun eigen twijfels en vragen kwijt kunnen.

Onze Digitaal Vitaal® aanpak

Onze aanpak die het meeste ontzorgt is onze Digitaal Vitaal ® aanpak. In deze aanpak zijn per medewerker 4 dagdelen training inbegrepen, e-learning content, phishing campagnes, communicatie campagnes en projectmanagement uren meegenomen. De kosten voor de Digitaal Vitaal ® aanpak zijn € 40,- per medewerker per maand. Digitaal Vitaal ® is volledig maatwerk qua inhoud en onderwerpen, met scenario’s uit jullie eigen branche, mogelijk individuele coaching voor specifieke functierollen (directie, bestuurssecretariaat, financiële afdeling, ICT) en uitgebreide nazorg. Dit is wat we doorgaans aanbevelen aan organisaties waar de risico’s groot zijn, denk aan zorginstellingen, financiële dienstverleners, gemeenten. Optioneel ontwikkelen we ook maatwerk content en video’s. Voor digi-coaches en Digitale Hulpverleners (DHV’ers) zijn intensievere programma’s aanbevolen, deze groep collega’s maakt vaak het succes. In een Digitaal Vitaal ® traject bepaal je per kwartaal welke onderwerpen aan bod komen.

Een aandachtspunt dat we tegenwoordig steeds vaker bespreken: zodra je als organisatie aan de slag gaat met Microsoft 365 Copilot of andere AI-toepassingen, verandert het securityplaatje. Er ontstaan nieuwe vragen rond datatoegang, prompt-injectie en privacy. Dat hoort bij een eigentijds awareness-programma thuis, niet als losse training erbovenop.

Voorbeeld Digitaal Vitaal ® programma:

• Kwartaal 1: Security awareness
• Kwartaal 2: Waar moeten we waarom aan voldoen en wat moet ik als medewerker daar mee (AVG, NIS2, BIO2, ISO27001)
• Kwartaal 3: AI-geletterdheid
• Kwartaal 4: Veilig digitaal samenwerken, intern en extern, onderweg en op kantoor

Elk kwartaal wordt teruggekeken op voorgaande kwartalen, een nul meting gedaan op het gekozen onderwerp, een inhoudelijke training verzorgt, krijgen medewerkers toegang tot de relevante (e-learning) content, doen we een succesmeting en stellen we communicatiemiddelen ter beschikking.

Onderwerpen die je op kan nemen in een Digitaal Vitaal traject zijn naast security bijvoorbeeld: privacy awareness, archivering en informatiemanagement, datagedreven werken, maar ook onderwerpen als AI geletterdheid, Microsoft 365 optimalisaties en Teams implementaties.

Online, fysiek of beide?

Een online klassikale training kost in de regel 40% minder dan een fysieke variant. Logisch: geen locatie, geen reistijd voor de trainer, geen catering, en je kunt veel meer mensen tegelijk bedienen. Online zit qua prijs grofweg tussen €50 en €150 per persoon, fysiek tussen €150 en € 200, en een hybride aanpak vinden we doorgaans tussen €150 en €300.

Maar prijs is hier niet alles. Fysieke sessies leveren iets wat online lastig te vervangen is: een trainer ziet of mensen daadwerkelijk meedoen, en collega’s leren van elkaars vragen. Online wint op flexibiliteit en schaalbaarheid, mensen volgen het op een moment dat hen schikt, en je productieverlies blijft beperkt.

Wij adviseren in negen van de tien gevallen een hybride opzet. Online voor de kennisoverdracht en de herhaling, fysiek voor de momenten waarop je gedrag wilt veranderen. Een phishing-simulatie kun je prima digitaal draaien. Maar het gesprek over wát mensen tegenhoudt om verdacht gedrag intern te melden? Dat voer je beter in de zaal.

Welke extra kosten worden er vaak vergeten?

Een veelgemaakte misrekening: alleen rekenen met de prijs op de offerte. Reken bij de basisinvestering altijd 20 tot 100 euro per medewerker extra in voor zaken eromheen. Dat is een verhoging van zo’n 25 tot 40 procent, maar het is geen extraatje, het is wat het verschil maakt tussen een training die werkt en een training die afgevinkt wordt.

Concreet gaat het om certificering (zo’n €25 tot €75 per deelnemer voor een erkend certificaat), communicatiemiddelen (€15-€40). Voor een opdrachtgever wil je niet alleen een training, maar ook wellicht iets ludieks doen, zoals een lunch-special op een roll-up banner in de kantine: de data-lekkerbek, een tosti-prei-vacy en een gehackt-bal.

Daarnaast wil je ook meetinstrumenten inzetten waarmee je kennisretentie en gedrag in kaart kan brengen (€10-€30).

Belangrijker nog: doorlopende ondersteuning. Awareness die je één keer aanzet en daarna laat zwabberen, zakt razendsnel weg. Reken op een jaarlijks budget van 30 tot 50 procent van je initiële investering voor opfrissessies, en €10 tot €25 per medewerker per jaar voor doorlopende phishing-simulaties en awareness-campagnes.

En dan zijn er nog de interne kosten die zelden in een offerte staan: tijd van HR voor de coördinatie, ICT voor de implementatie, communicatie voor excellente interne communicatie en management voor evaluatie en bijsturing. Reken daar nog eens €50 tot €100 per deelnemer bovenop, afhankelijk van hoe complex het programma is.

Wat levert het op?

Dit is de vraag waar we de meeste managementteams op zien afhaken voordat ze überhaupt aan een offerte beginnen: “is het de moeite waard?”. Ons antwoord, op basis van wat we bij klanten zien: in veruit de meeste gevallen ja, en met een ruime marge.

De berekening is simpeler dan hij klinkt. Een goed opgezet programma voorkomt 70 tot 85 procent van de phishing-aanvallen die anders raak zouden zijn geweest. Voor een middelgrote organisatie scheelt dat ergens tussen de €50.000 en €200.000 per jaar aan incidentkosten, denk aan downtime, herstel, juridische kosten, reputatieschade. Een rekenvoorbeeld: een organisatie met honderd medewerkers die €15.000 investeert in een goed programma, bespaart vaak €45.000 tot €75.000 aan vermeden incidentkosten. Dat is een ROI van 200 tot 400 procent binnen twee jaar.

Maar ook hier geldt: dit zijn de cijfers die je kunt kwantificeren. De minder grijpbare opbrengsten, betere naleving, minder reputatierisico, klanten die je vertrouwen, zijn vaak doorslaggevender op de lange termijn.

Hoe meet je het concreet? Wij raden aan om vóór de training een nulmeting te doen en daarna te meten op drie, zes en twaalf maanden. Belangrijke indicatoren zijn de click-rate op phishing-simulaties (streef onder de vijf procent), het aantal incidenten dat medewerkers zelf melden (een stijging is hier goed nieuws), en hoe zelfverzekerd mensen zich voelen bij het herkennen van verdacht gedrag.

Wil je meer informatie over onze Security Awareness trainingen neem contact op, we helpen je graag verder.

Neem contact op

 

[seoaic_faq][{“id”:0,”title”:”Hoe vaak moet security awareness training worden herhaald om effectief te blijven?”,”content”:”Minimaal jaarlijks, maar het werkt beter als je het doorlopend houdt. Onderzoek én onze eigen ervaring laten zien dat kennis na zes maanden zonder herhaling fors wegzakt. Reken op een kwartaalse opfrisser van 30 tot 60 minuten en maandelijkse phishing-simulaties. Dat klinkt veel, maar het is per medewerker een paar uur per jaar.”},{“id”:1,”title”:”Hoe kies ik de juiste trainingsaanbieder?”,”content”:”Vraag door op vier punten: aantoonbare security-expertise, een trackrecord in jouw type organisatie, flexibele trainingsvormen die bij je cultuur passen, en heldere rapportage zodat je het effect kunt zien. Vraag om referenties, vraag een demo van het materiaal, en let op of de aanbieder voldoet aan Nederlandse regelgeving (AVG, CRKBO-erkenning voor scholing). Wij komen graag op die punten terug in een vrijblijvend gesprek.”},{“id”:2,”title”:”Kan ik zelf een security awareness training intern ontwikkelen om kosten te besparen?”,”content”:”Op papier ja, in de praktijk zelden goedkoper. Je hebt expertise nodig op twee fronten, cybersecurity én didactiek. Daarnaast heb je tijd nodig voor het opzetten en voor onderhoud en updates. Voor organisaties onder de duizend medewerkers is een bestaande oplossing aanpassen vrijwel altijd voordeliger dan iets van nul opbouwen.”},{“id”:3,”title”:”Hoe meet ik of mijn medewerkers daadwerkelijk veiliger werken na de training?”,”content”:”Pre- en post-meting, regelmatige phishing-simulaties en het bijhouden van incidenttrends. Een goede aanvulling: korte enquêtes naar het zelfvertrouwen van medewerkers. Mensen die zich onzeker voelen, melden minder snel iets verdachts, dat is een belangrijke verborgen kostenpost.”},{“id”:4,”title”:”Wat hebben mobiele, hybride en thuiswerkende teams extra nodig?”,”content”:”Voor remote teams zijn er aanvullende prioriteiten: zoals phishing herkenning op je mobiel, toegang tot het netwerk (VPN?), omgaan met persoonlijke apparaten op het werknetwerk, social engineering via videogesprekken, en veilig delen van bestanden. Reken op extra specifieke modules over thuisnetwerk-beveiliging en BYOD-beleid.”},{“id”:5,”title”:”Wat zijn de meest voorkomende fouten bij het implementeren van security awareness training?”,”content”:”Deze komen er bovenuit: één keer trainen en denken dat je klaar bent, te technische taal voor de gemiddelde medewerker, geen zichtbare steun vanuit de directie, en scenario’s die zo algemeen zijn dat niemand zich erin herkent. Daarnaast is awareness ook echt een “we moeten leren van fouten” en wat ik vaak zie is dat fouten veroordeeld worden. Voorkom dit door vooraf een plan op te stellen, content te differentiëren naar rol, executive sponsorship te regelen, herkenbare voorbeelden te gebruiken en last but not least: fouten kunnen en mogen gemaakt worden.”},{“id”:6,”title”:”Zijn er subsidies voor security awareness training?”,”content”:”Security awareness training is in Nederland doorgaans aftrekbaar als bedrijfskosten. Voor sommige sectoren zijn er specifieke regelingen via RVO of brancheorganisaties. Vraag het na bij je accountant en je branchevereniging, dat scheelt soms aanzienlijk.”}][/seoaic_faq]