Werken als Security Awareness Specialist

Wat doet een Security Awareness Specialist?

Een Security Awareness Specialist ontwerpt, geeft en onderhoudt de programma's waarmee medewerkers leren dreigingen te herkennen en er veilig mee om te gaan. Neem een medewerker die een mail krijgt die er echt uitziet. Awareness zorgt dat die medewerker weet waar je op moet letten, weet wat je dan doet en durft te melden. Dat is meer dan een jaarlijkse e-learning: het gaat om gedrag in het dagelijks werk, om een cultuur waarin melden gewoon is, en om middelen die veilig gedrag makkelijk maken.

Een voorbeeld laat zien hoe dat in de praktijk gaat. Het SOC of de helpdesk merkt dat een bepaalde phishingmail op één afdeling vaker wordt gemeld en dat een paar collega's erop hebben geklikt. De specialist bespreekt met het SOC wat er precies speelde, schrijft een korte, heldere waarschuwing in de taal van die afdeling en plant een korte sessie in. Die sessie laat zien hoe je de mail herkent en hoe je meldt. Een paar weken later kijkt de specialist of er sneller en vaker wordt gemeld. Niemand wordt aangewezen als schuldige, want het doel is dat melden gewoon wordt.

Het European Cybersecurity Skills Framework (ECSF) van ENISA beschrijft twaalf beroepsprofielen voor cybersecurity. Het profiel dat hier het dichtst bij ligt, is de Cybersecurity Educator. De alternatieve titels in dat profiel zijn Cybersecurity Awareness Specialist, Cybersecurity Trainer en Faculty in Cybersecurity (Professor, Lecturer). Het profiel gaat over het verbeteren van de cybersecuritykennis, -vaardigheden en -competenties van mensen, en over het verankeren van het belang van security in de organisatie. De ENISA-publicatie over de rolprofielen beschrijft dat in detail.

Het werk draait niet om mensen betrappen. Het NCSC schrijft dat een cybertraining bedoeld is om medewerkers in een veilige omgeving te laten leren, communiceren en samenwerken. Het vakgebied ligt dicht bij compliance en privacy, omdat gegevensbescherming ook in trainingen terugkomt.

Welke taken horen bij de functie?

Het ECSF-profiel beschrijft de taken van de Cybersecurity Educator. In gewone taal gaat het om een paar kernactiviteiten. Je ontwikkelt en onderhoudt curricula en lesmateriaal over cybersecurity en gegevensbescherming, afgestemd op de inhoud, de methode en de behoeften van de deelnemers. Je organiseert, ontwerpt en geeft bewustwordingsactiviteiten, cursussen en praktijktraining. Je meet de effectiviteit van de training, evalueert de prestaties van deelnemers en rapporteert daarover. Je ontwerpt simulaties of oefenomgevingen, zoals virtuele labs of cyber range-omgevingen, en je zoekt naar nieuwe aanpakken voor onderwijs en bewustwording.

Dat levert twee resultaten op: een awareness-programma en trainingsmateriaal. Het programma is het geheel van activiteiten, het materiaal is wat deelnemers in handen krijgen.

Ook NIS2 raakt aan dit werk. NIS2 (Richtlijn (EU) 2022/2555) noemt in artikel 21, lid 2, onder de ten minste vereiste maatregelen voor cyberbeveiligingsrisicobeheer "basic cyber hygiene practices and cybersecurity training", oftewel basis-cyberhygiëne en cybersecuritytraining. ENISA koppelt in een document van juni 2025 de Cybersecurity Educator aan die lijst. De rol maakt en geeft awareness- en trainingsprogramma's voor bestuursorganen en medewerkers, en richt basis-cyberhygiëne in. Wat dat voor een organisatie betekent, lees je in het kennisbankartikel over NIS2 en de Cyberbeveiligingswet en op de skillpagina voor NIS2.

Welke skills heb je nodig?

Het ECSF noemt een reeks kernvaardigheden. In de praktijk komen ze neer op de volgende punten.

Je moet inzicht hebben in wat een doelgroep al weet en wat ze nodig heeft. Een medewerker op de financiële afdeling krijgt te maken met betalingsfraude, een ontwikkelaar met geheimen in code, en een bestuurder met besluiten over risico's. Een goede specialist kiest per groep een andere vorm en toon.

Je ontwerpt leerprogramma's en kiest de juiste didactische aanpak. Een korte workshop voor één team werkt anders dan een e-learning voor de hele organisatie.

Je presenteert en motiveert. Een boodschap maak je kort en concreet, en een workshop leid je zo dat mensen meedoen. Een medewerker die een foute mail meldt, krijgt een bedankje, geen preek.

Je hebt basiskennis van security en privacy, genoeg om risico's uit te leggen zonder te hoeven gokken. Gegevensbescherming komt ook in trainingen terug, zie bijvoorbeeld de skillpagina AVG en het kennisbankartikel over de AVG voor privacy-professionals.

Je meet wat werkt: het aantal en de snelheid van meldingen, de uitkomst van quizzen, vragen uit de organisatie en de mening van deelnemers. Meten kost tijd, en een lager klikgedrag zegt niet alles. Een afdeling die vaker meldt, laat soms juist een gezonde meldcultuur zien.

Ten slotte heb je geduld nodig. Gedrag verandert langzaam, en het moet zonder dat iemand zich schuldig voelt.

Welke tools en methoden gebruikt een Security Awareness Specialist?

Het NCSC noemt een aantal oefeningen voor medewerkers. Een phishingquiz is een online kennistest waarin medewerkers nep-e-mails beoordelen. Een fraudequiz test kennis over veelvoorkomende vormen van zakelijke online fraude. E-learning gaat over phishing, veilig internetten en social engineering. Serious games zijn interactieve, educatieve spellen die medewerkers trainen in het omgaan met cyberdreigingen.

Het NCSC noemt ook maatregelen die veilig gedrag makkelijker maken, zoals een meldknop om phishing te melden. Een meldknop in de mailclient maakt melden eenvoudiger en past daarmee bij een meldcultuur.

Verder werk je met leerplatforms, enquêtes, posters, intranetberichten en workshops. Bij sommige organisaties hoort er ook een platform voor phishingsimulaties bij. Een simulatie vraagt zorgvuldigheid: leg vooraf uit waarom je hem doet, zorg dat de uitkomst voor leren wordt gebruikt en niet voor straf, en bespreek met de Privacy Officer en de ondernemingsraad wat past. Dat is een afweging, geen vaste regel. De vacature laat zien welke middelen de organisatie gebruikt.

Welke opleiding en certificeringen passen bij een Security Awareness Specialist?

Er is geen vaste opleiding voor dit werk. Achtergronden die je tegenkomt zijn communicatie, onderwijskunde of training, psychologie, ICT en security. Een achtergrond in communicatie of onderwijs helpt bij het ontwerpen van leerprogramma's. Een technische achtergrond helpt bij de vragen die medewerkers over apparaten en accounts stellen.

Het ECSF noemt het begeleiden van certificeringstrajecten voor individuen als taak, en cybersecurity-gerelateerde certificeringen als kennisgebied. Het noemt geen verplichte certificering. CompTIA Security+ geeft een brede basis in security-onderwerpen, en op de skillpagina CompTIA Security zie je de bijbehorende vacatures. CISSP, CISM en CISA liggen verder weg van het dagelijks werk van een awareness-specialist en horen bij een andere loopbaanrichting. Meer over die keuze lees je in het keuzeartikel over CISSP, CISM en CISA.

Een certificering vervangt ervaring niet. Of een werkgever er waarde aan hecht, verschilt.

Hoe word je Security Awareness Specialist?

Je kunt instromen vanuit communicatie, training, HR, de helpdesk of een securityrol. Wie uit communicatie of training komt, kent het publiek en weet hoe mensen leren, maar moet de security-basis leren. Wie uit een securityrol komt, kent de risico's en moet leren hoe je mensen bereikt. Wie uit HR of de helpdesk komt, kent de vragen die medewerkers stellen.

De eerste stappen kun je zelf zetten. Richt een kleine campagne of workshop in voor een vereniging, een team of vrienden. Leer een phishingmail in een paar zinnen uitleggen, zodat iemand zonder security-achtergrond het begrijpt. Maak een voorbeeldcampagne met een doel, een doelgroep, de middelen die je gebruikt en de manier waarop je meet of het werkt. Dat materiaal laat je zien aan een werkgever. Het belooft geen baan, maar het laat zien wat je kunt.

Waar werk je als Security Awareness Specialist?

Je werkt binnen een security- of complianceteam, soms bij de afdeling communicatie of HR. Ook adviesbureaus en trainingsbureaus die awareness voor klanten verzorgen, hebben deze rol. Sectoren met een grote en gevarieerde groep medewerkers zijn onder meer onderwijs en onderzoek, zorg en life sciences, de rijksoverheid, gemeenten en provincies en financiële dienstverlening. Voor werkgevers in dit vak is er een aparte pagina.

Waar groei je naartoe?

• Senior of lead awareness. Je leidt programma's voor de hele organisatie.
• Security Manager. Je stuurt security als geheel aan, zie de rolgids voor Security Manager.
• Information Security Officer. Je coördineert beleid en risico's, waarvan awareness een onderdeel is. Zie de rolgids voor Information Security Officer.
• Privacy Officer. Je werkt aan gegevensbescherming, met veel overlap met training. Zie de rolgids voor Privacy Officer.
• Compliance Officer. Je houdt toezicht op naleving, inclusief de trainingsverplichtingen. Zie de rolgids voor Compliance Officer.
• Een rol in een securityteam. Na bijscholing, bijvoorbeeld als SOC-analist.

Welke route openstaat, hangt af van de organisatie en van je ervaring.

Security Awareness Specialist of Information Security Officer?

Kies awareness als je mensen wilt bereiken, en de rol van de Information Security Officer als je het hele plaatje wilt sturen. In kleinere organisaties kan één persoon beide doen.

Vacatures en werkgevers

Bekijk de openstaande vacatures voor Security Awareness Specialists. Voor werkgevers die deze rol zoeken is er de werkgeverspagina.