Cyberveiligheid: slechts 32% werknemers gebruikt altijd 2FA

Werknemers gaan minder zorgvuldig met digitale beveiliging om dan ze zelf denken. Dat blijkt uit het Cybersecurity Gedragsonderzoek Alert Online 2026, waarover Personeelsnet op 5 oktober 2026 bericht. Volgens het Nationaal Cyber Security Centrum (NCSC) bepalen naast kennis ook de werkomgeving en de bedrijfscultuur in hoge mate of mensen veilig werken.

Wat laat het onderzoek zien?

De cijfers laten een flinke kloof zien tussen weten en doen:

• Slechts 32% van de werknemers gebruikt altijd tweestaps-authenticatie (2FA) voor werk.
• Slechts 13% gebruikt altijd een wachtwoordmanager voor zakelijke accounts.
• Slechts 21% gaat bij een verdachte e-mail altijd zelf naar de officiële website of app, in plaats van op de link te klikken.
• 33% meldt een eigen fout, bijvoorbeeld een link waarover achteraf twijfel ontstaat, altijd bij de organisatie.
• 53% deelt in enige mate persoonlijke documenten met AI-tools, variërend van zelden tot altijd.

Opvallend is dat werknemers die zichzelf online al voorzichtig genoeg vinden, juist minder vaak 2FA gebruiken. Meer kennis en meer vertrouwen in beveiligingsmiddelen leiden daarentegen wel tot veiliger gedrag.

Veilig gedrag moet vooral makkelijk zijn

Het onderzoek gebruikt het EAST-model om te laten zien hoe je gedrag beïnvloedt. Daarin draait het om vier principes: maak gewenst gedrag makkelijk (Easy), maak het aantrekkelijk (Attractive), zorg dat collega's het bij elkaar zien zodat een sociale norm ontstaat (Social) en bied informatie of interventies op het juiste moment aan (Timely).

Het effect van 'makkelijk' is in de cijfers terug te zien. Werknemers gebruiken vaker een wachtwoordmanager als die standaard in de browser of op de werktelefoon staat. Wie het controleren van e-mails veel tijd of moeite vindt kosten, kiest eerder de snelle route en klikt gewoon op de link. Voorlichting alleen is dus niet genoeg: de veilige route moet ook de gemakkelijkste zijn.

Ook de sociale norm telt. 2FA en wachtwoordmanagers worden vaker gebruikt wanneer collega's die zichtbaar inzetten.

Meldcultuur: fouten horen op tafel te komen

Dat maar een derde van de werknemers een eigen fout altijd meldt, is voor werkgevers een risico. Een geklikte phishinglink die niemand doorgeeft, kan ongemerkt grote gevolgen hebben. Volgens het onderzoek melden mensen vaker als ze merken dat dit in de organisatie wordt gewaardeerd en als duidelijk is hoe ze dat moeten doen. Een cultuur waarin medewerkers bang zijn voor de gevolgen van een fout, werkt de cyberveiligheid juist tegen.

AI en persoonsgegevens

Het delen van cv's en werknemersgegevens met AI-tools springt eruit. Het onderzoek laat zien dat werknemers vaker documenten delen naarmate ze de aanbieder meer vertrouwen en de AI-tool empathischer vinden. Een vriendelijke toon van een chatbot zegt echter niets over wat er met de gegevens gebeurt. Voor HR is dit extra gevoelig, omdat juist hier vaak persoonsgegevens van collega's en sollicitanten worden verwerkt.

Subsidie voor kleine bedrijven

Kleine bedrijven kunnen tot en met 30 november 2026 gebruikmaken van de subsidieregeling Mijn Cyberweerbare Zaak. De subsidie bedraagt 50% van de kosten van cybersecuritymaatregelen, met een maximum van €1.250 per aanvrager. De voorwaarden en de aanvraagprocedure vind je bij de uitvoerder van de regeling.

Wat betekent dit voor werkgevers?

Het onderzoek wijst op praktische stappen die weinig vragen van medewerkers:

1. Maak de veilige keuze de standaard. Richt wachtwoordmanagers in op werklaptops en werktelefoons, en schakel 2FA waar mogelijk verplicht in in plaats van het aan medewerkers over te laten.
2. Maak gedrag zichtbaar. Laat leidinggevenden en teamleden laten zien dat ze zelf 2FA en een wachtwoordmanager gebruiken. Dat werkt beter dan een mailtje met regels.
3. Geef informatie op het juiste moment. Een korte tip bij het inloggen of bij een verdachte mail heeft meer effect dan een jaarlijkse training.
4. Bouw een veilige meldcultuur. Zorg voor één duidelijk meldpunt, reageer waarderend op meldingen en koppel een eerlijk gemelde fout niet aan een sanctie.
5. Maak afspraken over AI. Leg vast welke tools zijn toegestaan en welke gegevens er nooit in mogen, zoals werknemersgegevens en cv's. Zorg dat medewerkers weten waar ze met vragen terechtkunnen.
6. Check de subsidie. Val je onder de doelgroep van Mijn Cyberweerbare Zaak, dan heb je tot en met 30 november 2026 om een aanvraag in te dienen.

Bij het verwerken van persoonsgegevens blijft de werkgever verantwoordelijk. Betrek daarom je functionaris gegevensbescherming of privacyadviseur als je AI-afspraken opstelt.