--- id: CP-388 slug: vergeetcurve-ebbinghaus-jaarlijkse-training lang: nl title: De vergeetcurve van Ebbinghaus description: "Waarom één jaarlijkse training niet volstaat: wat ENISA, NIST, het NCSC en CISA zeggen over het ontwerpen en meten van bewustmakingsprogramma's." canonical_url: https://startbrain.io/cyberpedia/nl/articles/vergeetcurve-ebbinghaus-jaarlijkse-training/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/vergeetcurve-ebbinghaus-jaarlijkse-training.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “De vergeetcurve van Ebbinghaus”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/vergeetcurve-ebbinghaus-jaarlijkse-training/ (CC BY 4.0) wing: 6 theme: learn_with_brain reflex: cr-015 schema: G2 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/vergeetcurve-ebbinghaus-jaarlijkse-training/ fr: https://startbrain.io/cyberpedia/fr/articles/courbe-oubli-ebbinghaus-formation-annuelle/ en: https://startbrain.io/cyberpedia/en/articles/ebbinghaus-forgetting-curve-annual-training/ de: https://startbrain.io/cyberpedia/de/articles/ebbinghaus-vergessenskurve-jahrliche-schulung/ es: https://startbrain.io/cyberpedia/es/articles/curva-olvido-ebbinghaus-formacion-anual/ it: https://startbrain.io/cyberpedia/it/articles/curva-oblio-ebbinghaus-formazione-annuale/ sources: - "n": 1 title: "Cybersecurity Culture Guidelines: Behavioural Aspects of Cybersecurity" publisher: ENISA url: https://www.enisa.europa.eu/publications/cybersecurity-culture-guidelines-behavioural-aspects-of-cybersecurity published: "2019-04-16" accessed: "2026-11-03" - "n": 2 title: Addressing Skills Shortage and Gap Through Higher Education publisher: ENISA url: https://www.enisa.europa.eu/publications/addressing-skills-shortage-and-gap-through-higher-education published: "2021-11-24" accessed: "2026-11-03" - "n": 3 title: Building a Cybersecurity and Privacy Learning Program publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/50/r1/final published: "2024-09-12" accessed: "2026-11-03" - "n": 4 title: A Role-Based Model for Federal Information Technology/Cybersecurity Training publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/16/r1/2pd published: "2013-10-24" accessed: "2026-11-03" - "n": 5 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" - "n": 6 title: Cybersecurity Awareness Month publisher: CISA url: https://www.cisa.gov/cybersecurity-awareness-month accessed: "2026-11-03" --- # De vergeetcurve van Ebbinghaus Laat een bewustmakingssessie van een uur, eén keer per jaar, blijvende sporen na? De vergeetcurve van Ebbinghaus is het uitgangspunt van dit artikel om dat te betwijfelen. Het artikel haalt er een eenvoudig idee uit: korte, herhaalde herinneringen werken beter dan één grote, losstaande sessie. Eerst een kanttekening. De pagina's die voor dit artikel zijn geraadpleegd, zijn handleidingen en richtlijnenpagina's van ENISA, NIST, het Britse NCSC en CISA. Geen van die pagina's beschrijft de curve van Ebbinghaus, en geen enkele noemt een cijfer voor wat een medewerker na enkele weken nog weet. Dit artikel noemt daarom geen vergeetpercentage. Het beperkt zich tot wat deze organisaties zeggen over het ontwerpen en opvolgen van bewustmakingsprogramma's. ## In 30 seconden - Waar het voorkomt: in elke organisatie die bewustmaking beperkt tot één jaarlijkse sessie. - Wat u moet onthouden: de handleiding van NIST beschrijft een aanpak volgens de levenscyclus, met evaluatiemethoden om het programma regelmatig te verbeteren en bij te werken [3]. - De reflex: meld een verdacht bericht meteen, zonder op de volgende training te wachten. - Als het al gebeurd is: als u op een dubieus bericht hebt gereageerd, waarschuw dan zonder uitstel uw beveiligingsteam. Het NCSC, de Britse dienst, publiceert een pagina over hoe u een verdacht bericht meldt en wat u doet nadat u op een oplichtingsmail hebt gereageerd [5]. ## Directe vragen ### Wat zegt de vergeetcurve van Ebbinghaus? Geen van de hier aangehaalde bronnen beschrijft haar. Het artikel kan dus geen waarden uit de curve citeren. Het verband met de jaarlijkse training blijft een werkhypothese van dit artikel, geen resultaat dat de geraadpleegde pagina's vaststellen. ### Is één training per jaar genoeg? De geraadpleegde pagina's zeggen dat niet in die bewoordingen. NIST beschrijft wel een aanpak volgens de levenscyclus, die bewustmaking, training en opleiding samen beheert, met evaluatiemethoden om het programma regelmatig te verbeteren en bij te werken [3]. Daaruit kan men afleiden, zonder dat de bron het zegt, dat zo'n programma verder gaat dan één sessie per jaar. ### Wat verwachten de handleidingen van een bewustmakingsprogramma? NIST schrijft: „The program should encourage behavior change as part of risk management and lead to developing a privacy and security culture in the organization.” [3] Het beoogde doel is dus gedragsverandering. ### Bestaat er een Europese handleiding over beveiligingscultuur? Ja. ENISA publiceerde op 16 april 2019 een rapport over de menselijke aspecten van cyberbeveiliging. Het behandelt psychologie en sociologie, maar ook etnografie, antropologie, menselijke biologie en gedragseconomie [1]. ## Wat er verandert voor medewerkers Voor de medewerker is het praktische punt dat hij of zij niet van een herinnering afhankelijk is. Een sessie die u één keer hebt gevolgd, vervangt geen eenvoudige handeling die binnen handbereik ligt. Het NCSC geeft een voorbeeld: een phishingbericht melden. Volgens de pagina is melden gratis en kost het maar een minuut: „Reporting a scam is free and only takes a minute.” [5] Het NCSC legt uit dat zulke meldingen het aantal ontvangen frauduleuze berichten verminderen, u een moeilijker doelwit maken en anderen beschermen [5]. De dienst zegt ook de bevoegdheid te hebben om frauduleuze adressen en sites te onderzoeken en te laten verwijderen [5]. Het NCSC voegt een gewoonte toe waarvoor geen training nodig is: criminelen gebruiken informatie die online beschikbaar is, sociale media inbegrepen, om hun berichten overtuigender te maken. Nadenken over wat u publiceert en uw privacyinstellingen nalopen verkleint het risico om doelwit te worden [5]. CISA vat de basishandelingen samen in vier punten, gepresenteerd tijdens de maand van de cyberbeveiliging in oktober: phishing vermijden en melden, sterke wachtwoorden gebruiken, multifactorauthenticatie inschakelen met een wachtwoordmanager, software bijwerken [6]. Elke herinnering (een poster, een intern bericht, een korte teambespreking) kan er maar één van oppakken. ## Wat er verandert voor de directie Voor de directie wijzen de geraadpleegde bronnen eerder naar meten dan naar het simpelweg tellen van deelnemers. NIST geeft aan dat zijn handleiding voorgestelde indicatoren en evaluatiemethoden bevat, om het programma regelmatig te verbeteren [3]. Het preciseert ook dat de aanbevelingen aanpasbaar zijn, voor grote of kleine organisaties, ook voor organisaties die een programma vanaf nul opbouwen [3]. NIST presenteert zijn programma als een proces dat bewustmaking, training en opleiding beheert voor een gevarieerde reeks doelgroepen van federale medewerkers [3]. Een tweede openbaar ontwerp uit 2013, inmiddels vervangen, beschreef een rolgebaseerd opleidingsmodel voor mensen met belangrijke verantwoordelijkheden in IT of cyberbeveiliging [4]. In dit artikel is de afleiding dat een identieke jaarlijkse module voor iedereen slecht past bij die verscheidenheid aan doelgroepen, maar geen enkele bron zegt dat. CISA biedt van zijn kant een toolkit voor de maand van de cyberbeveiliging 2026, met beeldmateriaal en presentaties die organisaties voor hun eigen campagnes kunnen gebruiken [6]. ENISA beschrijft het beleid van de lidstaten van de Europese Unie aan de hand van vier doelstellingen: bewustmaking, training, uitdagingen en oefeningen [2]. Bewustmaking is daar één doelstelling naast andere, samen met training en oefeningen. Geen van deze pagina's stelt een frequentiedrempel vast, bijvoorbeeld een aantal herinneringen per jaar. Dit artikel noemt er dus geen. ## Wat de tekst zegt Het belangrijkste geraadpleegde document is publicatie SP 800-50 revisie 1 van NIST, getiteld „Building a Cybersecurity and Privacy Learning Program”. Zij biedt Amerikaanse federale agentschappen en organisaties richtlijnen om een leerprogramma voor cyberbeveiliging en privacy op te bouwen volgens een aanpak via de levenscyclus [3]. Zij steunt op algemeen aanvaarde normen, regelgeving, wetgeving en goede praktijken [3]. Deze publicatie vervangt de SP 800-50 uit 2003 en de SP 800-16 uit 1998 [3]. De pagina noemt de Cybersecurity Enhancement Act en OMB Circular A-130 onder de bijbehorende wetten en regelgeving [3]. Een eerdere versie van SP 800-16 revisie 1, gedateerd oktober 2013, beschrijft een rolgebaseerd opleidingsmodel. Zij preciseert dat elke persoon die informatie bezit, gebruikt of beheert, zijn of haar beveiligingsverantwoordelijkheden goed moet begrijpen [4]. Deze versie is een tweede openbaar ontwerp, en de pagina geeft aan dat zij op 14 maart 2014 is vervangen door een derde ontwerp [4]. Het ENISA-rapport van 2021 formuleert van zijn kant vijf aanbevelingen over het tekort aan cyberbeveiligingsvaardigheden in de Unie. De geraadpleegde pagina's werken de inhoud ervan niet uit [2]. ## Hoe ver de toepassing staat De geraadpleegde documenten zijn handleidingen. De pagina's spreken niet van een wettelijke verplichting voor een particulier bedrijf om medewerkers met een bepaalde frequentie op te leiden, en dit artikel beweert er geen. Aan Amerikaanse kant dateert de definitieve versie van SP 800-50 revisie 1 van september 2024, na twee openbare ontwerpen die in september 2021 en augustus 2023 zijn gepubliceerd [3]. Zij richt zich op federale agentschappen en organisaties [3]. Aan Europese kant rekent de ENISA-pagina over cyberbeveiligingscultuur het rapport van 2019 tot de inhoud die voor de particuliere sector is geschreven [1]. Zij vermeldt ook afspraken: een derde Europese conferentie over bewustmaking, gepland op 11 november 2026 [1]. De pagina's zeggen niet welke organisaties deze handleidingen toepassen, noch met welke resultaten. Het centrale idee van dit artikel moet nog in een specifieke bron worden gecontroleerd. Het meten van werkelijk gedrag, bijvoorbeeld het percentage meldingen van verdachte berichten, past bij de richtlijnen van NIST. Geen van de geraadpleegde documenten geeft er een cijfer voor. ## Bronnen 1. ENISA, “Cybersecurity Culture Guidelines: Behavioural Aspects of Cybersecurity”, 16 april 2019. https://www.enisa.europa.eu/publications/cybersecurity-culture-guidelines-behavioural-aspects-of-cybersecurity (geraadpleegd op 3 november 2026) 2. ENISA, “Addressing Skills Shortage and Gap Through Higher Education”, 24 november 2021. https://www.enisa.europa.eu/publications/addressing-skills-shortage-and-gap-through-higher-education (geraadpleegd op 3 november 2026) 3. NIST, “Building a Cybersecurity and Privacy Learning Program”, 12 september 2024. https://csrc.nist.gov/pubs/sp/800/50/r1/final (geraadpleegd op 3 november 2026) 4. NIST, “A Role-Based Model for Federal Information Technology/Cybersecurity Training”, 24 oktober 2013. https://csrc.nist.gov/pubs/sp/800/16/r1/2pd (geraadpleegd op 3 november 2026) 5. NCSC (Royaume-Uni), “Phishing scams: how to spot and report them”, 26 november 2021. https://www.ncsc.gov.uk/collection/phishing-scams (geraadpleegd op 3 november 2026) 6. CISA, “Cybersecurity Awareness Month”. https://www.cisa.gov/cybersecurity-awareness-month (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/vergeetcurve-ebbinghaus-jaarlijkse-training/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.