---
id: "conformite-003"
title: "ISO 27001:2022 en Beheersmaatregel A.6.3: Wat toetst de auditor echt bij uw security awareness?"
description: "Voldoe aan beheersmaatregel A.6.3 van ISO 27001:2022 tijdens uw audit: ontdek de vereiste KPI's, concrete bewijslast en effectieve opvolging."
canonical: https://startbrain.io/nl/cybersecurity/iso-27001-beheersmaatregel-a63-audit-awareness/
slug: "iso-27001-beheersmaatregel-a63-audit-awareness"
date: "2026-09-01"
category: "conformite"
product: "cyberjourney"
lang: nl
author: "Brain Security · R&D Cyber & Menselijke Factor"
frameworks: "NCSC-NL · NIS 2 · DORA · NEN 7510 · AVG · ISO 27001"
---

# ISO 27001:2022 (Beheersmaatregel A.6.3): Wat toetst de auditor echt bij uw security awareness?

De datum van uw ISO 27001-certificeringsaudit nadert en uw toegangsbeleid, risicoanalyse en behandelplan liggen klaar. Toch blijft een cruciale vraag vaak openstaan: waar let de externe auditor nu écht op bij het beoordelen van de menselijke factor binnen uw ISMS? Te veel organisaties veronderstellen nog altijd dat een verplichte jaarlijkse e-learning voor alle medewerkers volstaat om deze beheersmaatregel af te vinken.

In de normversie ISO/IEC 27001:2022 en beheersmaatregel A.6.3 (Informatiebeveiligingsbewustzijn, -opleiding en -training) zijn de verwachtingen van auditoren echter aanzienlijk aangescherpt. Een auditor wil niet enkel zien dat er opleidingsmateriaal bestaat, maar toetst of uw programma actueel is, aansluit op uw risicoprofiel en meetbare gedragsverandering oplevert. Hier leest u hoe u dit traject gestructureerd documenteert en aantoont zonder stress op de auditdag.

---

## Wat vereist beheersmaatregel A.6.3 van ISO 27001:2022 precies?

> **Kort samengevat: Beheersmaatregel A.6.3 vereist dat personeel en relevante externe partijen passend getraind en gesensibiliseerd worden rond het informatiebeveiligingsbeleid, afgestemd op hun specifieke functies en actuele operationele dreigingen.**

Binnen de herziening van 2022 krijgt de menselijke pijler een veel hogere operationele maturiteit. De norm onderscheidt doelgericht drie dimensies: bewustzijn (algemene alertheid), vorming (het aanleren van methodische reflexen) en training (rolspecifieke technische vaardigheden).

De auditor toetst uw aanpak doorgaans aan vier basisprincipes:
- **Afstemming op functies en rollen:** softwareontwikkelaars, de aankoopdienst en HR-medewerkers verwerken verschillende gegevens en lopen uiteenlopende risico's. Uw opleidingsplan moet deze nuance expliciet reflecteren.
- **Continue frequentie:** een eenmalige sessie om de twaalf maanden geldt in het huidige dreigingslandschap als ontoereikend. De auditor verwacht een terugkerend ritme (maandelijks of per kwartaal).
- **Structurele onboarding:** nieuwe medewerkers moeten al in de eerste weken van hun indiensttreding aantoonbaar kennismaken met de geldende securityrichtlijnen.
- **Aansluiting op actuele dreigingen:** wanneer uw sector doelwit is van gerichte CEO-fraude of vishing, moet uw educatieve content deze actuele incidenten snel integreren.

---

## Hoe documenteert u uw programma succesvol voor de ISO-audit?

> **Kort samengevat: Voor een geslaagde ISO 27001-audit levert u een formeel jaarplan aan, kwantitatieve voltooiingspercentages per afdeling, bewijs van periodieke updates rond actuele risico's en evaluaties van het daadwerkelijke leerrendement.**

Tijdens de auditgesprekken hebben goede intenties geen waarde zonder tastbare bewijzen (de gedocumenteerde informatie conform clausule 7.5). De externe auditor zal u vragen uw dashboards te openen en objectieve data te tonen.

### De 4 onmisbare bewijsstukken voor de auditdag

1. **Het formele awarenessplan:** een door het management goedgekeurd document met de jaarplanning, de gekozen thema's (phishing, wachtwoordbeleid, social engineering, shadow IT) en de frequentie.
2. **De dekkingsgraad van uw personeel:** een geconsolideerd overzicht waaruit blijkt welke medewerker welke module heeft afgerond. Hanteer een streefcijfer boven de 85% voltooiing en documenteer uw herinneringsprocedures voor achterblijvers.
3. **Meting van getoetste kennis:** het louter aanklikken van "gelezen en begrepen" toont geen kennisopname aan. Auditoren hechten waarde aan interactieve kennistoetsen, scenario's of realistische simulaties.
4. **De cyclus van continue verbetering:** toon aan hoe u modules bijstuurt op basis van interne incidenten, recente phishingresultaten of feedback van teams.

Om medewerkers regelmatig te trainen zonder hun dagelijkse werkdruk te verhogen, biedt een modulair traject met micro-learning zoals [Cyber Journey](/nl/catalogus/cyber-journey/) een effectieve oplossing om kennis over het jaar te spreiden. Deze korte leereenheden met ingebouwde quizzen genereren heldere voortgangsrapportages die u direct als auditbewijs kunt overleggen.

---

## Veelvoorkomende valkuilen die leiden tot non-conformiteiten

Tekortkomingen rond beheersmaatregel A.6.3 ontstaan zelden door een compleet gebrek aan initiatief, maar veeleer door een haperende opvolging en administratieve inconsistentie.

- **Het one-shot-syndroom:** één lange klassikale sessie in januari organiseren en het onderwerp daarna elf maanden laten rusten, geldt voor auditoren als een gebrek aan continuïteit.
- **Het vergeten van externe krachten:** wanneer externe consultants, interimkrachten of vaste IT-leveranciers toegang hebben tot uw kritieke systemen, toetst de auditor of zij eveneens onder het bewustwordingsprogramma vallen.
- **Verouderd lesmateriaal:** trainingsmateriaal dat al jaren niet is herzien en geen aandacht besteedt aan moderne risico's (zoals door AI ondersteunde identity spoofing) tast de geloofwaardigheid van uw ISMS direct aan.
- **Het ontbreken van KPI's:** zonder concrete stuurgetallen tijdens de directiebeoordeling (deelnamepercentages, kennisscores, doorlooptijden) kunt u de werking van de maatregel niet verdedigen.

---

## Bouwen aan een aantoonbare veiligheidscultuur

Beheersmaatregel A.6.3 is geen puur administratieve verplichting, maar een strategisch instrument om het management te betrekken en veiligheidsrichtlijnen praktisch toepasbaar te maken op de werkvloer. Door te kiezen voor regelmatige, interactieve en meetbare leermomenten transformeert u auditvereisten in een duurzame beschermingslaag voor uw organisatie.

Bereidt u zich voor op een ISO 27001-certificering of herbeoordeling en wilt u uw trainingsaanpak moderniseren en auditeerbaar maken? [Plan een gesprek met ons in](/nl/afspraak/) om te ontdekken hoe u een effectief bewustwordingsprogramma inricht dat naadloos aansluit op uw normkader.

### Executive Synthesis of Guide Pillars: ISO 27001:2022 en Beheersmaatregel A.6.3: Wat toetst de auditor echt bij uw security awareness?

| Strategic Dimension | Detailed CISO Recommendation |
| --- | --- |
| **Afstemming op functies en rollen** | softwareontwikkelaars, de aankoopdienst en HR-medewerkers verwerken verschillende gegevens en lopen uiteenlopende risico's. Uw opleidingsplan moet… (Wat vereist beheersmaatregel A.6.3 van ISO 27001:2022 precies?) |
| **Het one-shot-syndroom** | één lange klassikale sessie in januari organiseren en het onderwerp daarna elf maanden laten rusten, geldt voor auditoren als een gebrek aan… (Veelvoorkomende valkuilen die leiden tot non-conformiteiten) |
| **Continue frequentie** | een eenmalige sessie om de twaalf maanden geldt in het huidige dreigingslandschap als ontoereikend. De auditor verwacht een terugkerend ritme… (Wat vereist beheersmaatregel A.6.3 van ISO 27001:2022 precies?) |
| **Het vergeten van externe krachten** | wanneer externe consultants, interimkrachten of vaste IT-leveranciers toegang hebben tot uw kritieke systemen, toetst de auditor of zij eveneens… (Veelvoorkomende valkuilen die leiden tot non-conformiteiten) |

---

## Verder lezen: gerelateerde artikelen en oplossingen van Brain Security

### Aanvullende artikelen over dit thema

- **[AP en AVG controle: Waarom security awareness een verplichte beveiligingsmaatregel is](/nl/cybersecurity/avg-controle-security-awareness-trainingen-documenteren/)** (Compliance (NIS 2, DORA, ISO)) : Bij een controle door de privacytoezichthouder is AVG-training verplicht volgens artikel 32 en 39. Ontdek hoe u uw security-initiatieven documenteert.
- **[NIS 2 en bestuurdersaansprakelijkheid: Hoe traint u een directiecomite in 45 minuten?](/nl/cybersecurity/nis-2-bestuurdersaansprakelijkheid-directie-training-45-minuten/)** (Compliance (NIS 2, DORA, ISO)) : Ontdek hoe u bestuurders effectief traint voor NIS 2 in 45 minuten dankzij realistische crisissimulaties en strategische besluitvorming.
- **[SOC 2 audit: Security awareness 12 maanden organiseren en borgen](/nl/cybersecurity/soc-2-audit-security-awareness-organiseren/)** (Compliance (NIS 2, DORA, ISO)) : Ontdek hoe u security awareness structureert en documenteert over 12 maanden om uw SOC 2 Type II audit vlot te doorstaan.
- **[Vergeetcurve van Ebbinghaus: Hoe veranker je cyberreflexen blijvend?](/nl/cybersecurity/ebbinghaus-vergeetcurve-cybersecurity-reflexen-verankeren/)** (Gamification) : Ontdek hoe je de vergeetcurve verslaat in cybersecurity met microlearning en spaced repetition om echte gedragsreflexen te bouwen.

### Oplossingen van Brain Security op de website ontdekken

- **Bijbehorende oplossing : [Cyber Journey](/nl/catalogus/cyber-journey/)** : Het cyber-leertraject als voortgangskaart: korte hoofdstukken en een ingebedde arcadequiz, zonder een account aan te maken.
- **[Gebruikssituaties per doelstelling en sector bekijken](/nl/gebruikssituaties/)**
- **[Onze formats voor cyber- en AI-bewustwording vergelijken](/nl/vergelijking/)**
- **[De volledige interactieve catalogus van Brain Security bekijken](/nl/catalogus/)**
- **[Bespreek uw behoeften met ons team (demo en opzet)](/nl/afspraak/)**

---

- https://startbrain.io/nl/cybersecurity/iso-27001-beheersmaatregel-a63-audit-awareness/
- [Français](https://startbrain.io/fr/cybersecurite/iso-27001-controle-a-6-3-sensibilisation-audit/)
- [Deutsch](https://startbrain.io/de/cybersecurity/iso-27001-control-a-6-3-awareness-audit/)
- [English (UK)](https://startbrain.io/en-gb/cybersecurity/iso-27001-control-a63-cyber-awareness-audit/)
- [English (US)](https://startbrain.io/en-us/cybersecurity/iso-27001-control-a63-security-awareness-audit/)
- [Español](https://startbrain.io/es/cyberseguridad/iso-27001-control-concienciacion-seguridad-auditoria/)
- [Italiano](https://startbrain.io/it/sicurezza-informatica/iso-27001-controllo-a63-audit-consapevolezza/)
- [Português](https://startbrain.io/pt/ciberseguranca/iso-27001-controlo-a63-auditoria-sensibilizacao/)
- [日本語](https://startbrain.io/ja/cybersecurity/iso-27001-2022-control-a63-isms-audit-training/)
- [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/iso-27001-2022-kontrola-a63-szkolenia-security-awareness/)
- [Svenska](https://startbrain.io/sv/cybersakerhet/iso-27001-kontroll-a-6-3-sakerhetsutbildning/)
- [Dansk](https://startbrain.io/da/cybersikkerhed/iso-27001-kontrol-a63-awareness-traening/)
- [Suomi](https://startbrain.io/fi/kyberturvallisuus/iso-27001-hallintakeino-a-6-3-tietoturvakoulutus-auditointi/)
- [Norsk](https://startbrain.io/no/cybersikkerhet/iso-27001-kontroll-a-6-3-sikkerhetsopplaering/)
- [English (Canada)](https://startbrain.io/en-ca/cybersecurity/iso-27001-2022-control-a63-cybersecurity-awareness-audit/)
- [llms.txt](https://startbrain.io/llms.txt)