Veelgestelde vragen Awareness Training

Cybersecurity Awareness Training leert medewerkers over cyberveiligheidsrisico’s, veilig online gedrag en hun rol bij het beschermen van de informatie en systemen van de organisatie. Het doel is menselijke fouten te verminderen, bewustwording te vergroten en de weerbaarheid van de organisatie als geheel te versterken.

Awareness Training leert medewerkers om dreigingen te herkennen en veilig te handelen. Zo helpt de training om beveiligingsincidenten te voorkomen. Ook ondersteunt de training organisaties bij wettelijke eisen en regels.

Alle medewerkers doen bij voorkeur mee, ongeacht hun functie. IT- en OT-medewerkers hebben vaak meer technische kennis nodig. Maar ook andere medewerkers kunnen te maken krijgen met cyberrisico’s. Daarom is het belangrijk dat de hele organisatie meedoet.

In deze video van 2 minuten leggen we uit wat certificering is en hoe dit werkt:

Met een CCV-keurmerk laat een bedrijf zien dat de geleverde producten en/of diensten voldoen aan de norm. Dit wordt beoordeeld door een certificatie-instelling die een overeenkomst heeft met het CCV. Door te kiezen voor een CCV-keurmerk kies je voor kwaliteit en transparantie.

Het CCV is eigenaar en uitgever van het schema Awareness Training en treedt op als onafhankelijke schemabeheerder. Bij de ontwikkeling van het schema heeft het CCV verschillende belanghebbenden betrokken, waaronder opdrachtgevers en dienstverleners. Zo zijn kennis, ervaring en belangen uit de praktijk samengebracht.

Als opdrachtgever kun je dit controleren op de website van het CCV. Daar staat een overzicht van alle gecertificeerde aanbieders van Awareness Training.

Een aanbieder in dit overzicht werkt onder het CCV-keurmerk. Dat betekent dat de training onafhankelijk is getoetst aan vaste eisen. Zo kun je aanbieders beter vergelijken op aantoonbare kwaliteit.

De opdrachtgever sluit een overeenkomst met een gecertificeerde dienstverlener voor Awareness Training. De kosten voor het uitvoeren van een Awareness Training verschillen per trainingsvorm, duur, doelgroep en gekozen dienstverlener. Om inzicht te krijgen in de kosten van Awareness Training vraag je daarom een offerte aan bij een dienstverlener die Awareness Training aanbiedt. Bekijk de dienstverleners die onder het keurmerk werken.

Ja. Als de dienstverlener niet langer voldoet aan de eisen van het certificatieschema, kan het certificaat van de dienstverlener worden geschorst of ingetrokken. Schorsingen worden gepubliceerd. Als een certificaat wordt ingetrokken, wordt de dienstverlener niet langer vermeld op de website van het CCV.

Bij schorsing of intrekking mag de dienstverlener in geen enkele communicatie meer verwijzen naar de gecertificeerde status. Als de dienstverlener klanten blijft werven met een beweerde gecertificeerde status, is er sprake van fraude. De certificatie-instelling houdt hier toezicht op. Het CCV treedt op tegen dienstverleners die geen klant zijn van een certificatie-instelling, maar ten onrechte een keurmerk gebruiken.

De vermelding van de dienstverlener op de website van het CCV wordt aangepast van ‘gecertificeerd’ naar ‘geschorst’. De dienstverlener is echter niet verplicht om bestaande klanten actief te informeren over een schorsing. Bij een schorsing kunnen de vastgestelde tekortkomingen worden hersteld. Bij intrekking moet de dienstverlener verdere maatregelen nemen om opnieuw aan de eisen te voldoen. In zulke gevallen kan de vermelding tijdelijk of blijvend van de website van het CCV worden verwijderd.

Het certificatieschema Awareness Training is onder meer gebaseerd op een minimumeis voor personeel: een Verklaring Omtrent het Gedrag (VOG) die niet ouder is dan 3 jaar. Als een opdrachtgever een strengere screening van de dienstverlener of medewerker nodig vindt, kan dit bij het verstrekken van de opdracht worden afgesproken en geregeld. In de meeste gevallen volstaat een VOG die niet ouder is dan 3 jaar.

Afspraken over de verwerking van persoonsgegevens, anonimisering en bewaartermijnen worden vastgelegd in de voorwaarden van de dienstverlener en, waar van toepassing, aanvullend in het contract tussen de dienstverlener en de klant.

Een dienstverlener moet voldoen aan de eisen van het CCV-certificatieschema voor Awareness Training. Dit betekent dat er kwaliteitseisen worden gesteld aan de uitvoering van de training én aan de organisatie zelf. Trainers moeten bijvoorbeeld beschikken over de vereiste kwalificaties, er moet een klachtenprocedure zijn en er moet aan andere organisatorische eisen worden voldaan.

Belangrijk is dat de eisen niet alleen zijn ingevoerd, maar dat je ook kunt aantonen dat je in de dagelijkse praktijk volgens de kwaliteitsnormen werkt. Bijvoorbeeld met een kwaliteitsmanagementsysteem. Dit wordt gecontroleerd tijdens de audit bij jouw organisatie.

Om gecertificeerd te worden voor het CCV-keurmerk Awareness Training doorloopt je organisatie de volgende stappen:

• Beoordeel of je organisatie voldoet aan de kwaliteitseisen uit het CCV-certificatieschema Cyber Security Awareness Training.
• Kies het niveau van certificering: Level 1 (alleen los aangeboden trainingen) of Level 2 (ook geïntegreerde trajecten).
• Benader een certificatie-instelling die het certificatieschema toepast op jouw organisatie. Sluit een overeenkomst met de certificatie-instelling van jouw keuze: DigiTrust of Kiwa.
• De certificatie-instelling controleert met een audit of jouw organisatie voldoet aan de eisen uit het CCV-certificatieschema voor Awareness Training.
• Als tijdens de audit tekortkomingen worden vastgesteld, herstel je deze binnen je organisatie en meld je dit terug aan de certificatie-instelling.
• Na succesvolle afronding van de audit ontvang je van de certificatie-instelling het certificaat Awareness Training.
• Vanaf dat moment mag je Awareness Training aanbieden onder het CCV-keurmerk.
• Je organisatie wordt op de website van het CCV vermeld als dienstverlener voor Awareness Training die onder certificering werkt.
• Jaarlijks voert de certificatie-instelling een beoordeling uit om te controleren of je organisatie blijft voldoen aan de kwaliteitseisen van het certificatieschema.

Nee, certificering is niet wettelijk verplicht. Een aanbieder kiest hier zelf voor. Met certificering laat de aanbieder zien dat de training onafhankelijk is getoetst aan vaste kwaliteitseisen. Zo maakt de aanbieder kwaliteit zichtbaar voor opdrachtgevers.

Wil je weten wat certificering kost? Vraag dan een offerte aan bij DigiTrust of Kiwa. Als dienstverlener sluit je een overeenkomst met een certificatie-instelling en niet met het CCV. Het CCV heeft daarom geen rol in de tarieven die certificatie-instellingen rekenen.

Je bedrijf wordt als gecertificeerde dienstverlener opgenomen in de database van het CCV. Klanten kunnen via deze zoekfunctie gecertificeerde cyberveiligheidsdienstverleners vinden. Daarnaast mag je in je eigen marketing en communicatie aangeven dat je Awareness Training aanbiedt onder het CCV-keurmerk.

Certificering wordt uitgevoerd door certificatie-instellingen die voldoen aan de eisen van het certificatieschema en die voor het keurmerk Awareness Training een licentieovereenkomst met het CCV hebben gesloten. Op dit moment zijn dat DigiTrust en Kiwa.

Alle certificatie-instellingen voeren hun audits uit volgens de eisen van het CCV-certificatieschema Awareness Training. Het CCV houdt hier toezicht op. Binnen dat kader heeft elke certificatie-instelling een eigen aanpak voor het certificeren van organisaties. Deze eigen aanpak kan leiden tot verschillen in dienstverlening, planning of kosten.

Afspraken over uitbesteding worden vastgelegd in de leveringsvoorwaarden of in de overeenkomst tussen de dienstverlener en de opdrachtgever. Daarin kan bijvoorbeeld staan dat de dienstverlener uitbesteding vooraf met de opdrachtgever moet afstemmen. Uitbesteding mag dan alleen met uitdrukkelijke toestemming van de opdrachtgever. Let op: ook het certificatieschema stelt grenzen aan uitbesteding.

Nee. De certificatie-instelling moet goed kunnen beoordelen of jouw organisatie aan de eisen voldoet. Daarvoor moet zij informatie kunnen bekijken en ook op locatie aanwezig kunnen zijn. Ook moet het mogelijk zijn dat de certificatie-instelling steekproefsgewijs meekijkt bij een Awareness Training. Zo kan zij controleren hoe de training in de praktijk wordt uitgevoerd. Sommige onderdelen van de beoordeling kunnen wel op afstand. Dat kan alleen als de certificatie-instelling en de dienstverlener dit samen afspreken. Ook moet dit passen binnen de regels van het certificatieschema.

Dit hangt af van verschillende factoren. Allereerst moet je organisatie klaar zijn voor certificering doordat je schriftelijk duidelijk kunt aantonen dat je aan de gestelde eisen voldoet. Voorbeelden zijn het bijhouden van documentatie over Awareness Training-activiteiten, het vastleggen van kwalificaties en ervaring van je personeel en het hebben van een kwaliteitsmanagementsysteem. Ter voorbereiding op de audit moet je informatie aanleveren bij de certificatie-instelling. Denk aan recente uittreksels van de Kamer van Koophandel, een organogram en gegevens over je kwaliteitsmanagementsysteem. Ook de beschikbaarheid van personeel, zowel binnen je organisatie als bij de certificatie-instelling, beïnvloedt de planning. De duur hangt verder af van de omvang van je organisatie, het aantal uitgevoerde Awareness Trainingen en de steekproef die nodig is voor de beoordeling.

Met certificering maak je de kwaliteit van jouw Awareness Training zichtbaar. Je laat zien dat jouw training onafhankelijk is getoetst aan vaste kwaliteitseisen. Dat geeft opdrachtgevers meer vertrouwen en helpt jouw bedrijf om zich te onderscheiden in een markt waarin kwaliteit niet altijd makkelijk te beoordelen is.

Er gelden geen eisen voor de omvang van je organisatie. Het gaat om de kwaliteit van de Awareness Training die je aanbiedt en om de vraag of je kunt aantonen dat je een kwaliteitsmanagementsysteem hebt ingericht om deze kwaliteit consequent te leveren.

De certificatie-instelling voert jaarlijks een audit uit op locatie bij de dienstverlener om te beoordelen in hoeverre de dienstverlener nog steeds aan de certificatie-eisen voldoet.

Certificatie-instellingen die bevoegd zijn om Awareness Training onder het schema te certificeren, moeten door de Raad voor Accreditatie (RvA) zijn geaccrediteerd voor NEN-EN-ISO/IEC 17021 en voor de ISO 27000-reeks.

Een certificatie-instelling die interesse heeft in het uitvoeren van een certificatieschema kan contact opnemen met het CCV via cybersecurity@hetccv.nl. Er wordt een pre-licentieovereenkomst gesloten, waarna de certificatie-instelling het schema in haar kwaliteitssysteem implementeert. Daarna voert het CCV een licentie-audit uit. Als deze audit succesvol is afgerond, sluit de certificatie-instelling een licentieovereenkomst met het CCV. De kosten voor een licentie staan in de tarievenlijst.

Een certificatie-instelling betaalt het CCV voor het gebruik van het certificatieschema. Daarvoor sluit de certificatie-instelling een licentieovereenkomst met het CCV. Daarnaast betaalt de certificatie-instelling toeslagen voor dienstverleners die gecertificeerd zijn en voor Awareness Training die onder het keurmerk wordt geleverd. Het CCV gebruikt deze inkomsten onder meer voor het beheer en onderhoud van het certificatieschema.

De tarieven staan in de tarievenlijst van het CCV. Deze lijst wordt ieder jaar gepubliceerd.