Phishing simulatie voor bedrijven

Wat is een phishing simulatie?

Bij een phishing simulatie sturen wij, in opdracht van uw organisatie, realistische nep-e-mails naar uw medewerkers. Precies zoals een echte aanvaller dat zou doen. Elke klik, elk ingevoerd gegeven en elke melding wordt geregistreerd, maar er gaat niets mis: de neppagina toont een leermoment in plaats van schade te veroorzaken.

Het resultaat: u weet welke medewerkers, afdelingen of locaties extra aandacht nodig hebben. Het doel is niet om mensen te betrappen, maar om kwetsbaarheden zichtbaar te maken voordat een echte aanvaller dat doet.

Een simulatie is daarmee niet alleen een meting, maar ook een leermoment. De meeste medewerkers weten dat phishing bestaat. Pas als ze zelf een geloofwaardige nep-e-mail ontvangen en zien hoe makkelijk het is om erin te trappen, komt de boodschap echt aan.

Hoe verloopt een phishing simulatie?

1. Intakegesprek: we bespreken uw organisatie, de afdelingen en welke aanvalsscenario's relevant zijn. De juridische voorbereiding hoort daarbij.
2. Scenario's opstellen: samen of op basis van actuele dreigingen maken we overtuigende phishing e-mails, met uw eigen huisstijl als u dat wilt.
3. Campagne (2 tot 4 weken): de e-mails worden gefaseerd verstuurd. Medewerkers weten van tevoren niet dat er een test loopt.
4. Direct inzicht: via het dashboard ziet u wie klikt, wie meldt en wie inloggegevens invult.
5. Rapport en bespreking: na afloop ontvangt u een rapport met klikpercentages per afdeling en een managementsamenvatting.
6. Gerichte opvolging: medewerkers die geklikt hebben krijgen een leermoment aangeboden, desgewenst via de Lumyo phishing training.

Welke scenario's gebruiken we?

In het intakegesprek bespreken we welke scenario's het meest relevant zijn voor uw sector en organisatie. Niet alles hoeft ingewikkeld te zijn om effectief te zijn. De varianten lopen op in voorbereiding en realisme:

Wat de simulatie oplevert

Na afloop van een campagne weet u waar uw organisatie staat:

Het rapport bevat

• Klikpercentage per scenario en totaal
• Uitsplitsing per afdeling en locatie
• Managementsamenvatting voor directie of bestuur
• Concrete aanbevelingen voor opvolging en training
• Documentatie die u kunt gebruiken voor compliance

Aanvullend werk, zoals een presentatie aan de directie of ondernemingsraad, of een specifieke auditrapportage voor ISO 27001 of NIS2, wordt apart geprijsd.

Waarom herhalen loont: een eerste meting laat zien waar u staat. Pas een tweede meting laat zien of er iets veranderd is. Daarom bestaat een programma altijd uit een nulmeting en een hermeting, niet uit een losse test.

Waarom een phishing simulatie?

• Inzicht in de werkelijke phishing-kwetsbaarheid van uw organisatie
• Zicht op medewerkers en afdelingen met een hoger risico
• Bewijs van bewustzijn voor auditors en verzekeraars (ISO 27001, NEN 7510, NIS2)
• Een meting om verbetering mee aan te tonen: herhaling na zes maanden laat zien wat er veranderd is
• Medewerkers die phishing voortaan eerder herkennen en melden

Waarom het ertoe doet: phishing is de meest voorkomende toegangsroute bij datalekken, goed voor 17% van alle incidenten (IBM, Cost of a Data Breach 2026). Bij 62% van de datalekken speelt de menselijke factor een rol (Verizon DBIR 2026). Een simulatie maakt dat risico zichtbaar en meetbaar.

Contract en juridische kaders

Een phishing simulatie vereist formele toestemming van de organisatie en, afhankelijk van de cao of het bedrijfsreglement, instemming van de ondernemingsraad. Wij begeleiden u door dit proces. Zonder schriftelijke toestemming vooraf, gegeven door de directie of een andere bevoegde persoon, voeren wij geen simulatie uit.

In de opdrachtbevestiging leggen we ten minste vast:

• de doelgroep en omvang van de simulatie
• de periode waarin de simulatie wordt uitgevoerd
• de te gebruiken scenario's en domeinen
• welke systemen en gegevens binnen de reikwijdte vallen
• bij wie binnen de organisatie melding kan worden gedaan tijdens de uitvoering

U informeert vooraf uw eigen ICT-afdeling of ICT-leverancier, zodat de simulatie niet wordt aangezien voor een echte aanval. We werken nooit buiten de afgesproken reikwijdte; een uitbreiding leggen we apart schriftelijk vast.

Persoonsgegevens worden verwerkt conform de AVG. U bent verwerkingsverantwoordelijke, wij zijn verwerker, en daarvoor sluiten we een verwerkersovereenkomst. Rapportage gebeurt zoveel mogelijk geaggregeerd; herleidbare resultaten gaan alleen naar de contactpersoon die u aanwijst. Wat we tijdens een simulatie zien over kwetsbaarheden in uw organisatie, delen we met niemand.

Lumyo Awareness wordt geleverd door CoBoo. Alles staat in artikel 5, 9 en 10 van onze algemene voorwaarden.

Wat kost een phishing simulatie?

U hoeft geen formulier in te vullen om een richtprijs te krijgen. Dit zijn de tarieven:

Een rekenvoorbeeld voor het jaarprogramma: bij 40 medewerkers is dat 40 × € 18 = € 720 per jaar, plus € 350 onboarding in het eerste jaar. Voor kleine teams geldt een minimum van € 250 per jaar; dat betaalt u bij 13 medewerkers of minder.

De eenmalige simulatie is een vanafprijs. Een grotere organisatie, meerdere scenario's naast elkaar of een gesegmenteerde campagne per afdeling kost meer. Wat er bij uw situatie hoort staat in de offerte, en die is vrijblijvend. Meer over de prijsopbouw: kosten van security awareness training.

Simulatie en training samen

Een simulatie zonder opvolging is een gemiste kans. Medewerkers die geklikt hebben, leren het meest als ze direct daarna naar een leermodule worden geleid. De Lumyo phishing training is daarvoor de logische vervolgstap: korte modules van 10 tot 15 minuten, via elk apparaat.

Zo weet u niet alleen wie extra aandacht nodig heeft, maar zorgt u er ook voor dat die aandacht er komt. Phishing simulaties kunt u nu al starten; de training is beschikbaar vanaf de lancering van het trainingsplatform.

Veelgestelde vragen over phishing simulaties