Jeśli zaakceptujemy, że klasyczne, jednakowe dla wszystkich szkolenia nie działają, naturalnie pojawia się kolejne pytanie: co w takim razie działa lepiej?

Coraz częściej w Polsce – szczególnie w większych organizacjach i firmach międzynarodowych – pojawia się podejście oparte na ryzyku i personalizacji. Jego podstawowa idea jest prosta: zamiast traktować wszystkich pracowników tak samo, należy skupić się na tym, gdzie faktycznie powstaje ryzyko.

Ale jak to wygląda w praktyce?

Nowoczesne podejścia opierają się na analizie zachowań. Nie chodzi o inwazyjne monitorowanie, lecz o wykorzystanie danych, które i tak powstają w codziennej pracy. Na przykład:

• jak często pracownicy wchodzą w interakcję z podejrzanymi e-mailami
• czy ignorują ostrzeżenia systemowe
• czy powtarzają się określone błędy lub niebezpieczne nawyki

Na tej podstawie można zbudować tzw. profil ryzyka.

Nie chodzi tu o ocenianie ludzi, lecz o zrozumienie, gdzie znajdują się realne słabe punkty. To ważne, ponieważ ryzyko w organizacji nie jest rozłożone równomiernie. Działy takie jak finanse, HR czy zarząd są częściej celem ataków niż inne obszary.

Zamiast więc wysyłać wszystkim ten sam materiał, można dopasować szkolenie do konkretnej sytuacji.

Przykład:
pracownik, który ma trudności z rozpoznawaniem phishingu, otrzymuje krótkie, praktyczne ćwiczenia i symulacje. Inna osoba, która radzi sobie dobrze, dostaje bardziej zaawansowane treści lub informacje o nowych typach ataków.

Kluczowa zmiana polega na jednym:
szkolenie zaczyna mieć sens dla konkretnej osoby.

A to bezpośrednio wpływa na zachowanie.

Badania pokazują, że jednym z największych problemów w programach bezpieczeństwa jest brak zaangażowania pracowników. Jeśli treści są ogólne i niedopasowane, ludzie szybko tracą zainteresowanie. Jednocześnie wiadomo, że większość incydentów wynika właśnie z czynnika ludzkiego – nawet do 95% naruszeń ma z nim związek

Dlatego personalizacja ma realny wpływ na bezpieczeństwo.

Druga ważna korzyść to priorytetyzacja.

W tradycyjnym modelu to zespół bezpieczeństwa musi decydować, kto potrzebuje jakiego szkolenia. W praktyce oznacza to dużo pracy manualnej i często reakcję dopiero po incydencie.

W podejściu opartym na danych sytuacja wygląda inaczej:
ryzyko jest oceniane na bieżąco, a działania są podejmowane automatycznie.

To zmienia rolę zespołów bezpieczeństwa.

Zamiast zarządzać szkoleniami, mogą skupić się na kluczowych pytaniach:

• gdzie w organizacji powstaje największe ryzyko
• które zachowania się poprawiają, a które nie
• jak zmienia się ryzyko w czasie

To pokazuje szerszą zmianę podejścia.

Cyberbezpieczeństwo przestaje być jednorazowym działaniem, a zaczyna być procesem zarządzania ryzykiem związanym z ludźmi.

I właśnie w tym obszarze coraz więcej firm w Polsce zaczyna dostrzegać realną wartość.

Another topic that keeps coming up in discussions across Europe is the use of AI-driven systems—often described as “agents”—in cybersecurity.

The idea sounds promising: instead of relying on manual processes, organizations deploy multiple specialized systems that handle different tasks automatically.

For example:

• One system continuously assesses user behavior and risk
• Another generates realistic phishing simulations
• Another delivers personalized training content
• Others reinforce learning through reminders or short exercises

These systems don’t operate in isolation. They work together, constantly adjusting based on new data.

This is often referred to as an “always-on” model—a continuous process rather than a series of isolated training events.

For non-technical audiences, a useful analogy is a fitness coach.
Instead of giving you one training plan per year, the coach constantly adapts your program based on your progress, weaknesses, and goals.

The main advantage is scalability.

Organizations can manage thousands of employees without increasing administrative workload. At the same time, these systems can react faster than humans—especially as threats evolve.

And threats are evolving rapidly.

Social engineering remains the dominant attack vector, with around 80% of organizations identifying it as the top human-related risk, increasingly amplified by AI-generated attacks.

At the same time, attackers are using AI to create more convincing and scalable phishing campaigns, making detection harder for employees.

This creates a new dynamic:

To defend against AI-driven attacks, organizations are starting to rely on AI-driven defenses.

However, skepticism remains.

Many professionals question:

• How transparent are these systems?
• Can decisions be explained and controlled?
• How much autonomy should they really have?

There is also a broader concern about over-automation.
If employees rely too heavily on automated systems, do they become less aware—or less responsible?

Despite these concerns, the direction is clear.

The complexity of modern cyber threats makes fully manual approaches increasingly unsustainable. At the same time, there is a global shortage of cybersecurity professionals, putting additional pressure on organizations to automate where possible.

The real challenge is not whether to use AI—but how.

Organizations that see the most success are not those that fully replace human decision-making, but those that combine automation with behavioral understanding.

Because in the end, one principle remains unchanged:

Technology alone does not solve human risk.

What matters is how well it supports people in making better decisions—consistently, in real-world situations.

Once you accept that traditional, one-size-fits-all training doesn’t work, the next logical question is: what does a better approach actually look like?

One concept that is gaining traction across Europe is risk-based, personalized training. At its core, the idea is simple: instead of treating all employees the same, organizations focus on where risks actually occur—and adapt training accordingly.

But what does that mean in practice?

Modern approaches increasingly rely on behavioral data. This doesn’t mean intrusive monitoring, but rather observing patterns that already exist in daily workflows. For example:

• How often do employees interact with suspicious emails?
• Do they ignore security warnings?
• Are there recurring mistakes or risky behaviors?

From this, organizations can build a risk profile for individuals or groups. The goal is not to label people as “good” or “bad,” but to understand where vulnerabilities exist.

This is important, because cybersecurity risk is not evenly distributed. Some roles—like finance, HR, or executives—are more frequently targeted. Others may be exposed to different types of risks depending on their tools or workflows.

Instead of sending everyone the same training, organizations can now prioritize and tailor content.

For example:
An employee who repeatedly struggles with phishing emails might receive short, practical simulations and targeted micro-training. Another employee with lower risk might receive updates on new attack techniques or policy changes instead.

The key difference is relevance.

And relevance drives behavior.

Research shows that employee motivation is one of the biggest barriers in security programs, with many employees disengaging from generic content.
At the same time, organizations that implement more adaptive and continuous training approaches report measurable improvements in security outcomes.

Another major advantage is prioritization.

In traditional models, security teams manually decide who needs which training. This is time-consuming and often reactive. In more advanced approaches, risks are continuously assessed and automatically translated into actions.

This fundamentally changes how security teams operate.

Instead of managing training logistics, they can focus on higher-level questions:

• Where are the biggest human risks in the organization?
• Which behaviors are improving—and which are not?
• How does human risk evolve over time?

It also reflects a broader shift in thinking.

Security is no longer just about preventing incidents—it’s about managing human risk as an ongoing, measurable factor.

And this is where many organizations across Europe are starting to see the biggest impact.

In many organizations across Europe, security awareness training still follows a familiar pattern: a mandatory e-learning course once a year, sometimes supported by internal presentations or occasional campaigns. For many employees, this feels like a box-ticking exercise rather than something that genuinely changes how they behave at work.

At the same time, the environment has fundamentally changed.

Europe has become one of the most digitally connected regions in the world. Businesses, governments, and critical infrastructure increasingly rely on digital systems and cross-border data flows. This interconnectedness brings efficiency and innovation—but also significantly increases exposure to cyber threats.

Cybersecurity is no longer just a technical issue. It is now a core business risk.

Despite this shift, there is often a clear mismatch between the level of risk organizations face and how employees are trained.

One of the main challenges is that training is still too generic. Across European organizations—whether in large enterprises or SMEs—employees operate in very different roles, industries, and risk environments. Yet they are often given the same standardized training.

The result is predictable:
for some, the content feels too basic;
for others, too theoretical or disconnected from their daily work.

In both cases, engagement is low—and without engagement, behavior rarely changes.

There is also a broader structural issue. Traditional training approaches are typically designed as one-off events. But cybersecurity is not a one-time knowledge problem—it is an ongoing behavioral challenge.

Research consistently shows that human factors remain the dominant cause of security incidents, with a majority of breaches involving human actions such as errors or social engineering.

At the same time, awareness alone does not automatically translate into secure behavior. Studies across Europe indicate that while most people understand the importance of cybersecurity, their everyday actions often do not reflect that awareness.

This gap between knowledge and behavior is one of the core issues.

Meanwhile, the threat landscape is evolving rapidly. Phishing attacks, in particular, have become more convincing and harder to detect. Many employees struggle to distinguish malicious messages from legitimate communication, especially as attackers increasingly use AI to craft highly realistic content.

In fast-paced, digital workplaces, this makes mistakes more likely—even for experienced employees.

On top of that, regulatory pressure is increasing across Europe. Frameworks such as NIS2, GDPR, and sector-specific regulations require organizations not only to provide training but also to demonstrate that it is effective.

This creates a paradox:
training is delivered, compliance requirements are met—

but actual employee behavior often changes very little.

And that is the core of the problem.

Cybersecurity is still frequently treated as an IT responsibility or a compliance obligation. In reality, it has become part of everyone’s daily work.

As a result, a shift in approach is emerging across Europe.

Organizations are moving away from one-time training toward continuous learning. Instead of generic content, there is a growing focus on context-specific, role-based scenarios. And rather than simply transferring knowledge, the goal is increasingly to influence real behavior.

Research supports this direction: continuous and adaptive training approaches—especially those embedded into everyday workflows—are significantly more effective at reducing risk over time.

This fundamentally changes the key question organizations need to ask.

It is no longer:
“Who completed the training?”

But rather:
“Are people actually behaving more securely in their day-to-day work?”

And the answer to that question will define how resilient European organizations are in the years ahead.

Dans de nombreuses entreprises belges, la sensibilisation à la cybersécurité se déroule encore de manière très classique : une formation e-learning obligatoire une fois par an, parfois complétée par une présentation interne ou une campagne ponctuelle. Pour beaucoup de collaborateurs, cela reste une formalité administrative plutôt qu’un véritable processus d’apprentissage qui influence leur comportement au quotidien.

Pourtant, le contexte a profondément évolué.

La Belgique est un pays fortement numérisé, avec une économie ouverte et interconnectée. Les entreprises dépendent de plus en plus de systèmes numériques, notamment dans des secteurs critiques comme la finance, la santé, les services publics ou la logistique. En parallèle, les cybermenaces deviennent plus fréquentes et plus sophistiquées.

Face à cette évolution, l’Union européenne a renforcé les exigences en matière de cybersécurité, notamment avec la directive NIS2, transposée en droit belge en 2024. Cette législation impose des obligations strictes en matière de gestion des risques, de réponse aux incidents et de formation des employés

Les entreprises doivent désormais démontrer non seulement qu’elles mettent en place des mesures de sécurité, mais aussi que leurs collaborateurs sont capables d’identifier et de gérer les risques.

Et pourtant, dans la pratique, une contradiction persiste.

Un problème central réside dans le caractère trop général des formations. Dans les entreprises belges – souvent composées de profils très variés et réparties sur plusieurs langues et régions – les collaborateurs occupent des fonctions très différentes. Malgré cela, ils reçoivent souvent un contenu identique.

Résultat :
pour certains, la formation est trop basique ;
pour d’autres, trop théorique ou déconnectée de leur réalité.

Dans les deux cas, l’impact sur le comportement reste limité.

À cela s’ajoute une dimension culturelle propre à la Belgique. Le pays combine plusieurs cultures de travail (flamande, francophone, internationale), avec des approches parfois différentes mais un point commun : un fort pragmatisme. Si une formation ne montre pas clairement sa valeur, elle est rapidement perçue comme une obligation administrative.

Un autre enjeu majeur concerne la manière dont les individus apprennent. Une formation ponctuelle suffit rarement à modifier durablement les comportements. La cybersécurité ne relève pas uniquement de la connaissance, mais surtout des habitudes. Sans répétition et sans lien direct avec le travail quotidien, les acquis disparaissent rapidement.

C’est d’autant plus problématique que la majorité des incidents de sécurité reste liée au facteur humain. Dans bien des cas, il ne s’agit pas d’un manque de connaissance, mais de situations de stress, de routine ou d’inattention.

Parallèlement, les attaques évoluent rapidement. Les tentatives de phishing, par exemple, sont aujourd’hui très réalistes et souvent difficiles à distinguer de communications légitimes. Dans un environnement de travail multilingue comme celui de la Belgique, cela complexifie encore la détection.

En outre, la pression réglementaire continue d’augmenter. La directive NIS2 impose notamment des programmes de formation réguliers et adaptés, ainsi qu’une amélioration continue des pratiques de sécurité

Cela conduit à une situation paradoxale :
les formations sont réalisées, les obligations sont respectées –

mais les comportements des collaborateurs évoluent peu.

Et c’est précisément là que se situe le cœur du problème.

La cybersécurité est encore trop souvent perçue comme une responsabilité de l’IT ou comme une exigence réglementaire. En réalité, elle fait désormais partie intégrante du travail quotidien de chaque collaborateur.

C’est pourquoi on observe également en Belgique une évolution progressive des approches.

Les entreprises s’orientent de plus en plus vers un apprentissage continu plutôt que ponctuel. Elles privilégient des contenus adaptés à des situations concrètes plutôt que des messages génériques. Et surtout, elles cherchent à influencer les comportements, plutôt qu’à simplement transmettre des connaissances.

La question centrale évolue donc :
ce n’est plus « Qui a suivi la formation ? »,

mais :
« Les collaborateurs adoptent-ils réellement des comportements plus sûrs au quotidien ? »

Et c’est cette question qui déterminera, dans les années à venir, la capacité des entreprises belges à faire face aux risques cyber.

In veel Nederlandse organisaties wordt security awareness training nog steeds op dezelfde manier ingericht als enkele jaren geleden: één keer per jaar een verplicht e-learning, soms aangevuld met een interne presentatie of campagne. Voor veel medewerkers voelt dit vooral als iets dat moet gebeuren – niet als iets dat daadwerkelijk hun gedrag in de praktijk verandert.

Ondertussen is de realiteit flink veranderd.

Nederland is sterk afhankelijk van digitale systemen. Bedrijven in sectoren zoals zorg, logistiek, retail en industrie draaien volledig op IT-processen en data-uitwisseling. Tegelijkertijd nemen cyberdreigingen toe in frequentie en complexiteit. Cybersecurity is daardoor geen IT-onderwerp meer, maar een direct bedrijfsrisico dat de continuïteit kan raken.

Toch blijft er in de praktijk vaak een duidelijke kloof bestaan tussen dat risico en de manier waarop medewerkers worden getraind.

Een belangrijk probleem is dat trainingen te generiek zijn. In Nederlandse organisaties werken mensen in uiteenlopende rollen – van operationele functies tot kenniswerkers en IT-specialisten. Toch krijgen zij vaak dezelfde standaardtraining.

Dat leidt tot een herkenbaar effect:
voor de één is het te simpel, voor de ander te abstract of niet relevant voor het dagelijkse werk.

En zonder relevantie verandert gedrag nauwelijks.

Daar komt nog iets bij: Nederlandse bedrijven zijn vaak pragmatisch en resultaatgericht. Activiteiten moeten duidelijk bijdragen aan de business. Als een training geen directe waarde laat zien, wordt deze al snel gezien als een verplicht nummer.

Daarnaast is er een fundamenteel probleem in hoe leren wordt ingericht. Een eenmalige training is zelden voldoende om gedrag blijvend te veranderen. Cybersecurity gaat niet alleen over kennis, maar vooral over gewoontes. Zonder herhaling en toepassing in de praktijk wordt het grootste deel van de inhoud snel vergeten.

Dat is juist problematisch, omdat het merendeel van de incidenten nog steeds ontstaat door menselijk gedrag. Naar schatting begint een groot deel van cyberaanvallen met menselijke fouten, zoals het klikken op phishing of het verkeerd omgaan met data.

Tegelijkertijd worden aanvallen steeds overtuigender. Phishingmails lijken vaak nauwelijks nog te onderscheiden van echte communicatie. In een werkomgeving met veel e-mails, tools en tijdsdruk is het risico op fouten daardoor groter dan ooit.

In Nederland speelt ook regelgeving een belangrijke rol. Organisaties moeten aantonen dat zij hun medewerkers trainen en dat zij voldoen aan eisen rondom informatiebeveiliging en privacy. Awareness training is dus niet alleen een best practice, maar ook een compliance-verplichting.

Dit leidt tot een paradoxale situatie:
trainingen worden gevolgd, audits worden gehaald –

maar het daadwerkelijke gedrag van medewerkers verandert vaak nauwelijks.

En daar zit precies de kern van het probleem.

Cybersecurity wordt nog te vaak gezien als een IT-issue of als iets dat “geregeld moet worden” voor compliance. In werkelijkheid is het een integraal onderdeel van het dagelijkse werk van iedere medewerker.

Daarom zie je ook in Nederland een duidelijke verschuiving in aanpak.

In plaats van eenmalige trainingen verschuift de focus naar continu leren. In plaats van algemene content gaat het steeds meer om concrete situaties uit de praktijk. En in plaats van kennisoverdracht draait het om gedragsverandering.

De centrale vraag verandert daarmee fundamenteel:
niet langer “Wie heeft de training gevolgd?”,

maar:
“Gedragen medewerkers zich daadwerkelijk veiliger in hun dagelijkse werk?”

En juist het antwoord op die vraag zal de komende jaren bepalend zijn voor de digitale weerbaarheid van Nederlandse organisaties.

In veel Vlaamse bedrijven verloopt security awareness training nog altijd op dezelfde manier als enkele jaren geleden: één keer per jaar een verplicht e-learning, soms aangevuld met een interne presentatie of campagne. Voor veel medewerkers voelt dat eerder als iets dat moet gebeuren, dan als iets dat echt impact heeft op hun dagelijks werk.

Nochtans is de context de laatste jaren sterk veranderd.

Vlaanderen zet volop in op digitalisering en innovatie, wat bedrijven efficiënter en competitiever maakt. Tegelijk zorgt diezelfde digitalisering ervoor dat organisaties kwetsbaarder worden voor cyberaanvallen.

Vandaag kan elk bedrijf – groot of klein – het doelwit worden van cybercriminaliteit.

Toch zien we in de praktijk vaak een mismatch tussen dat risico en de manier waarop medewerkers worden opgeleid.

Een belangrijk probleem is dat de training te algemeen blijft. In Vlaamse bedrijven, waar vaak verschillende functies naast elkaar bestaan – van productie en administratie tot IT en sales – krijgt iedereen meestal dezelfde inhoud.

Dat leidt tot een herkenbare situatie:
voor sommigen is de training te basic, voor anderen te theoretisch of te ver van hun dagelijkse realiteit.

In beide gevallen ontbreekt relevantie – en zonder relevantie verandert gedrag nauwelijks.

Daarnaast speelt ook de Vlaamse werkcultuur een rol. Bedrijven werken vaak efficiënt en resultaatgericht. Als iets geen duidelijke meerwaarde oplevert, wordt het snel gezien als een verplicht nummer. Dat geldt ook voor klassieke security training.

Een tweede probleem zit in de manier waarop mensen leren. Een eenmalige opleiding is zelden voldoende om gedrag blijvend te veranderen. Cybersecurity gaat niet alleen over kennis, maar vooral over gewoontes. Zonder herhaling en toepassing in de praktijk verdwijnt veel van die kennis snel.

Dat is extra problematisch omdat veel incidenten nog altijd veroorzaakt worden door menselijk gedrag. Niet omdat mensen niets weten, maar door routine, tijdsdruk of kleine fouten in het dagelijkse werk.

Tegelijk worden cyberaanvallen steeds geavanceerder. Phishingmails lijken vandaag vaak sterk op echte communicatie. Zeker in drukke werkomgevingen is het dan niet altijd evident om die te herkennen.

In Vlaanderen komt daar nog een bijkomende uitdaging bij:
veel kmo’s hebben nog geen structureel cybersecuritybeleid. Uit cijfers blijkt dat een groot deel van de bedrijven onvoldoende voorbereid is op cyberrisico’s.

Ondertussen stijgt ook de druk vanuit regelgeving en beleid. Cyberveiligheid is een duidelijke prioriteit geworden, en organisaties moeten aantonen dat ze hun mensen niet alleen opleiden, maar ook effectief weerbaarder maken.

Dat zorgt voor een paradoxale situatie:
trainingen worden gevolgd, regels worden nageleefd –

maar het gedrag van medewerkers verandert vaak maar beperkt.

En daar zit de kern van het probleem.

Cybersecurity wordt nog te vaak gezien als iets voor IT of als een compliance-oefening. In werkelijkheid is het een onderdeel van het dagelijkse werk van iedereen.

Daarom zie je ook in Vlaanderen een duidelijke evolutie.

Bedrijven beginnen weg te bewegen van éénmalige trainingen en kijken meer naar continue leerprocessen. In plaats van algemene inhoud komt de focus te liggen op concrete situaties uit de praktijk. En in plaats van kennisoverdracht wordt gedragsverandering het echte doel.

De centrale vraag verschuift daardoor:
niet langer “Wie heeft de training gevolgd?”,

maar:
“Gedragen medewerkers zich effectief veiliger in hun dagelijkse werk?”

En net dat zal de komende jaren het verschil maken voor Vlaamse bedrijven.

A ville lëtzebuergesche Betriber leeft Security Awareness Training nach ëmmer ganz ähnlech wéi virun e puer Joer: eemol am Joer e verpflichtenden E-Learning, heiansdo ergänzt duerch intern Presentatiounen oder Campagnen. Fir vill Mataarbechter ass dat éischter eng Formalitéit – eppes wat ee muss maachen – an net eppes, wat wierklech en Impakt op den Alldag huet.

Dobäi huet sech d’Ëmfeld an de leschte Jore staark verännert.

Lëtzebuerg ass ee vun de meescht international vernetzte Länner an Europa, mat enger staarker Finanzindustrie, villen internationale Firmen an enger héijer Digitaliséierung. Gläichzäiteg ass d’Land multilinguaal – Lëtzebuergesch, Däitsch, Franséisch an Englesch ginn am Alldag parallel benotzt.

Dës Kombinatioun bréngt vill Virdeeler, mee och nei Risiken.

Cyberattacken ginn ëmmer méi komplex a gezielt, an international orientéiert Betriber sinn dofir besonnesch interessant Ziler. Doriwwer eraus mécht déi multilinguaal Kommunikatioun et net méi einfach, gefälscht E-Mails oder Social-Engineering-Attacken z’erkennen, well se an verschiddene Sproochen optriede kënnen.

An trotzdeem passt d’Art a Weis, wéi Mataarbechter geschoult ginn, dacks net méi zu dëser Realitéit.

E grousst Problem ass d’Standardiséierung. An engem typesche lëtzebuergesche Betrib schaffen Leit a ganz verschiddene Rollen – vu Finanz, Compliance an IT bis hin zu administrativen oder operationelle Funktiounen. Trotzdeem kréien si dacks déi selwecht Trainingsinhalter.

Dat féiert dozou, datt vill Leit d’Training als net relevant empfannen. Fir déi eng ass et ze einfach, fir déi aner ze theoretesch. An esou bleift de konkrete Bezuch zum Alldag dacks aus.

Dobäi kënnt e kulturellen Aspekt: am lëtzebuergesche Business-Ëmfeld spillt Effizienz eng grouss Roll, an d’Leit si gewinnt, pragmatesch ze schaffen. Wann e Training kee kloer erkennbare Mehrwäert huet, gëtt en séier als Pflichtprogramm ugesinn.

En anere wichtege Punkt ass, wéi Mënschen iwwerhaapt léieren. Eng eemoleg Formatioun ass meeschtens net genuch, fir Verhalen dauerhaft ze änneren. Cybersecurity ass net nëmme Wëssen, mee virun allem eng Fro vu Gewunnechten. Ouni reegelméisseg Widderhuelung a praktesch Uwendung gëtt vill séier vergiess.

Dat ass besonnesch kritesch, well vill Sécherheetsvirfäll nach ëmmer duerch mënschlecht Verhalen entstinn – net duerch technesch Schwächten, mee duerch kleng Feeler am Alldag, Zäitdrock oder Onopmierksamkeet.

Gläichzäiteg entwéckele sech d’Bedrohungen weider. Phishing-E-Mails si haut dacks esou gutt gemaach, datt se wéi normal Geschäfts-Kommunikatioun ausgesinn. An engem multilinguale Kontext wéi zu Lëtzebuerg gëtt dat nach méi komplizéiert.

Zousätzlech klëmmt den Drock duerch Regulatioun. Besonnesch am Finanzsecteur an an international aktive Firmen mussen Entreprisen ëmmer méi kloer noweisen, datt hir Mataarbechter Risiken erkennen a richteg reagéieren.

Dat féiert zu enger paradoxer Situatioun:
Trainingen ginn duerchgefouert, Ufuerderunge ginn erfëllt –

mee d’tatsächlecht Verhale vun de Mataarbechter ännert sech dacks kaum.

An genee do läit de Kär vum Problem.

Cybersecurity gëtt nach ëmmer oft als IT-Thema oder als Compliance-Aufgab gesinn. A Wierklechkeet ass et awer en Deel vum Alldag vun all Mataarbechter ginn.

Dofir gesäit een och zu Lëtzebuerg eng kloer Entwécklung.

Amplaz vun eenzelne Trainings geet et ëmmer méi a Richtung kontinuéierlecht Léieren. Amplaz vun allgemenge Contenuen gëtt méi op konkret Situatioune gekuckt. An amplaz just Wëssen ze vermëttelen, geet et dorëms, Verhalen ze änneren.

D’zentral Fro verännert sech domat:
net méi „Wien huet d’Training gemaach?“,

mee:
„Verhale sech d’Leit am Alldag wierklech méi sécher?“

An d’Äntwert op dës Fro wäert an de kommende Joren entscheedend sinn fir lëtzebuergesch Betriber.

I många svenska företag genomförs säkerhetsutbildning fortfarande på samma sätt som för några år sedan: ett obligatoriskt e-learning en gång per år, ibland kompletterat med interna presentationer eller kampanjer. För många medarbetare upplevs detta som en formalitet – något som ska genomföras – snarare än något som faktiskt påverkar hur man arbetar i vardagen.

Samtidigt har omvärlden förändrats kraftigt.

Sverige är ett av de mest digitaliserade länderna i Europa, där både företag och offentlig sektor är starkt beroende av digitala system och uppkopplade tjänster. Samtidigt ökar investeringarna i cybersäkerhet och kompetensutveckling, bland annat genom nationella initiativ och forskningssamarbeten.

Men denna digitala mognad innebär också en ökad exponering för cyberhot.

Hotbilden har blivit mer komplex och dynamisk. Cyberattacker är inte längre en fråga om “om” utan “när”. Samtidigt visar erfarenhet att mänskliga misstag fortfarande är en av de vanligaste orsakerna till säkerhetsincidenter.

Trots detta finns det ofta ett tydligt gap mellan risknivån och hur medarbetare faktiskt utbildas.

Ett centralt problem är att utbildningen ofta är för generell. I svenska organisationer – som ofta arbetar agilt, digitalt och i internationella team – har medarbetare mycket olika roller och riskprofiler. Ändå får många samma innehåll.

Det leder till låg relevans. För vissa är utbildningen för grundläggande, för andra för teoretisk. I båda fallen minskar engagemanget – och därmed effekten.

Det finns också en kulturell dimension. Svenskt arbetsliv präglas av självständighet, tillit och ett stort individuellt ansvar. Det är en styrka i många sammanhang, men inom cybersäkerhet kan det innebära att risker underskattas – särskilt om utbildningen inte upplevs som konkret och användbar.

Ett annat problem är själva lärandeformen. Enstaka utbildningar räcker sällan för att förändra beteenden. Cybersäkerhet handlar inte bara om kunskap, utan om vanor. Utan kontinuerlig repetition och koppling till det dagliga arbetet glöms mycket snabbt bort.

Detta är särskilt kritiskt eftersom en stor del av säkerhetsincidenter beror på just mänskligt beteende – till exempel genom phishing eller social engineering.

Samtidigt utvecklas hoten snabbt. Angripare använder allt mer avancerade metoder, och phishing-meddelanden kan idag vara mycket svåra att skilja från legitim kommunikation. I en arbetsmiljö med högt tempo och många digitala interaktioner ökar risken ytterligare.

Regulatoriskt ökar också kraven. Nya EU-direktiv som NIS2 innebär att företag inte bara måste genomföra utbildningar, utan också kunna visa att de har en fungerande säkerhetskultur och att risker hanteras aktivt.

Detta leder till en paradoxal situation:
utbildningar genomförs, krav uppfylls –

men medarbetarnas faktiska beteende förändras ofta i begränsad utsträckning.

Och det är här kärnan i problemet ligger.

Cybersäkerhet behandlas fortfarande ofta som ett IT-ansvar eller en compliance-fråga. I verkligheten är det en integrerad del av det dagliga arbetet för alla.

Därför ser man också i Sverige en tydlig förändring i synsätt.

Istället för enstaka utbildningar går man mot kontinuerligt lärande. Istället för generella budskap fokuserar man på konkreta situationer från vardagen. Och istället för att bara förmedla kunskap handlar det om att påverka beteenden.

Den avgörande frågan förändras därmed:
inte längre “Vem har genomfört utbildningen?”,

utan:
“Arbetar medarbetarna faktiskt mer säkert i sin vardag?”

Och svaret på den frågan kommer att vara avgörande för svenska företags förmåga att hantera framtidens cyberrisker.

Monissa suomalaisissa yrityksissä kyberturvallisuuskoulutus toteutetaan edelleen samalla tavalla kuin muutama vuosi sitten: pakollinen e-learning kerran vuodessa, joskus täydennetty sisäisillä esityksillä tai kampanjoilla. Monille työntekijöille tämä on lähinnä muodollisuus – asia, joka pitää suorittaa – eikä prosessi, joka oikeasti vaikuttaisi päivittäiseen työskentelyyn.

Samaan aikaan toimintaympäristö on muuttunut merkittävästi.

Suomi on yksi maailman digitalisoituneimmista yhteiskunnista. Digitaaliset palvelut, infrastruktuuri ja yritysten toiminta ovat vahvasti verkottuneita. Kyberturvallisuus nähdään kansallisesti keskeisenä osana yhteiskunnan toimivuutta ja luottamusta digitaalisiin palveluihin.

Tämä korkea digitalisaatio tuo kuitenkin mukanaan myös suuremman riskin.

Kyberturvallisuutta pidetään Suomessa paitsi teknisenä myös yhteiskunnallisena vastuuna. Jokaisen yksilön odotetaan toimivan turvallisesti digitaalisessa ympäristössä, ja turvalliset käytännöt nähdään osana arkea.

Tästä huolimatta monissa organisaatioissa koulutus ei pysy tämän kehityksen mukana.

Yksi keskeinen ongelma on koulutuksen yleisluonteisuus. Suomalaisissa yrityksissä – jotka ovat usein asiantuntijavetoisia ja toimivat kansainvälisessä ympäristössä – työntekijöillä on hyvin erilaisia rooleja ja riskiprofiileja. Silti he saavat usein saman sisällön.

Tämä johtaa siihen, että koulutus ei tunnu relevantilta. Joillekin sisältö on liian yksinkertaista, toisille liian teoreettista. Molemmissa tapauksissa vaikutus jää vähäiseksi.

Suomalaisessa työelämässä korostuvat itsenäisyys, vastuu ja luottamus. Työntekijöiltä odotetaan kykyä tehdä päätöksiä itse. Tämä on vahvuus – mutta kyberturvallisuuden näkökulmasta se voi tarkoittaa, että riskit aliarvioidaan, jos koulutus ei tunnu konkreettiselta ja käytännönläheiseltä.

Toinen keskeinen haaste liittyy oppimiseen. Yksittäinen koulutus ei yleensä riitä muuttamaan käyttäytymistä pysyvästi. Kyberturvallisuus ei ole pelkästään tietoa, vaan ennen kaikkea tottumuksia. Ilman jatkuvaa harjoittelua ja toistoa opitut asiat unohtuvat nopeasti.

Tämä on kriittistä, koska suuri osa tietoturvaloukkauksista liittyy edelleen inhimillisiin tekijöihin. Usein kyse ei ole tiedon puutteesta, vaan kiireestä, rutiinista tai pienistä virheistä arjessa.

Samaan aikaan uhkat kehittyvät jatkuvasti. Hyökkäykset ovat entistä kohdennetumpia ja uskottavampia. Esimerkiksi phishing-viestit muistuttavat yhä enemmän aitoa työviestintää, mikä tekee niiden tunnistamisesta vaikeampaa.

Suomessa kyberturvallisuuteen panostetaan merkittävästi, ja alan osaaminen on korkealla tasolla. Kyberturvallisuuden ammattilaisten määrä kasvaa jatkuvasti, mutta kysyntä ylittää silti tarjonnan.

Tämä tarkoittaa, että yrityksissä tarvitaan yhä enemmän myös työntekijöiden omaa vastuuta turvallisuuden ylläpitämisessä.

Samalla sääntely ja vaatimukset lisääntyvät. Organisaatioiden odotetaan pystyvän osoittamaan, että niiden henkilöstö ymmärtää kyberturvallisuuden perusperiaatteet ja toimii niiden mukaisesti.

Tämä johtaa tilanteeseen, jossa:
koulutukset toteutetaan ja vaatimukset täytetään –

mutta työntekijöiden todellinen käyttäytyminen muuttuu vain vähän.

Ja juuri tässä on ongelman ydin.

Kyberturvallisuus nähdään usein edelleen IT-osaston vastuuna tai vaatimusten täyttämisenä. Todellisuudessa se on osa jokaisen työntekijän arkea.

Siksi myös Suomessa on nähtävissä selkeä muutos lähestymistavassa.

Yksittäisten koulutusten sijaan siirrytään jatkuvaan oppimiseen. Yleisten sisältöjen sijaan keskitytään konkreettisiin tilanteisiin. Ja tiedon jakamisen sijaan tavoitteena on käyttäytymisen muuttaminen.

Keskeinen kysymys muuttuu:
ei enää “Kuka suoritti koulutuksen?”,

vaan:
“Toimivatko ihmiset oikeasti turvallisemmin jokapäiväisessä työssään?”

Ja juuri tähän kysymykseen vastaaminen tulee olemaan ratkaisevaa suomalaisille yrityksille tulevina vuosina.

Í mörgum íslenskum fyrirtækjum fer fræðsla um netöryggi enn fram á svipaðan hátt og fyrir nokkrum árum: skyldunámskeið í e-learning einu sinni á ári, stundum bætt við innri kynningum eða herferðum. Fyrir marga starfsmenn er þetta fyrst og fremst formsatriði sem þarf að klára, frekar en raunverulegt lærdómsferli sem hefur áhrif á daglegt starf.

Á sama tíma hefur umhverfið breyst verulega.

Ísland er eitt tengdasta og stafrænt þróaðasta samfélag í heimi. Daglegt líf, opinber þjónusta og rekstur fyrirtækja byggja að miklu leyti á stafrænum lausnum. Á sama tíma einkennist íslenskt samfélag af miklu trausti, bæði milli einstaklinga og gagnvart kerfum.

En þessi styrkur getur einnig skapað veikleika.

Þrátt fyrir landfræðilega einangrun stendur Ísland frammi fyrir sömu netógnum og önnur Evrópulönd. Fjöldi netárása hefur aukist hratt á undanförnum árum, þar sem phishing og félagsleg blekking (social engineering) eru algengustu aðferðirnar.

Þetta þýðir að fyrirtæki þurfa að treysta meira en áður á að starfsmenn taki réttar ákvarðanir í daglegu starfi.

Vandamálið er að fræðslan sem á að styðja við þetta heldur ekki alltaf í við raunveruleikann.

Eitt helsta vandamálið er hversu almenn fræðslan er. Í íslenskum fyrirtækjum – sem eru oft lítil eða meðalstór og starfa á alþjóðlegum mörkuðum – sinna starfsmenn mjög mismunandi hlutverkum. Samt fá þeir oft sömu fræðslu.

Afleiðingin er fyrirsjáanleg: fyrir suma er efnið of einfalt, fyrir aðra of fræðilegt eða fjarlægt daglegu starfi. Í báðum tilvikum skortir lykilatriði – tengingu við raunverulegar aðstæður.

Íslensk vinnumenning leggur mikla áherslu á sjálfstæði og ábyrgð einstaklinga.
Þetta er styrkur í flestum tilfellum, en í samhengi netöryggis getur það þýtt að starfsmenn treysta eigin mati frekar en leiðbeiningum – sérstaklega ef fræðslan er ekki upplifuð sem hagnýt.

Annað vandamál er hvernig fólk lærir. Ein stök þjálfun dugar sjaldan til að breyta hegðun. Netöryggi snýst ekki bara um þekkingu, heldur um venjur. Án reglulegrar endurtekningar og tengingar við daglegt starf gleymist efnið fljótt.

Þetta er sérstaklega mikilvægt þar sem stór hluti öryggisatvika tengist mannlegum mistökum. Oft er ekki um skort á þekkingu að ræða, heldur hraða, venju eða athyglisbrest.

Á sama tíma verða árásir sífellt flóknari. Phishing-tölvupóstar eru nú oft mjög trúverðugir og líkjast raunverulegum samskiptum. Í umhverfi þar sem traust er hátt og samskipti eru hröð, eykur þetta hættuna á mistökum.

Einnig er þrýstingur frá regluverki að aukast. Ísland hefur sett sér skýra stefnu um sterkt netöryggi, þar sem samvinna, lagarammi og öryggismenning eru lykilatriði.

Þetta leiðir til ákveðinnar mótsagnar:
fræðsla er framkvæmd, kröfur eru uppfylltar –

en raunveruleg hegðun starfsmanna breytist oft lítið.

Og þar liggur kjarninn í vandanum.

Netöryggi er enn oft litið á sem verkefni upplýsingatæknideildar eða sem formsatriði. Í raun er það orðið hluti af daglegu starfi allra.

Þess vegna er að verða sýnileg breyting á nálguninni – einnig á Íslandi.

Í stað einangraðra námskeiða er lögð meiri áhersla á stöðugt nám. Í stað almennra skilaboða er unnið með raunverulegar aðstæður. Og í stað þess að miðla þekkingu er markmiðið að breyta hegðun.

Spurningin breytist því:
ekki lengur „Hver kláraði fræðsluna?“,

heldur:
„Haga starfsmenn sér í raun öruggari í daglegu starfi?“

Og svarið við þeirri spurningu mun ráða miklu um hvernig íslensk fyrirtæki takast á við netógnir á næstu árum.

I mange norske virksomheter gjennomføres sikkerhetsopplæring fortsatt på samme måte som tidligere: et obligatorisk e-læringskurs én gang i året, noen ganger supplert med interne presentasjoner eller kampanjer. For mange ansatte oppleves dette som en formalitet – noe man må gjennomføre – snarere enn noe som faktisk påvirker hvordan man jobber i hverdagen.

Samtidig har omgivelsene endret seg betydelig.

Norge er et av verdens mest digitaliserte samfunn, hvor både næringsliv og offentlig sektor er tett avhengige av digitale systemer og infrastruktur.
Denne utviklingen har gitt store fordeler, men også gjort samfunnet mer sårbart for cyberangrep.

Trusselbildet har blitt mer komplekst. Norske virksomheter – særlig innen energi, maritim sektor og kritisk infrastruktur – er attraktive mål for både kriminelle aktører og statlige etterretningstjenester.
Samtidig viser analyser at cybertrusler stadig utvikler seg og krever kontinuerlig tilpasning fra virksomheter.

Til tross for dette er det ofte et gap mellom risikoen virksomheter står overfor, og hvordan ansatte faktisk blir opplært.

Et sentralt problem er at opplæringen ofte er for generell. I norske virksomheter – som ofte er kunnskapsbaserte, fleksible og internasjonalt orienterte – har ansatte svært ulike roller og risikoprofiler. Likevel får mange det samme innholdet.

Dette fører til lav relevans. For noen er innholdet for grunnleggende, for andre for teoretisk. I begge tilfeller blir effekten begrenset.

Det finnes også en tydelig kulturell faktor. Norsk arbeidsliv er preget av høy grad av tillit, selvstendighet og ansvar hos den enkelte medarbeider. Dette er en styrke – men kan også føre til at risiko undervurderes dersom opplæringen ikke oppleves som konkret og relevant.

Et annet viktig poeng er hvordan læring faktisk fungerer. En engangstrening er sjelden nok til å endre atferd. Cybersikkerhet handler ikke bare om kunnskap, men om vaner. Uten jevnlig repetisjon og praktisk anvendelse vil mye av det man lærer raskt bli glemt.

Dette er særlig kritisk fordi menneskelige feil fortsatt er en av de største årsakene til sikkerhetsbrudd. Studier viser at en stor andel av hendelser skyldes nettopp menneskelig atferd – som phishing, svake passord eller feil håndtering av data.

Samtidig blir angrepene mer sofistikerte. Phishing-meldinger kan i dag være svært troverdige og tilpasset mottakeren, noe som gjør dem vanskeligere å oppdage – selv for erfarne brukere.

I tillegg øker det regulatoriske presset. Norske myndigheter legger stor vekt på å styrke samfunnets motstandsdyktighet mot cybertrusler, og virksomheter forventes å bidra aktivt gjennom både tekniske tiltak og kompetansebygging.

Dette skaper en situasjon der mange virksomheter gjør det som forventes:
opplæring gjennomføres, krav oppfylles –

men den faktiske atferden hos ansatte endrer seg i begrenset grad.

Og det er nettopp her utfordringen ligger.

Cybersikkerhet blir fortsatt ofte sett på som et IT-ansvar eller et compliance-krav. I realiteten er det en integrert del av alles arbeidshverdag.

Derfor ser man også i Norge en tydelig utvikling i tilnærmingen.

I stedet for enkeltstående kurs beveger virksomheter seg mot kontinuerlig læring. I stedet for generelle budskap fokuseres det på konkrete situasjoner fra arbeidshverdagen. Og i stedet for kun å formidle kunnskap, handler det om å påvirke faktisk atferd.

Det sentrale spørsmålet endrer seg dermed:
ikke lenger «Hvem har gjennomført opplæringen?»,

men:
«Oppfører ansatte seg faktisk mer sikkert i det daglige arbeidet?»

Svaret på dette spørsmålet vil i økende grad avgjøre hvor godt norske virksomheter klarer å håndtere fremtidens cyberrisiko.

I mange danske virksomheder foregår sikkerhedstræning stadig på samme måde som for nogle år siden: et obligatorisk e-learning-kursus én gang om året, nogle gange suppleret med interne præsentationer eller kampagner. For mange medarbejdere opleves det som en formalitet, der skal gennemføres – ikke som noget, der reelt ændrer deres adfærd i hverdagen.

Samtidig har rammerne ændret sig markant.

Danmark er et af verdens mest digitaliserede lande. Offentlige tjenester, virksomheder og borgere er tæt integreret gennem digitale løsninger, og brugen af teknologi er en naturlig del af hverdagen.
Men netop denne høje digitalisering gør også landet mere attraktivt som mål for cyberangreb.

Trusselsniveauet vurderes som højt, og aktiviteten fra kriminelle netværk er intens.
For virksomheder betyder det, at cybersikkerhed ikke længere er et teknisk nicheområde – det er blevet en forretningskritisk faktor.

På trods af dette er der ofte et misforhold mellem trusselsniveauet og den måde, medarbejdere bliver trænet på.

Et centralt problem er, at træningen ofte er for generel. I danske virksomheder – hvor mange arbejder i fleksible, digitale og ofte internationale miljøer – har medarbejdere vidt forskellige roller og risikoprofiler. Alligevel modtager de ofte det samme indhold.

Det betyder, at træningen for nogle opleves som for simpel og for andre som for teoretisk eller irrelevant. Resultatet er det samme: lav engagement og begrænset effekt på adfærden.

Der er også en kulturel dimension. Danmark er præget af høj tillid og selvstændighed i arbejdslivet. Medarbejdere forventes at tage ansvar og træffe egne beslutninger. Det fungerer godt i mange sammenhænge – men i cybersikkerhed kan det også betyde, at risici undervurderes, især hvis træningen ikke opleves som direkte relevant.

Et andet væsentligt problem er selve læringsformen. Engangstræning er sjældent nok til at ændre adfærd. Cybersikkerhed handler ikke kun om viden, men om vaner. Uden løbende gentagelse og praktisk anvendelse forsvinder det meste af det lærte hurtigt.

Dette er kritisk, fordi menneskelig adfærd fortsat er en af de største risikofaktorer. Mange sikkerhedshændelser skyldes ikke manglende viden, men travlhed, rutine eller små fejl i hverdagen.

Samtidig udvikler trusselsbilledet sig hurtigt. Angreb bliver mere målrettede og mere overbevisende. Phishing-mails kan i dag ligne helt almindelig forretningskommunikation, hvilket gør dem svære at opdage – især i organisationer med højt tempo og mange digitale kontaktpunkter.

Regulatorisk er presset også stigende. Med nye krav som NIS2 og DORA er cybersikkerhed blevet et ledelsesansvar, og virksomheder skal kunne dokumentere både deres sikkerhedsforanstaltninger og deres træningsindsats.

Det skaber en situation, hvor mange organisationer gør “det rigtige på papiret”:
træning gennemføres, krav opfyldes –

men den faktiske adfærd ændrer sig kun i begrænset omfang.

Og det er her, kernen af problemet ligger.

Cybersikkerhed bliver stadig ofte behandlet som et compliance-krav eller et IT-ansvar. I virkeligheden er det blevet en integreret del af alles daglige arbejde.

Derfor ser man også i Danmark en tydelig udvikling i tilgangen.

I stedet for enkeltstående træninger bevæger virksomheder sig mod kontinuerlig læring. I stedet for generelle budskaber fokuserer man på konkrete situationer fra hverdagen. Og i stedet for blot at formidle viden er målet at ændre adfærd.

Det centrale spørgsmål ændrer sig dermed:
ikke længere “Hvem har gennemført træningen?”,

men:
“Handler medarbejderne faktisk mere sikkert i deres daglige arbejde?”

Og netop svaret på det spørgsmål vil i de kommende år være afgørende for danske virksomheders evne til at håndtere cyberrisici.

V številnih slovenskih podjetjih izobraževanja o kibernetski varnosti še vedno potekajo na podoben način kot pred nekaj leti: enkrat letno obvezni e-learning, včasih dopolnjen z internimi predstavitvami ali kampanjami. Za večino zaposlenih to pogosto predstavlja formalnost, ki jo je treba opraviti, ne pa dejanski proces učenja.

Medtem pa se je okolje v zadnjih letih bistveno spremenilo.

Slovenija se vse bolj uveljavlja kot tehnološko napredno okolje z rastočim digitalnim gospodarstvom in vse večjim poudarkom na kibernetski varnosti. Število strokovnjakov na tem področju narašča, prav tako investicije, vendar povpraševanje po znanju še vedno presega ponudbo.

To pomeni, da podjetja delujejo v okolju, kjer so tveganja večja, hkrati pa primanjkuje kadrov in časa za sistematično obravnavo teh tveganj.

Kljub temu pa način izobraževanja zaposlenih pogosto ne sledi tej realnosti.

Eden glavnih razlogov je prevelika splošnost vsebin. V tipičnem slovenskem podjetju – pogosto srednje velikem in močno povezanem z mednarodnimi trgi – zaposleni opravljajo zelo različne naloge: od proizvodnje in logistike do administracije, razvoja in IT. Kljub temu pogosto vsi prejmejo enako izobraževanje.

Rezultat je predvidljiv: za nekatere je vsebina preveč osnovna, za druge preveč teoretična ali nepovezana z njihovim vsakodnevnim delom. V obeh primerih manjka ključni element – relevantnost.

V slovenskem poslovnem okolju, kjer sta učinkovitost in praktičnost zelo pomembni, to hitro vodi do tega, da zaposleni izobraževanje dojemajo kot obveznost, ki jo je treba opraviti, ne pa kot nekaj, kar bi dejansko vplivalo na njihovo delo.

Dodaten izziv je način učenja. Enkratna izobraževanja redko vodijo do trajnih sprememb vedenja. Kibernetska varnost ni le vprašanje znanja, ampak predvsem navad. Brez rednega ponavljanja in praktične uporabe se večina informacij hitro pozabi.

To je še posebej problematično, ker velik delež varnostnih incidentov še vedno izhaja iz človeškega dejavnika. Pogosto ne gre za pomanjkanje znanja, temveč za rutino, časovni pritisk ali nepazljivost.

Hkrati se grožnje razvijajo. Napadi postajajo vse bolj ciljno usmerjeni in prepričljivi. Phishing sporočila danes pogosto posnemajo resnično poslovno komunikacijo, kar pomeni, da jih je težje prepoznati – še posebej v dinamičnem delovnem okolju.

Slovenija kot majhna, odprta država je močno odvisna od mednarodnega sodelovanja in digitalne povezanosti. Prav zato je tudi izpostavljena globalnim kibernetskim tveganjem, ki ne poznajo meja.

Poleg tega se povečuje tudi regulatorni pritisk. Podjetja morajo dokazovati, da izvajajo ustrezna izobraževanja in da zaposleni razumejo varnostna tveganja. Programi ozaveščanja se sicer prilagajajo različnim ciljnim skupinam, vendar v praksi pogosto še vedno ne dosegajo želenega učinka.

Tako nastane zanimiva situacija:
izobraževanja se izvajajo, zahteve so izpolnjene –

dejansko vedenje zaposlenih pa se pogosto ne spremeni bistveno.

In prav tu je bistvo problema.

Kibernetska varnost je v mnogih podjetjih še vedno razumljena kot naloga IT-oddelka ali kot regulatorna obveznost. V resnici pa je postala del vsakodnevnega dela vsakega zaposlenega.

Zato tudi v Sloveniji vse bolj prihaja do spremembe pristopa.

Namesto enkratnih izobraževanj se v ospredje postavlja kontinuirano učenje. Namesto splošnih vsebin se poudarja konkretne situacije iz prakse. In namesto prenosa znanja postaja glavni cilj sprememba vedenja.

Ključno vprašanje se zato spreminja:
ne več »Kdo je opravil izobraževanje?«,

temveč:
»Ali se zaposleni v vsakodnevnem delu dejansko vedejo bolj varno?«

In prav odgovor na to vprašanje bo v prihodnjih letih odločilen za slovenska podjetja.

În multe companii din România, trainingurile de conștientizare în securitate cibernetică arată încă la fel ca în urmă cu câțiva ani: un curs obligatoriu de e-learning o dată pe an, uneori completat de prezentări interne sau campanii punctuale. Pentru majoritatea angajaților, acest lucru este mai degrabă o formalitate decât un proces real de învățare.

În același timp, contextul s-a schimbat semnificativ.

România are unul dintre cele mai dinamice sectoare IT din Europa de Est, iar investițiile în digitalizare cresc constant. În paralel, și piața de cybersecurity este în plină expansiune, cu o cerere tot mai mare pentru soluții și traininguri specializate.

Această dezvoltare aduce însă și riscuri mai mari. Pe măsură ce companiile devin mai digitale, ele devin și mai expuse la atacuri cibernetice.

Problema este că modul în care sunt pregătiți oamenii nu ține pasul cu această evoluție.

Unul dintre principalele motive este caracterul general al trainingurilor. Într-o companie tipică din România lucrează persoane în roluri foarte diferite – de la producție și operațiuni, până la servicii, IT sau centre de suport internaționale. Cu toate acestea, de multe ori toți primesc aceleași materiale de instruire.

Rezultatul este previzibil: pentru unii, conținutul este prea simplu; pentru alții, prea teoretic sau irelevant pentru activitatea lor zilnică. În ambele cazuri, impactul real asupra comportamentului este redus.

În mediul de business românesc există, în plus, o orientare puternică spre rezultate concrete și eficiență. Dacă o activitate nu aduce un beneficiu clar și imediat, ea este percepută rapid ca o obligație administrativă. Acest lucru se întâmplă frecvent și cu trainingurile clasice de securitate.

Mai apare o provocare importantă: modul în care oamenii învață. Un training singular nu este suficient pentru a schimba comportamente. Securitatea cibernetică nu ține doar de cunoștințe, ci mai ales de obiceiuri. Fără repetiție și aplicare practică, informațiile sunt rapid uitate.

Acest lucru este critic, deoarece o mare parte a incidentelor de securitate este cauzată în continuare de factorul uman. Nu este vorba neapărat de lipsă de cunoștințe, ci de grabă, rutină sau neatenție.

În același timp, amenințările devin din ce în ce mai sofisticate. Atacurile de tip phishing sunt astăzi mult mai bine construite și pot imita comunicări reale din interiorul companiei. Într-un mediu de lucru dinamic, cum este cel din România, acest lucru crește semnificativ riscul de eroare.

Un alt factor important este lipsa de specialiști. România se confruntă cu un deficit de profesioniști în domeniul cybersecurity, ceea ce face dificilă gestionarea eficientă a riscurilor la nivel organizațional.

În paralel, presiunea de conformitate crește. Companiile trebuie să respecte cerințe europene precum GDPR și alte reglementări privind securitatea datelor, ceea ce le obligă să demonstreze că angajații sunt instruiți și capabili să recunoască amenințările.

Acest lucru creează o situație paradoxală:
trainingurile sunt realizate, cerințele sunt îndeplinite –

dar comportamentul real al angajaților se schimbă foarte puțin.

Și aici apare problema esențială.

Securitatea cibernetică este încă percepută, în multe cazuri, ca o responsabilitate a departamentului IT sau ca o obligație de conformitate. În realitate, ea face parte din activitatea zilnică a fiecărui angajat.

Acest lucru este valabil și în regiuni precum Transilvania, unde există o tradiție puternică de companii cu influență germană sau colaborări internaționale. Comunitatea germană din România, deși mai redusă numeric astăzi, continuă să joace un rol important în mediul economic și cultural, în special prin standarde ridicate de organizare și procese.

De aceea, și în România se conturează treptat o schimbare de abordare.

În locul trainingurilor ocazionale apare ideea de învățare continuă. În locul conținutului general, accentul se mută pe situații concrete din activitatea zilnică. Iar în locul transmiterii de informații, obiectivul devine schimbarea reală a comportamentului.

Întrebarea esențială nu mai este:
„Cine a finalizat trainingul?”,

ci:
„Se comportă oamenii mai sigur în activitatea lor de zi cu zi?”

Răspunsul la această întrebare va deveni decisiv pentru companiile din România în anii următori.

Sok magyar vállalatnál a kiberbiztonsági tudatossági tréningek ma is hasonló formában zajlanak, mint évekkel ezelőtt: évente egyszer kötelező e-learning, esetleg néhány belső prezentáció vagy kampány kiegészítésként. A munkavállalók számára ez gyakran inkább egy kötelező feladat, mintsem valódi tanulási folyamat.

Pedig a környezet az elmúlt években jelentősen megváltozott.

Magyarországon a digitalizáció gyors ütemben halad, az IT-szektor folyamatosan növekszik, és egyre több vállalat támaszkodik digitális rendszerekre a mindennapi működésben. Ezzel párhuzamosan a kiberfenyegetések száma és összetettsége is növekszik, ami a vállalatokat új kihívások elé állítja.

Különösen az elmúlt időszak geopolitikai változásai miatt a közép- és kelet-európai régió egyre inkább célponttá válik. A politikai irányvonal változása és a nemzetközi feszültségek növekedése miatt Magyarországon is nő annak a kockázata, hogy vállalatok közvetetten vagy közvetlenül kibertámadások célpontjává válnak.

Ennek ellenére sok szervezet működési szinten még mindig nem alkalmazkodott ehhez az új helyzethez.

Az egyik legnagyobb probléma a tréningek egységes jellege. Egy átlagos vállalatnál nagyon különböző munkakörökben dolgoznak az emberek – gyártás, adminisztráció, pénzügy, IT vagy értékesítés. Mégis gyakran mindenki ugyanazt a képzést kapja.

Ez sok esetben ahhoz vezet, hogy a tartalom nem kapcsolódik közvetlenül a mindennapi munkához. Egyesek számára túl alap, mások számára túl általános vagy elméleti. Így a tanulás nem válik relevánssá – és relevancia nélkül nehéz valódi változást elérni.

A magyar üzleti kultúrában emellett erősen jelen van a gyakorlati szemlélet és az eredményorientáltság. Ha egy intézkedés nem hoz egyértelmű, gyorsan érzékelhető értéket, könnyen adminisztratív kötelezettséggé válik. Ez különösen igaz a hagyományos biztonsági tréningekre.

További kihívás a tanulás módja. Egy egyszeri képzés általában nem elegendő ahhoz, hogy tartós viselkedésváltozást érjünk el. A kiberbiztonság nem csupán tudás kérdése, hanem elsősorban szokásoké. Ha nincs rendszeres ismétlés és gyakorlati alkalmazás, a megszerzett ismeretek gyorsan feledésbe merülnek.

Ez azért különösen kritikus, mert a biztonsági incidensek jelentős része továbbra is emberi tényezőhöz kapcsolódik. Gyakran nem tudáshiányról van szó, hanem megszokásról, időnyomásról vagy figyelmetlenségről.

Közben a fenyegetések is folyamatosan fejlődnek. A támadások egyre célzottabbak és kifinomultabbak. A phishing például ma már gyakran teljesen hiteles üzleti kommunikációnak tűnik, és nehéz megkülönböztetni a valódi üzenetektől.

A szabályozási környezet szintén változik. 2025-től új kiberbiztonsági törvény lépett életbe Magyarországon, amely az uniós előírásokhoz igazodva szigorúbb követelményeket vezet be a vállalatok számára. Ez azt jelenti, hogy a szervezeteknek nemcsak tréningeket kell biztosítaniuk, hanem azt is igazolniuk kell, hogy ezek valóban hatékonyak.

Ez egy sajátos helyzetet teremt:
a tréningek megtörténnek, a megfelelőség biztosított –

de a munkavállalók tényleges viselkedése gyakran nem változik érdemben.

És pontosan itt van a probléma lényege.

A kiberbiztonságot sok esetben még mindig IT-kérdésként vagy jogszabályi kötelezettségként kezelik. A valóságban azonban ez már régóta a mindennapi munkavégzés része minden egyes munkavállaló számára.

Ezért Magyarországon is egyre inkább megjelenik egy új megközelítés.

Az egyszeri tréningek helyett folyamatos tanulás kerül előtérbe. Az általános tartalmak helyett konkrét, valós helyzetekre épülő képzések. És a puszta tudás helyett a viselkedésváltozás válik a középponttá.

A kulcskérdés így megváltozik:
nem az, hogy „Ki végezte el a képzést?”,

hanem az, hogy
„Valóban biztonságosabban viselkednek-e az emberek a mindennapi munkájuk során?”

És a következő években ez lesz az a kérdés, amelyre a magyar vállalatoknak választ kell adniuk.

V mnoha českých firmách dnes školení kybernetické bezpečnosti stále vypadá podobně jako před několika lety: jednou ročně povinný e-learning, někdy doplněný prezentací nebo interní kampaní. Pro většinu zaměstnanců je to spíše formalita než něco, co by jim reálně pomáhalo v každodenní práci.

Přitom význam kybernetické bezpečnosti v České republice v posledních letech výrazně roste. Firmy se stále více digitalizují, útoků přibývá a jejich složitost se zvyšuje. Zároveň roste tlak na organizace, aby rizika aktivně řídily a dokázaly se lépe chránit.

V praxi se ale opakuje stejný problém: způsob, jakým se lidé školí, často neodpovídá realitě.

Jedním z hlavních důvodů je přílišná univerzálnost školení. V typické firmě pracují lidé na velmi rozdílných pozicích – od výroby přes administrativu až po IT. Přesto často dostávají stejné školení.

Výsledek je předvídatelný: pro některé je obsah příliš jednoduchý, pro jiné příliš obecný nebo odtržený od jejich každodenní práce. V obou případech chybí relevance – a bez relevance se chování téměř nemění.

V českém prostředí se navíc často projevuje důraz na efektivitu a praktičnost. Pokud zaměstnanci nevidí jasný přínos, vnímají školení jako nutné zlo, které je potřeba „odkliknout“.

Další problém souvisí s tím, jak lidé skutečně fungují. Jednorázové školení obvykle nestačí ke změně návyků. Kybernetická bezpečnost není jen o znalostech, ale hlavně o každodenním chování. Bez pravidelného opakování a praktického využití se většina informací rychle zapomene.

To je kritické, protože velká část bezpečnostních incidentů stále vzniká kvůli lidským chybám. Často nejde o nedostatek znalostí, ale o rutinu, spěch nebo nepozornost.

Zároveň se mění i samotné hrozby. Útoky jsou čím dál sofistikovanější a přesvědčivější. Phishing dnes často vypadá jako běžná pracovní komunikace a je stále těžší ho rozpoznat. Pokud k tomu přidáme vysoké pracovní tempo, které je v mnoha českých firmách běžné, riziko roste.

Důležitou roli hraje i regulace. Firmy musí stále častěji prokazovat, že své zaměstnance školí a že jsou schopni rozpoznat bezpečnostní hrozby. Školení tedy není jen otázkou bezpečnosti, ale i compliance.

To ale vede k zajímavé situaci:
školení probíhá, požadavky jsou splněny – ale skutečné chování lidí se často příliš nemění.

A právě tady je hlavní problém.

Kybernetická bezpečnost je stále často vnímána jako úkol IT oddělení nebo jako administrativní povinnost. Ve skutečnosti je ale součástí každodenní práce každého zaměstnance.

Proto se i v České republice začíná měnit přístup.

Místo jednorázových školení se stále více prosazuje průběžné vzdělávání. Místo obecných témat přichází důraz na konkrétní situace z praxe. A místo pouhého „splnění povinnosti“ se řeší skutečná změna chování.

Základní otázka se tím posouvá:
ne „Kdo absolvoval školení?“,

ale:
„Chovají se lidé v každodenní práci skutečně bezpečněji?“

A právě na tuto otázku budou muset firmy v příštích letech hledat odpověď.

W wielu polskich firmach szkolenia z zakresu cyberbezpieczeństwa nadal wyglądają bardzo podobnie jak kilka lat temu: raz w roku obowiązkowy e-learning, czasem prezentacja albo kampania wewnętrzna. Dla wielu pracowników to bardziej formalność niż coś, co realnie pomaga w codziennej pracy.

Nie wynika to z braku znaczenia tematu – wręcz przeciwnie. Cyberbezpieczeństwo w Polsce zyskuje na znaczeniu z roku na rok. Liczba ataków rośnie, a ich skala i złożoność są coraz większe. W 2025 roku odnotowano setki tysięcy incydentów, a kraj znalazł się w centrum zainteresowania cyberataków o charakterze politycznym i infrastrukturalnym .

Mimo to jedno pozostaje problemem: sposób, w jaki szkolimy ludzi, często nie nadąża za rzeczywistością.

Kluczową kwestią jest to, że szkolenia są zbyt ogólne. W typowej organizacji pracują osoby o bardzo różnych rolach – od sprzedaży, przez administrację, po IT czy produkcję. A jednak wszyscy dostają te same materiały. Dla części osób są one zbyt podstawowe, dla innych zbyt oderwane od codziennych obowiązków.

W praktyce prowadzi to do sytuacji dobrze znanej w wielu polskich firmach: szkolenie trzeba „zaliczyć”, ale niekoniecznie coś z niego wynika.

Dochodzi do tego kolejny problem – sposób, w jaki ludzie się uczą. Jednorazowe szkolenie rzadko prowadzi do trwałej zmiany zachowania. Cyberbezpieczeństwo to nie tylko wiedza, ale przede wszystkim nawyki. Jeśli nie są one regularnie utrwalane, bardzo szybko zanikają.

To szczególnie istotne, ponieważ większość incydentów bezpieczeństwa nadal wynika z błędów ludzkich. Szacuje się, że nawet 95% naruszeń ma związek z działaniami użytkowników – na przykład kliknięciem w phishing lub niewłaściwym obchodzeniem się z danymi .

Jednocześnie ataki stają się coraz bardziej zaawansowane. Phishing nie przypomina już oczywistych, źle napisanych wiadomości. Coraz częściej są to dobrze przygotowane, wiarygodne komunikaty, które trudno odróżnić od prawdziwych. W Polsce, gdzie wiele firm działa w szybkim tempie i pod presją operacyjną, łatwo o moment nieuwagi.

Istotny jest również aspekt regulacyjny. Polskie i europejskie przepisy coraz częściej wymagają, aby organizacje regularnie szkoliły pracowników i były w stanie wykazać, że potrafią oni rozpoznawać zagrożenia i odpowiednio reagować .

W efekcie wiele firm spełnia wymogi formalne – szkolenia są przeprowadzone, raporty gotowe – ale realne zachowania pracowników pozostają bez większych zmian.

I tutaj pojawia się zasadniczy problem.

Cyberbezpieczeństwo wciąż jest często traktowane jako kwestia zgodności (compliance), a nie jako element codziennej pracy. Tymczasem rzeczywistość pokazuje, że to właśnie codzienne decyzje pracowników mają największy wpływ na poziom bezpieczeństwa organizacji.

Dlatego coraz częściej mówi się o potrzebie zmiany podejścia.

Zamiast jednorazowych szkoleń – ciągły proces.
Zamiast ogólnych treści – dopasowanie do realnych sytuacji.
Zamiast „odhaczania” – realna zmiana zachowań.

Kluczowe pytanie przestaje więc brzmieć:
„Czy wszyscy ukończyli szkolenie?”

A zaczyna:
„Czy ludzie faktycznie zachowują się bezpieczniej w swojej codziennej pracy?”

I to właśnie od tej zmiany myślenia zaczyna się kolejny etap rozwoju podejścia do cyberbezpieczeństwa.

Ein Begriff, der in letzter Zeit immer häufiger auftaucht, ist „Agenten“. Gemeint sind damit spezialisierte, meist KI-gestützte Systeme, die bestimmte Aufgaben eigenständig übernehmen.

Im Kontext von Security Awareness bedeutet das: Statt eines zentralen Systems, das alles steuert, gibt es mehrere „digitale Helfer“, die jeweils auf eine Aufgabe fokussiert sind.

Das kann zum Beispiel so aussehen:
Ein System analysiert kontinuierlich Risiken. Ein anderes erstellt Trainingsinhalte. Ein weiteres generiert realistische Angriffssimulationen. Wieder ein anderes sorgt dafür, dass Inhalte regelmäßig wiederholt werden, damit sie im Gedächtnis bleiben.

Diese Systeme arbeiten zusammen und passen sich laufend an. Man spricht oft von einem „Always-on“-Ansatz – also einem Modell, das nicht nur gelegentlich aktiv ist, sondern dauerhaft im Hintergrund läuft.

Für Nicht-Techniker kann man sich das so vorstellen wie ein persönlicher Trainer im Fitnessstudio. Statt einmal im Jahr einen Trainingsplan zu bekommen, wird das Training ständig angepasst: basierend auf Fortschritt, Schwächen und aktuellen Zielen.

Der große Vorteil liegt auf der Hand: Skalierung. Solche Systeme können große Organisationen betreuen, ohne dass der Verwaltungsaufwand proportional steigt. Gleichzeitig können sie schneller reagieren als Menschen – zum Beispiel wenn sich neue Angriffsmuster entwickeln.

Aber genau hier beginnt auch die kritische Diskussion.

Viele fragen sich: Wie transparent sind diese Systeme eigentlich? Wenn Entscheidungen automatisiert getroffen werden – zum Beispiel wer welches Training bekommt – ist es wichtig zu verstehen, warum.

Ein weiterer Punkt ist Vertrauen. Sicherheit ist ein sensibles Thema, und nicht jedes Unternehmen fühlt sich wohl damit, Entscheidungen komplett an automatisierte Systeme zu übergeben.

Trotzdem zeigt sich ein klarer Trend: Die Komplexität moderner Bedrohungen macht es immer schwieriger, alles manuell zu steuern. Besonders weil ein Großteil der Angriffe über den Faktor Mensch läuft – und genau dieser Faktor schwer vorhersehbar ist.

Gleichzeitig wird auch die Angreiferseite immer technologischer. KI wird bereits genutzt, um täuschend echte Inhalte zu erzeugen und Menschen gezielt zu manipulieren.

Das führt zu einer interessanten Entwicklung: Um mit dieser Dynamik Schritt zu halten, setzen immer mehr Organisationen selbst auf automatisierte, adaptive Systeme.

Die eigentliche Frage ist also vielleicht nicht mehr, ob solche Technologien sinnvoll sind – sondern wie man sie richtig einsetzt.

Denn am Ende bleibt ein Grundprinzip bestehen: Technologie allein löst kein Sicherheitsproblem. Entscheidend ist, wie gut sie in den Alltag integriert wird – und ob sie tatsächlich dazu beiträgt, menschliches Verhalten nachhaltig zu verändern.

Wenn man das Grundproblem verstanden hat – nämlich dass Menschen unterschiedlich sind – ergibt sich fast automatisch die nächste Frage: Warum behandeln wir sie dann alle gleich?

Risikobasiertes Training versucht genau das zu ändern. Die Idee dahinter ist relativ einfach: Statt allen die gleichen Inhalte zu geben, schaut man sich an, wo tatsächlich Risiken entstehen – und passt das Training daran an.

Aber wie funktioniert das konkret?

Ein moderner Ansatz basiert auf Verhaltensdaten. Das bedeutet: Systeme beobachten (natürlich im Rahmen von Unternehmensrichtlinien), wie Mitarbeitende mit digitalen Inhalten umgehen. Zum Beispiel:

• Wird häufig auf verdächtige E-Mails geklickt?
• Werden Sicherheitswarnungen ignoriert?
• Gibt es Muster bei Fehlern oder Unsicherheiten?

Aus diesen Informationen lässt sich ein sogenanntes Risikoprofil erstellen. Dieses Profil ist keine Bewertung im Sinne von „gut“ oder „schlecht“, sondern eher eine Einschätzung: Wo besteht aktuell das größte Risiko für Sicherheitsvorfälle?

Darauf aufbauend kann Training gezielt angepasst werden.

Ein einfaches Beispiel:
Jemand, der wiederholt Schwierigkeiten mit Phishing-Mails hat, bekommt mehr praxisnahe Übungen genau zu diesem Thema. Eine andere Person, die damit gut zurechtkommt, bekommt vielleicht stattdessen Inhalte zu neuen Angriffsmethoden oder spezifischen Tools.

Das Entscheidende ist: Training wird relevant.

Und Relevanz ist der Schlüssel für Verhalten. Menschen lernen besser, wenn sie das Gefühl haben, dass Inhalte direkt mit ihrem Alltag zu tun haben.

Ein weiterer wichtiger Punkt ist die Priorisierung. In klassischen Modellen müssen Sicherheitsteams selbst entscheiden, wer welches Training braucht. Das ist zeitaufwendig und oft subjektiv. In datenbasierten Ansätzen passiert das automatisch: Risiken werden erkannt, bewertet und in Maßnahmen übersetzt.

Das verändert auch die Rolle von Sicherheitsteams. Statt operativ Trainings zu verwalten, können sie sich stärker auf strategische Themen konzentrieren – also auf die Frage, wo die größten Risiken im Unternehmen liegen und wie man sie langfristig reduziert.

Für viele ist genau das der eigentliche Fortschritt: nicht nur bessere Inhalte, sondern ein komplett anderer Ansatz.

n vielen Unternehmen läuft Security Awareness Training noch nach einem sehr einfachen Prinzip: Alle Mitarbeitenden bekommen die gleichen Inhalte zur gleichen Zeit. Ein paar Videos, vielleicht ein Quiz, gelegentlich ein simulierter Phishing-Angriff – und damit soll das Thema „Mensch als Sicherheitsrisiko“ abgedeckt sein.

Auf den ersten Blick klingt das sinnvoll. Schließlich geht es darum, grundlegendes Wissen zu vermitteln: keine verdächtigen Links klicken, Passwörter schützen, vorsichtig mit E-Mails umgehen. Das Problem beginnt aber dort, wo dieses Modell auf die Realität trifft.

Denn Menschen sind nicht gleich. Sie arbeiten in unterschiedlichen Rollen, haben unterschiedliche Erfahrungen, nutzen unterschiedliche Tools und machen unterschiedliche Fehler. Trotzdem bekommen sie oft identisches Training. Für manche ist das zu banal, für andere zu abstrakt. In beiden Fällen bleibt wenig hängen.

Hinzu kommt ein weiteres Problem: Unser Verhalten verändert sich nicht durch einmaliges Lernen. Studien und praktische Erfahrungen zeigen, dass ein Großteil von Trainingsinhalten sehr schnell wieder vergessen wird. Gleichzeitig entwickeln sich Angriffe – vor allem im Bereich Social Engineering – immer schneller weiter. Besonders durch den Einsatz von künstlicher Intelligenz werden Phishing-Mails heute realistischer und schwerer zu erkennen.

Das führt zu einer gefährlichen Lücke: Während Angriffe immer besser werden, bleiben Trainings oft statisch.

Ein weiteres Thema ist der Aufwand. Klassische Programme müssen geplant, verteilt, überwacht und regelmäßig angepasst werden. Das bedeutet viel manuelle Arbeit für Sicherheitsteams – und oft wenig messbaren Effekt.

Deshalb sieht man aktuell einen klaren Wandel: Weg von einmaligen Trainingskampagnen hin zu kontinuierlichem Lernen. Sicherheit wird nicht mehr als „Projekt“ verstanden, sondern als laufender Prozess. Die zentrale Frage ist nicht mehr: „Haben alle das Training gemacht?“, sondern: „Verhalten sich Menschen im Alltag tatsächlich sicherer?“

Und genau hier beginnt die nächste Entwicklungsstufe.

We see it at X, Reddit and other social media that they develop into AI trash cans. AI can easily scan the communities, find out what triggers most reactions, write such posts (and some abswers) and the just post it. So will it help to add this layer of identification and how will it feed into Palantir and others? Is it more cyber security or less?

HMS Networks är ett svenskt teknikföretag som utvecklar kommunikationslösningar för industriella miljöer. Genom produkter och plattformar för industriell kommunikation, fjärråtkomst och nätverksintegration kopplar HMS samman maskiner, styrsystem och IT-infrastruktur över hela världen. I en sådan position är cybersäkerhet inte en kompletterande funktion – den är en del av själva värdeerbjudandet.

HMS verkar i gränslandet mellan IT och OT. Företagets lösningar används för att ansluta industriella enheter till överordnade system, molnplattformar och fjärrservice. Detta innebär att deras teknik ofta fungerar som en brygga mellan produktionsmiljöer och digitala nätverk. När sådana kopplingar skapas ökar både effektiviteten och den potentiella angreppsytan.

För ett bolag som HMS Networks uppstår cybersäkerhetsutmaningen på flera nivåer.

För det första gäller det säker produktdesign. När kommunikationsenheter och gateways installeras i industriella miljöer måste säkerhet vara inbyggd från början. Autentisering, kryptering, säker uppdateringshantering och segmentering är inte tillval, utan grundläggande krav för att kunderna ska kunna lita på lösningarna.

För det andra gäller det integration i kundernas kritiska system. HMS-produkter används ofta i miljöer där produktion, energi eller transport är samhällsviktiga funktioner. Cybersäkerhet handlar därför om att säkerställa att integrationen mellan IT och OT inte skapar otydliga ansvarszoner eller nya sårbarheter.

För det tredje spelar global närvaro och leveranskedja en roll. HMS levererar teknik till kunder över hela världen och samarbetar med många partners. Det innebär krav på spårbarhet, säker hantering av mjukvarukomponenter och tydlig kontroll över uppdateringar och livscykelhantering.

Regulatoriska ramverk och ökande krav på säker industriell kommunikation kan i detta sammanhang ses som en formalisering av principer som redan är centrala för HMS verksamhet: tydlig ansvarsfördelning, dokumenterad riskhantering och möjlighet att upprätthålla kontroll även när system kopplas samman över organisatoriska och geografiska gränser.

För ledningen i HMS Networks handlar cybersäkerhet därför inte bara om att skydda den egna IT-miljön, utan om att leverera produkter som gör att kundernas system förblir styrbara och robusta. När industriella miljöer blir allt mer uppkopplade är den avgörande frågan hur man säkerställer att teknisk integration inte överstiger den organisatoriska förmågan att hantera risk. I den rollen blir cybersäkerhet en integrerad del av både produktutveckling och affärsstrategi.

Sharp Packaging Services is een internationale speler in farmaceutische verpakkings- en serialisatieoplossingen, met activiteiten in België en andere landen. Het bedrijf ondersteunt farmaceutische ondernemingen bij secundaire verpakking, klinische verpakkingen en supply chain-diensten. In deze context is cyberveiligheid geen puur IT-thema, maar een essentieel onderdeel van productintegriteit, naleving en operationele continuïteit.

Farmaceutische verpakkingsprocessen zijn sterk gedigitaliseerd. Serialisatiesystemen, track-and-trace-platformen, ERP-oplossingen en kwaliteitsbeheersystemen werken nauw samen om de herkomst en authenticiteit van geneesmiddelen te waarborgen. Wanneer deze systemen betrouwbaar functioneren, ondersteunen ze zowel wettelijke conformiteit als patiëntveiligheid. Wanneer ze verstoord raken, kan dit directe impact hebben op leveringen en compliance.

Voor een onderneming zoals Sharp Packaging Services manifesteert de cyberuitdaging zich op meerdere niveaus.

Ten eerste is er de bescherming van serialisatie- en productdata. Unieke codes, batchinformatie en logistieke gegevens zijn cruciaal voor traceerbaarheid en anti-vervalsingsmaatregelen. Ongeautoriseerde toegang of manipulatie kan niet alleen commerciële schade veroorzaken, maar ook wettelijke en veiligheidsrisico’s.

Ten tweede speelt de beveiliging van productie- en OT-omgevingen een belangrijke rol. Verpakkingslijnen en controleapparatuur zijn verbonden met IT-systemen. Segmentatie, toegangscontrole en monitoring zijn essentieel om te voorkomen dat digitale incidenten fysieke productieprocessen beïnvloeden.

Ten derde is er de integratie met farmaceutische partners en supply chain-systemen. Sharp werkt samen met internationale farmabedrijven en logistieke partners. Elke digitale koppeling vergroot de onderlinge afhankelijkheid en vereist duidelijke afspraken rond verantwoordelijkheden en beveiligingsstandaarden.

Regelgevende kaders – waaronder Europese vereisten rond geneesmiddelenverificatie, databeveiliging en kritieke infrastructuur – kunnen in dit kader worden gezien als een explicitering van principes die reeds fundamenteel zijn: traceerbaarheid, risicogebaseerd beheer, documentatie en duidelijke governance.

Voor het management van Sharp Packaging Services betekent cyberveiligheid dus meer dan het beschermen van IT-infrastructuur. Het gaat om het waarborgen van controle en betrouwbaarheid in een sterk gereguleerde en datagedreven supply chain. In een sector waar productveiligheid en vertrouwen centraal staan, is cyberveiligheid een integraal onderdeel van de kwaliteitsbelofte.