Je nalevingsprogramma is een bibliotheek. Niemand leest het.

NIS2 maalt er niet om.

Het is 16.46 uur op een vrijdag wanneer iemand een spreadsheet doorstuurt met de naam NIS2 Gap-analyse DEFINITIEF v7 ECHT DEFINITIEF. We doen wat elke verstandige volwassene doet: we scannen het even, knikken ernstig en beloven onszelf dat we er "volgende week echt naar gaan kijken".

Dat is precies het moment waarop een nalevingsprogramma verandert van een regel in een psychologisch probleem.

Want het lastige zit niet in de spreadsheet. Het zit in de maandagochtend. Het is Sharon van de boekhouding die een factuur goedkeurt terwijl haar Teams pingt. Het is je operationeel manager die een klantopdracht probeert op te leveren terwijl iemand alweer vraagt: "Kun je mijn wachtwoord even resetten naar Zomer2026? Ik heb haast."

Als die zin je irriteert, mooi zo. Geïrriteerd is wakker. En wakker is precies de juiste toestand om de meest voorkomende nalevingsval te vermijden: mensen behandelen als een distributieprobleem voor beleid.

Naleving begint in de keuken, niet in de bestuursmap

Wanneer organisaties regeldruk voelen, reageren ze vaak zoals de meesten van ons op een rommelige garage. We kopen opbergdozen.

Zo eindigen we met beleid dat niemand leest, trainingsdia's die niemand onthoudt en een "proces" dat vooral bestaat als een map met de naam Nieuw proces (definitief).

Voor de duidelijkheid: dit is geen pleidooi tegen beleid. Het is een pleidooi tegen fantasie.

Een document kan verwachtingen verduidelijken. Het kan je juridisch beschermen. Het kan bewijzen dat je het hebt geprobeerd. Maar het maakt de juiste handeling niet tot de makkelijke handeling. En als het op naleving aankomt, wint "makkelijk" meestal. Niet omdat mensen onzorgvuldig zijn, maar omdat ze het druk hebben. Ze proberen fatsoenlijk werk te leveren, snel, met de middelen en tijd die ze daadwerkelijk hebben.

Hier houdt "cultuur" op een vaag woord te zijn en wordt het heel concreet. Cultuur zijn geen posters en slogans. Cultuur is wat mensen doen als ze moe zijn, als ze gestoord worden, als niemand kijkt.

Wil je naleving die een stressvolle maandag overleeft, ontwerp dan voor die stressvolle dag. Niet voor de jaarlijkse auditvergadering waar iedereen zich plotseling herinnert wat het beleid zegt.

Waarom eendaagse training en vinkjes blijven falen

De meeste organisaties willen geen afvink-naleving bouwen. Het gebeurt omdat tijdsdruk ons doet grijpen naar het snelste bewijs dat we kunnen produceren.

Dus doen we de verstandig ogende dingen: beleid verspreiden, een jaarlijkse training draaien, een quiz toevoegen, aanwezigheid registreren. Die acties leveren artefacten op, en artefacten voelen als vooruitgang. Ze staan prachtig in een map.

Maar artefacten zijn geen resultaten. Een ondertekend beleid is niet hetzelfde als een veranderde gewoonte. Een afgeronde module is niet hetzelfde als een veiliger besluit onder druk.

Een nuttige test: wanneer het risicovolle moment aanbreekt, doen mensen dan standaard het juiste, of moeten ze zich herinneren dat er een pdf bestaat?

Als het antwoord "ze moeten het zich herinneren" is, dan heb je geen nalevingsprogramma gebouwd. Je hebt een bibliotheek gebouwd.

COM-B in één minuut

Een van de nuttigste kaders om te begrijpen waarom gedragsverandering slaagt of faalt, is COM-B, ontwikkeld door Michie et al. (2011). Het stelt dat gedrag plaatsvindt wanneer mensen drie dingen samen hebben:

De meeste nalevingssprints richten zich bijna volledig op Capability. We bestoken mensen met informatie, draaien een verplichte module, mailen een beleid. De quiz wordt toegevoegd omdat een quiz op bewijs lijkt.

Maar het succes van naleving hangt net zo goed af van Opportunity en Motivation.

Neem welk beleidsmatig gedrag dan ook: incidenten melden, een zorg escaleren, een leverancier ter verantwoording roepen, een riskant verzoek van een leidinggevende weigeren. Wil dat gedrag betrouwbaar plaatsvinden, dan hebben mensen nodig:

• een duidelijke, eenvoudige route om het juiste te doen (Opportunity)
• genoeg tijd en de juiste middelen om het te doen (Opportunity)
• sociale toestemming om het te doen, ook als het ongemakkelijk is (Motivation)
• feedback die bewijst dat het de moeite waard was (Motivation)
• genoeg context om het moment te herkennen dat ertoe doet (Capability)

Ontbreekt er ook maar één, dan faalt het gedrag. Niet in theorie. In de praktijk, op de dag dat het ertoe doet.

Daarom is "we hebben ze getraind" niet hetzelfde als "ze doen het". En daarom zou een nalevingsteam onrustig moeten worden bij het horen van: "We pakken het cultuurstuk wel op nadat we de beleidsset hebben afgerond." Niet de beleidsset voorkomt missers. De gewoonten doen dat.

NIS2 als perfect voorbeeld van het grotere nalevingsprobleem

NIS2 is een nuttige casus, niet omdat het uniek is, maar omdat het het patroon zichtbaar maakt. Het is verleidelijk om het te behandelen als een project met een begin- en einddatum, een checklist en een map om te vullen.

De organisaties die het goed doen met NIS2 zijn niet die met de mooiste documentatie. Het zijn die waar risicobeheergedrag daadwerkelijk plaatsvindt wanneer niemand kijkt.

Hetzelfde geldt voor de meeste moderne nalevingsregimes. De geschreven norm is het zichtbare deel. Het geleefde gedrag is het beschermende deel.

En zit je in het VK, ga er dan niet van uit dat dit aan je voorbijgaat. Lever je diensten aan in de EU gereguleerde organisaties, of zit je in hun toeleveringsketen, dan kunnen die klanten NIS2-waarborgen van je eisen, ongeacht waar je gevestigd bent. Reikwijdte is niet alleen een kwestie van geografie.

Een praktische noot over reikwijdte: NIS2 is een EU-richtlijn, en richtlijnen worden omgezet in nationale wetgeving. De details verschillen per land, en "vallen wij eronder" is geen vraag die je beslecht op basis van een LinkedIn-post. Raadpleeg de richtlijnen van je nationale autoriteit. Het Ierse nationale cybersecuritycentrum publiceert een NIS2-FAQ in begrijpelijke taal, en de Europese Commissie biedt achtergrond bij de richtlijn. Eén pagina beantwoordt niet alles voor elke organisatie, maar beide maken één punt onontkoombaar: dit is geen papierwerk. Autoriteiten geven om risicobeheer, verantwoording en of organisaties kunnen reageren wanneer er echt iets misgaat.

Wat ons, opnieuw, terugbrengt bij gedrag.

Als je organisatie "een proces heeft" maar niemand weet wat te doen wanneer iets niet klopt, escaleren riskant of gênant voelt, en iedereen aanneemt dat een ander het wel opmerkt, dan is het proces decoratief. En als het plan is om dat later op te lossen, dan heb je zojuist last-minute-naleving beschreven.

Voor mkb én grote organisaties: maak het juiste gedrag het makkelijke gedrag

Veel nalevingsadvies verdeelt de wereld in kleine en grote organisaties, alsof menselijk gedrag verandert met het aantal medewerkers. Dat doet het niet. Mensen blijven hardnekkig menselijk, op elke schaal.

Kleinere organisaties worstelen meestal met capaciteit. Er is geen nalevingsleger. Er is Sharon, een operationeel manager en iemand die "verstand van computers heeft". De winst zit niet in alles doen. De winst zit in een paar gedragingen consequent uitvoeren, met zo min mogelijk gedoe.

Grotere organisaties worstelen vaak met overdrachten. De maatregelen bestaan, maar de gaten zitten tussen teams, leveranciers en "heel even"-uitzonderingen. De winst zit niet in nog een beleid. De winst zit in het weghalen van frictie uit het veilige pad en het weghalen van beloningen uit het onveilige.

Hoe dan ook is de hefboom dezelfde: maak het juiste gedrag de weg van de minste weerstand.

Als de veilige route moeilijker, trager of sociaal riskanter is dan de omweg, dan zullen mensen eromheen werken. Niet uit kwaadwil, maar uit menselijkheid. Wil je dat naleving het contact met de realiteit overleeft, richt je dan minder op mensen vertellen wat ze moeten doen, en meer op het wegnemen van de redenen waarom ze het niet doen.

Doet de "we zijn te klein om ertoe te doen"-mythe de ronde in je organisatie, dan is deze blog van Psybersafe het lezen waard: De mkb-mythe.

Een eenvoudig 30-60-90-dagenplan voor elke verandering in naleving of beleid

Een cultuur laat zich niet erin proppen. Je kunt haar wél opbouwen in kleine, verstandige stappen. Hier is een plan dat respecteert dat je nog steeds een bedrijf te runnen hebt.