Van klikspijt naar klikschaamte: waarom schaamte een incident groter maakt

Vier op de tien Nederlanders hebben weleens klikspijt

Op 19 oktober 2026 presenteerde de Rijksoverheid nieuwe onderzoeksresultaten bij de campagne Laat je niet interneppen. Daaruit blijkt dat 94% van de volwassen Nederlanders weleens twijfelt aan de betrouwbaarheid van een bericht, advertentie of link.

Toch heeft ruim vier op de tien Nederlanders weleens spijt van een klik. Bij ongeveer een derde van deze groep had dat ook daadwerkelijk gevolgen, zoals financiële schade, het verlies van persoonsgegevens of de installatie van schadelijke software. Ook opvallend: 45% van de mensen die klikspijt ervoeren, geeft aan op dat moment gehaast of afgeleid te zijn geweest.

Met het begrip klikspijt wil de overheid bespreekbaar maken dat online misleiding iedereen kan overkomen. Maar daarmee begint misschien wel een belangrijker gesprek.

Bron: Rijksoverheid, campagne Laat je niet interneppen, oktober 2026.

Wat is klikschaamte?

Klikspijt en klikschaamte lijken op elkaar, maar betekenen niet hetzelfde. Klikspijt is het gevoel dat je een verkeerde beslissing hebt genomen. Klikschaamte ontstaat wanneer je jezelf vervolgens veroordeelt om die beslissing, of bang bent voor het oordeel van anderen.

Bijvoorbeeld wanneer een medewerker op een phishinglink klikt en denkt:

• “Hoe heb ik hier zo stom in kunnen trappen?
• “Wat zullen mijn collega's hiervan vinden?
• “Krijg ik problemen als ik dit meld?
• “Misschien is er niets gebeurd en hoef ik niets te zeggen.

Het verschil is belangrijk. Spijt kan iemand aanzetten tot handelen. Schaamte kan er juist voor zorgen dat iemand zich terugtrekt.

Van klikschaamte naar cyberschaamte

Klikschaamte kun je zien als een specifieke vorm van cyberschaamte: gevoelens van schaamte die ontstaan naar aanleiding van een gebeurtenis in de digitale wereld.

Een verkeerde klik is immers niet altijd het einde van een digitale aanval. Soms is het pas het begin.

Een veilige meldcultuur is minstens zo belangrijk

Veel organisaties investeren in security awareness. Medewerkers volgen trainingen, herkennen verdachte berichten en worden regelmatig getest met phishingsimulaties. Dat is waardevol, maar aandacht voor preventie alleen is onvoldoende.

Een phishingbericht kan zo overtuigend zijn dat zelfs ervaren professionals erin trappen. Cybercriminelen spelen bewust in op tijdsdruk, vertrouwen, nieuwsgierigheid en de dagelijkse werkcontext. Een organisatie die uitsluitend benadrukt dat medewerkers niet mogen klikken, loopt het risico dat mensen fouten proberen te verbergen.

Daarom is het belangrijk om ook te investeren in een veilige meldcultuur. Dat betekent niet dat medewerkers geen verantwoordelijkheid dragen. Het betekent dat organisaties onderscheid maken tussen menselijke fouten, bewust roekeloos handelen en opzettelijke overtredingen.

Een medewerker moet weten waar een incident gemeld kan worden, wat er daarna gebeurt en dat tijdig melden wordt gewaardeerd. Niet de schuldvraag moet bij een vermoedelijk incident centraal staan, maar de vraag: hoe beperken we samen de gevolgen?

Van bewustzijn naar gedrag

Weten dat je een mogelijk incident moet melden, betekent nog niet dat je het ook doet. Twijfel, schaamte, onduidelijkheid of de verwachte reactie van anderen kunnen gedrag in de weg staan.

Het EAST-model helpt om gewenst gedrag makkelijker, aantrekkelijker, socialer en op het juiste moment uitvoerbaar te maken. Hieronder is ieder principe vertaald naar een concrete toetsvraag voor de eigen meldcultuur.

Gebaseerd op het EAST-framework van The Behavioural Insights Team.