Datalek? Vermijd deze 5 valkuilen bij de afhandeling

Een datalek is voor elk bedrijf een nachtmerrie. Maar hier zit een ongemakkelijke waarheid in verpakt: de schade wordt vaak niet bepaald door het lek zelf, maar door hoe je erop reageert. Een beheerst afgehandeld incident blijft meestal beperkt; een rommelige reactie maakt van een vervelend voorval een crisis die klanten, omzet en reputatie kost.

We schreven eerder over het beperken van de kosten van een datalek en over de langetermijnkosten die vaak onderschat worden. Dit artikel bekijkt het van de andere kant: de vijf valkuilen waar bedrijven tijdens de afhandeling het vaakst instappen — en hoe jij dat voorkomt.

Valkuil 1: te traag reageren

De grootste fout is wachten. Elk uur dat een aanvaller ongestoord zijn gang kan gaan, groeit de schade. En onder de AVG heb je geen tijd te verliezen: een meldenswaardig datalek moet je binnen 72 uur melden bij de Autoriteit Persoonsgegevens.

Handel direct

Zodra je een lek vermoedt, start je je incident-responsplan: indammen, schade inschatten, betrokkenen informeren. Heb je zo’n plan niet, dan verlies je kostbare uren aan improviseren. Leg daarom nu al vast wie wat doet — ons artikel over je mkb voorbereiden op het onverwachte helpt daarbij.

Informeer betrokkenen op tijd

Stel het informeren van klanten, medewerkers en partners niet uit tot “alles duidelijk is” — dat moment komt zelden snel. Wees open over drie dingen: wat er is gebeurd, welke gegevens het betreft en wat je eraan doet. Betrokkenen kunnen dan zelf maatregelen nemen, zoals wachtwoorden wijzigen.

Valkuil 2: onduidelijke communicatie

Hoe je communiceert bepaalt hoe klanten het incident onthouden. Vage of tegenstrijdige berichten voeden wantrouwen; heldere communicatie herstelt het juist.

Drie vuistregels. Eén: kies vaste kanalen (een pagina op je website, e-mailupdates, eventueel een telefoonnummer) en houd die actueel. Twee: vermijd jargon — “een geavanceerde persistente dreiging in ons netwerksegment” zegt een klant niets, “onbevoegden hadden toegang tot e-mailadressen en telefoonnummers” wel. Drie: geef regelmatig updates, ook als er weinig nieuws is. Stilte wordt al snel gelezen als verhullen.

Valkuil 3: het lek niet echt indammen

Bedrijven denken soms te vroeg dat het voorbij is. De aanvaller blijkt dan nog toegang te hebben via een tweede account of een vergeten koppeling — en het incident begint opnieuw, inclusief nieuwe meldingen en nog meer imagoschade.

Isoleer, onderzoek, herstel

Dam eerst in: koppel getroffen systemen los, blokkeer accounts, zet verdachte koppelingen uit. Breng daarna de omvang in kaart: welke gegevens zijn geraakt, hoe kwam de aanvaller binnen, hoe lang had die toegang? Dicht pas daarna de gaten en herstel systemen — in die volgorde. Continue monitoring helpt om resterende toegang op te sporen; waarom dat zo belangrijk is, lees je in continue monitoring als noodzaak.

Valkuil 4: wet- en regelgeving negeren

De AVG schrijft precies voor wanneer en hoe je een datalek meldt. Voor een groeiende groep bedrijven komt daar NIS2 bij, met eigen meldplichten voor belangrijke en essentiële organisaties. Niet melden of te laat melden kan tot forse boetes leiden — boven op de schade die je al had.

Ken je verplichtingen en documenteer alles

Weet vóórdat het misgaat welke meldplichten voor jouw bedrijf gelden en wie de melding doet. Documenteer tijdens een incident alles: tijdlijn, genomen maatregelen, communicatie. Ook lekken die je niet hoeft te melden, moet je onder de AVG intern registreren. Die documentatie beschermt je als de toezichthouder meekijkt.

Valkuil 5: de menselijke kant vergeten

Een datalek is ook een menselijk incident. Medewerkers voelen zich schuldig of onzeker — zeker als een klik op een phishingmail de oorzaak was. Klanten zijn ongerust. Wie alleen met techniek bezig is, laat hier veel liggen.

Steun medewerkers van wie gegevens zijn gelekt, en reken de veroorzaker niet publiekelijk af: angst zorgt er alleen maar voor dat een volgend incident later wordt gemeld. Help klanten met concrete stappen — verwijs ze bijvoorbeeld naar onze datalek-check. En leer van het incident: een goede evaluatie plus regelmatige securitytraining maakt de kans op herhaling een stuk kleiner.

Zo bereid je je voor

1. Maak (of actualiseer) een incident-responsplan met rollen en contactgegevens.
2. Zet monitoring aan zodat je een lek snel ontdekt.
3. Bepaal vooraf je meldroutes: AP, eventueel NIS2, verzekeraar, IT-partner.
4. Bereid communicatiesjablonen voor die je bij een incident alleen hoeft in te vullen.
5. Oefen het scenario eens per jaar — een uur oefenen scheelt dagen paniek.

Praktijkscenario: bij een handelsbedrijf bleek op donderdagavond een mailbox gecompromitteerd. Omdat het responsplan klaarlag, waren binnen twee uur alle sessies ingetrokken, MFA afgedwongen en de doorstuurregel van de aanvaller verwijderd. Vrijdagochtend ging er een heldere mail naar de vijftien geraakte klanten, en de AP-melding was binnen de termijn gedaan. Resultaat: nul verloren klanten — en een leerpunt over mailfiltering.

Zorg eerst voor overzicht

Voordat je iets anders doet, creëer je overzicht: wat is er precies gelekt, hoe is het ontstaan en wie had toegang tot welke persoonsgegevens? Vaak begint een datalek klein — een e-mail naar een verkeerd adres of een gestolen laptop — maar bij een hoog risico geldt de meldplicht en ben je verplicht het binnen 72 uur bij de Autoriteit Persoonsgegevens te melden. Datalekken afhandelen draait om snel schakelen met een koel hoofd.

Veelgestelde vragen

Moet ik elk datalek melden bij de Autoriteit Persoonsgegevens?

Nee. Je meldt een lek als het waarschijnlijk een risico vormt voor de betrokkenen. Maar ook niet-gemelde lekken moet je intern registreren, met je afweging erbij. Twijfel je? Meld liever te vroeg dan te laat — de 72-uurstermijn loopt vanaf het moment dat je het lek ontdekt.

Wat is het allerbelangrijkste om nu te regelen?

Een responsplan en snelle detectie. Bedrijven die een lek binnen enkele dagen ontdekken en beheerst reageren, zijn vele malen goedkoper uit dan bedrijven waar een aanvaller maanden onopgemerkt blijft.

Helpt een cyberverzekering hierbij?

Vaak wel: veel polissen dekken forensisch onderzoek, juridische hulp en communicatie. Maar verzekeraars stellen tegenwoordig ook eisen aan je basisbeveiliging. Lees meer in cyberverzekering: wat verandert er.

Kunnen jullie helpen tijdens een incident?

Ja. We helpen zowel vooraf (plan, monitoring, training) als tijdens een incident met indammen, onderzoek en herstel. Hoe eerder we erbij zijn, hoe kleiner de schade.

Liever voorkomen dat je deze valkuilen ooit van dichtbij ziet? We nemen je incident-voorbereiding graag een keer met je door. Bel 030-7115791 of mail info@okayict.nl.