Een datalek melden als ondernemer is iets waar je liever niet mee te maken krijgt, maar je moet wel weten wat je moet doen als het gebeurt. Een datalek kan ontstaan door een gehackt account, een verkeerd verzonden e-mail, een verloren laptop of een openbaar gedeelde map met klantgegevens. Daarom hoort weten hoe je een datalek beoordeelt en meldt bij de basis van cyberveiligheid voor kleine bedrijven.
Voor kleine bedrijven, zzp’ers en eenmanszaken kan een datalek veel stress veroorzaken. Je vraagt je af wat er precies is gebeurd, welke gegevens betrokken zijn, of klanten geïnformeerd moeten worden en of je melding moet doen. Door vooraf een duidelijk stappenplan te hebben, kun je sneller en rustiger handelen.
In deze gids lees je wat een datalek is, wanneer je actie moet ondernemen, welke informatie je moet verzamelen en hoe je voorkomt dat hetzelfde incident opnieuw gebeurt.
Wat is een datalek?
Een datalek ontstaat wanneer persoonsgegevens verloren gaan, worden gestolen of toegankelijk zijn voor iemand die daar geen recht op heeft. Het gaat dus niet alleen om hackers. Ook een menselijke fout kan een datalek veroorzaken.
Voorbeelden van datalekken zijn:
- een e-mail met klantgegevens naar de verkeerde ontvanger;
- een laptop of telefoon met klantgegevens die wordt gestolen;
- een gehackt e-mailaccount;
- een openbare cloudmap met persoonsgegevens;
- een kwijtgeraakte USB-stick;
- een verkeerd verzonden factuur;
- een database die tijdelijk openbaar bereikbaar is;
- een medewerker die onbevoegd klantgegevens bekijkt.
Wil je dit soort situaties zoveel mogelijk voorkomen? Lees dan ook datalek voorkomen in kleine bedrijven.
Wanneer moet je een datalek serieus nemen?
Elk mogelijk datalek moet je serieus beoordelen. Niet elk incident hoeft direct gemeld te worden, maar je moet wel vastleggen wat er is gebeurd en welke afweging je hebt gemaakt.
Stel jezelf direct deze vragen:
- Zijn er persoonsgegevens betrokken?
- Wie kon de gegevens zien?
- Hoe gevoelig zijn de gegevens?
- Zijn de gegevens alleen ingezien of ook gekopieerd?
- Is er risico voor klanten, medewerkers of andere personen?
- Kun je de toegang direct intrekken?
- Is het incident volledig opgelost?
Een verkeerd verzonden nieuwsbrief zonder gevoelige gegevens is minder ernstig dan een openbaar gedeeld klantdossier met financiële informatie. Toch moet je ook kleine incidenten registreren. Zo kun je later aantonen dat je zorgvuldig hebt gehandeld.
Welke gegevens vallen onder persoonsgegevens?
Persoonsgegevens zijn alle gegevens die direct of indirect naar een persoon kunnen verwijzen. Veel ondernemers verwerken meer persoonsgegevens dan ze denken.
Denk aan:
- naam en adres;
- e-mailadres;
- telefoonnummer;
- klantnummer;
- factuurgegevens;
- betaalinformatie;
- IP-adres;
- personeelsgegevens;
- offertes en contracten;
- bestelgegevens;
- kopieën van identiteitsdocumenten;
- klantnotities.
Lees meer over AVG en cyberveiligheid voor kleine bedrijven als je wilt begrijpen hoe privacy en beveiliging samenhangen.
Eerste stap: beperk de schade
Als je een mogelijk datalek ontdekt, moet je eerst de schade beperken. Trek toegang in, verwijder openbare links, blokkeer een account of haal een apparaat offline als dat nodig is.
Voorbeelden:
- verwijder een verkeerd gedeelde cloudlink;
- vraag de verkeerde ontvanger om de e-mail te verwijderen;
- verander wachtwoorden bij een gehackt account;
- trek actieve sessies in;
- blokkeer een verloren apparaat;
- verwijder toegang van oude gebruikers;
- schakel een IT-specialist in bij een hack.
Gebruik hierbij een cyberincident stappenplan zodat je niets vergeet. Tijdens stress is een vaste volgorde belangrijk.
Verzamel de juiste informatie
Na de eerste noodactie moet je vastleggen wat er is gebeurd. Dit helpt bij de beoordeling, communicatie en eventuele melding.
Noteer minimaal:
- datum en tijd van het incident;
- hoe het datalek is ontdekt;
- welke systemen of bestanden betrokken zijn;
- welke persoonsgegevens zijn geraakt;
- hoeveel personen ongeveer betrokken zijn;
- wie toegang had tot de gegevens;
- welke maatregelen direct zijn genomen;
- of gegevens zijn ingezien, gekopieerd of verwijderd;
- of betrokkenen risico lopen;
- wie intern verantwoordelijk is voor opvolging.
Bewaar ook bewijs, zoals screenshots, logbestanden, e-mails of meldingen van klanten. Verwijder niet zomaar alles voordat duidelijk is wat er is gebeurd.
Beoordeel het risico
De kernvraag is: levert het datalek risico op voor de personen van wie gegevens zijn gelekt? Hoe groter het risico, hoe belangrijker snelle actie wordt.
Een datalek kan risico opleveren als gegevens kunnen leiden tot:
- identiteitsfraude;
- financiële schade;
- reputatieschade;
- discriminatie;
- phishing;
- chantage;
- verlies van vertrouwelijkheid;
- ongewenste benadering.
Een lijst met e-mailadressen is meestal minder gevoelig dan kopieën van identiteitsbewijzen, medische gegevens of financiële dossiers. Maar ook eenvoudige gegevens kunnen risico geven als ze in de verkeerde context terechtkomen.
Moet je het datalek melden?
Of je een datalek moet melden, hangt af van het risico. Als het incident waarschijnlijk risico oplevert voor betrokken personen, moet je meestal melding doen bij de bevoegde privacytoezichthouder. Als het risico hoog is, moet je vaak ook de betrokken personen informeren.
Omdat regels en interpretaties kunnen verschillen per situatie, is het verstandig om bij twijfel professioneel advies te vragen. Wat je in elk geval altijd moet doen: het incident intern registreren, inclusief je beslissing waarom je wel of niet meldt.
Zet deze procedure in je cyberveiligheidsplan, zodat je niet pas tijdens een incident hoeft uit te zoeken wat er moet gebeuren.
Wanneer informeer je klanten of betrokkenen?
Als het datalek waarschijnlijk een hoog risico oplevert voor personen, moet je hen meestal informeren. Doe dit duidelijk, rustig en zonder onnodige technische taal.
Vertel bijvoorbeeld:
- wat er is gebeurd;
- welke gegevens mogelijk betrokken zijn;
- welke maatregelen je hebt genomen;
- wat de klant zelf kan doen;
- waar klanten vragen kunnen stellen;
- hoe je herhaling voorkomt.
Wees eerlijk, maar voorkom paniek. Zeg niet dat er niets aan de hand is als je dat nog niet zeker weet. Zeg ook niet meer dan je weet. Duidelijke communicatie helpt vertrouwen te behouden.
Veelvoorkomende oorzaken van datalekken
Veel datalekken ontstaan door praktische fouten. Denk aan verkeerd delen, zwakke wachtwoorden of onvoldoende controle op accounts.
Veelvoorkomende oorzaken zijn:
- phishing;
- zwakke wachtwoorden;
- geen 2FA;
- verkeerd gedeelde cloudmappen;
- oude gebruikersaccounts;
- verloren apparaten;
- malware;
- verkeerde e-mailontvangers;
- onbeveiligde back-ups;
- onduidelijke afspraken met medewerkers.
Leer daarom phishing herkennen als ondernemer en zorg dat je zakelijke e-mail goed beveiligt. Veel incidenten beginnen namelijk met e-mail.
Beveilig accounts na een datalek
Als een account betrokken is bij het incident, verander dan direct het wachtwoord. Gebruik een uniek en sterk wachtwoord. Lees meer over sterke wachtwoorden voor je bedrijf en gebruik bij voorkeur een wachtwoordmanager.
Zet ook 2FA voor zakelijke accounts aan. Controleer actieve sessies, gekoppelde apparaten en hersteladressen. Bij e-mailaccounts moet je ook controleren op onbekende doorstuurregels.
Gebruik je Microsoft? Bekijk Microsoft 365 beveiligen. Werk je met Google? Lees Google Workspace beveiligen.
Controleer cloudopslag en gedeelde bestanden
Veel datalekken ontstaan in cloudopslag. Een map staat openbaar, een link is te breed gedeeld of een oud account heeft nog toegang. Controleer daarom direct je deelinstellingen.
Lees meer over cloud beveiliging voor kleine bedrijven en veilig bestanden delen met klanten. Verwijder oude links en beperk toegang tot specifieke personen.
Gebruik waar mogelijk vervaldatums voor gedeelde links. Geef alleen bewerkingsrechten als dat echt nodig is.
Back-ups en herstel na een datalek
Bij sommige incidenten raak je ook gegevens kwijt. Denk aan ransomware, verwijderde bestanden of beschadigde data. Dan zijn goede back-ups belangrijk.
Zorg voor een betrouwbare back-up van bedrijfsgegevens en gebruik waar mogelijk de 3-2-1 back-up strategie. Een cloud back-up kan helpen, maar moet goed beveiligd zijn.
Let op: herstel niet zomaar bestanden op een besmet apparaat. Controleer eerst of malware of ransomware nog actief is.
Voorkom herhaling
Na het incident moet je onderzoeken hoe het kon gebeuren. Was er een zwak wachtwoord? Stond 2FA uit? Was een map verkeerd gedeeld? Was er geen controle op oude accounts?
Neem daarna concrete maatregelen:
- pas toegangsrechten aan;
- train medewerkers;
- zet 2FA verplicht aan;
- verbeter e-mailbeveiliging;
- controleer cloudlinks;
- maak betere back-ups;
- verbeter betaal- en dataprocedures;
- update je incidentplan.
Gebruik eventueel een cyberveiligheid checklist om te controleren of andere onderdelen ook kwetsbaar zijn.
Train medewerkers en freelancers
Menselijke fouten zijn een belangrijke oorzaak van datalekken. Daarom is medewerkers trainen in cyberveiligheid belangrijk, ook in kleine bedrijven.
Bespreek praktische situaties:
- wat doe je bij een verkeerd verzonden e-mail?
- hoe meld je een fout snel?
- hoe herken je phishing?
- welke bestanden zijn gevoelig?
- hoe deel je documenten veilig?
- wanneer moet je een incident melden?
Maak duidelijk dat fouten snel gemeld moeten worden. Een datalek verzwijgen maakt de situatie meestal erger.
Veelgestelde vragen over datalek melden
Wat is een datalek?
Een datalek is een incident waarbij persoonsgegevens verloren gaan, worden gestolen of toegankelijk zijn voor iemand die daar geen recht op heeft. Dit kan door een hack, maar ook door een menselijke fout.
Moet ik elk datalek melden?
Niet elk datalek hoeft extern gemeld te worden. Je moet wel elk incident beoordelen en intern vastleggen. Als er risico is voor betrokken personen, kan melding verplicht zijn.
Wat moet ik als eerste doen bij een datalek?
Beperk direct de schade. Trek toegang in, verander wachtwoorden, verwijder openbare links en verzamel informatie over wat er is gebeurd.
Moet ik klanten informeren?
Als het datalek waarschijnlijk een hoog risico oplevert voor klanten of andere betrokkenen, moet je hen meestal informeren. Doe dit duidelijk en praktisch.
Is een verkeerd verzonden e-mail een datalek?
Dat kan. Als de e-mail persoonsgegevens bevat en naar de verkeerde ontvanger is gestuurd, is er mogelijk sprake van een datalek.
Wat moet ik vastleggen?
Leg vast wat er is gebeurd, welke gegevens betrokken zijn, hoeveel personen geraakt zijn, welke maatregelen je hebt genomen en waarom je wel of niet hebt gemeld.
Conclusie
Een datalek melden als ondernemer begint met rustig en zorgvuldig handelen. Beperk eerst de schade, verzamel informatie en beoordeel het risico voor betrokken personen. Leg altijd vast wat er is gebeurd en welke beslissing je hebt genomen.
Voorkomen blijft natuurlijk beter. Beveilig je e-mail, cloudopslag, accounts, apparaten en back-ups. Gebruik sterke wachtwoorden, 2FA en duidelijke afspraken met medewerkers en freelancers.
Met een goed incidentplan weet je wat je moet doen als het misgaat. Zo verklein je schade, voldoe je beter aan je verantwoordelijkheden en behoud je het vertrouwen van klanten.
