blog

Juridische en regelgevende gevolgen van datalekken voor mkb

Geschreven door Joël van Houten | Sep 9, 2025 10:00:00 PM

U denkt misschien: “Een serieuze cyberaanval, dat gebeurt alleen bij grote bedrijven.” De realiteit is helaas anders. In 2023 steeg het aantal gemelde datalekken in Nederland met maar liefst 21%, en een aanzienlijk deel daarvan trof het mkb. Volgens ABN AMRO werd zelfs één op de vier mkb-bedrijven in 2024 slachtoffer, met een gemiddelde schadepost van €270.000.

De gevolgen gaan veel verder dan een boete van de Autoriteit Persoonsgegevens (AP). Ze raken de kern van uw bedrijfsvoering: van operationele stilstand tot verloren klantvertrouwen en zelfs persoonlijke aansprakelijkheid. Dit artikel is geen juridisch handboek, maar een praktische gids voor ondernemers en managers. We leggen uit wat uw verplichtingen zijn, wat de werkelijke kosten zijn en, belangrijker nog, hoe u zich effectief kunt beschermen.

Avg: wat is een datalek en wie is verantwoordelijk?

Voordat we de diepte ingaan, is het belangrijk om de basis te begrijpen. De Algemene Verordening Gegevensbescherming (AVG) is ontworpen om persoonsgegevens te beschermen. Een datalek is elke inbreuk op de beveiliging die leidt tot de vernietiging, het verlies, de wijziging, of de ongeoorloofde verstrekking van of toegang tot persoonsgegevens.

Dit klinkt technisch, maar het gaat om alledaagse situaties:

  • Een gestolen laptop of smartphone van een medewerker.
  • Een e-mail met gevoelige klantinformatie die naar de verkeerde persoon wordt gestuurd.
  • Een hacker die toegang krijgt tot uw systemen via een phishing-aanval.
  • Een verloren USB-stick met personeelsdossiers of zelfs een gestolen papieren klantenlijst.

Als ondernemer bent u de ‘verwerkingsverantwoordelijke’. Dit betekent dat u eindverantwoordelijk bent voor de bescherming van de persoonsgegevens die uw bedrijf verwerkt, zelfs als de uitvoering is uitbesteed aan een IT-partner of softwareleverancier.

De meldplicht: 72 uur om te handelen (of een extra boete te riskeren)

Zodra u een datalek ontdekt, begint de klok te tikken. U heeft 72 uur om het lek te melden bij de Autoriteit Persoonsgegevens. Deze deadline is hard en het niet naleven ervan kan op zichzelf al leiden tot een flinke boete.

U hoeft echter niet elk incident te melden. De meldplicht geldt wanneer het datalek een risico inhoudt voor de rechten en vrijheden van de betrokkenen. Als er daarnaast een hoog risico is – bijvoorbeeld als er gevoelige gegevens zoals wachtwoorden, financiële informatie of medische dossiers zijn gelekt – moet u ook de betrokken personen zelf informeren.

De verleiding om een lek stil te houden is begrijpelijk, maar de risico’s van niet melden zijn groter. Naast een hogere boete van de AP, kan het uw reputatie onherstelbare schade toebrengen wanneer het lek alsnog via andere kanalen naar buiten komt.

Financiële gevolgen: meer dan alleen de avg-boete

Veel ondernemers focussen op de boetes van de AVG, en die zijn inderdaad niet mals. Maar de werkelijke financiële impact van een datalek is vaak veel groter en complexer.

De boetes van de Autoriteit Persoonsgegevens

De AVG kent twee boeteklassen:

  • Tot €10 miljoen of 2% van de wereldwijde jaaromzet voor onder andere het niet op orde hebben van de administratie of het niet op tijd melden van een datalek.
  • Tot €20 miljoen of 4% van de wereldwijde jaaromzet voor ernstigere overtredingen, zoals het verwerken van gegevens zonder geldige grondslag of het schenden van de rechten van betrokkenen.

Denk niet dat de AP alleen grote multinationals aanpakt. Ook kleinere Nederlandse organisaties hebben al boetes ontvangen, variërend van €7.500 tot €15.000 voor specifieke overtredingen, zoals het onjuist verwerken van werknemersgegevens.

De onzichtbare kosten die veel harder aankomen

De boete is vaak slechts het topje van de ijsberg. De échte kosten zitten in de nasleep van een aanval:

  • Operationele downtime: Uw systemen liggen plat, bestellingen kunnen niet worden verwerkt, projecten staan stil. Voor een gemiddeld mkb-bedrijf kan twee dagen downtime al snel €12.000 aan gederfde omzet betekenen.
  • Herstelkosten: Denk aan de inhuur van dure forensische experts om de oorzaak te achterhalen, het opnieuw opbouwen van systemen en het herstellen van data.
  • Reputatieschade en klantverlies: Klanten verliezen het vertrouwen en stappen over naar een concurrent die zijn beveiliging wel op orde heeft. Dit is een lange-termijn schadepost.
  • Juridische claims: Gedupeerden kunnen schadevergoeding eisen voor zowel materiële als immateriële schade.
  • Stress en productiviteitsverlies: De impact op u en uw medewerkers is enorm en leidt tot een lagere productiviteit en moraal.

De gemiddelde totale kosten van €270.000 per incident laten zien dat preventie geen kostenpost is, maar een cruciale investering in de continuïteit van uw bedrijf.

Persoonlijke aansprakelijkheid van bestuurders: bent u persoonlijk in gevaar?

Een vaak onderbelicht risico is de persoonlijke aansprakelijkheid van bestuurders. Als u als bestuurder kunt worden verweten dat u onvoldoende maatregelen heeft genomen om een datalek te voorkomen, kunt u persoonlijk aansprakelijk worden gesteld voor de schade. Dit wordt ‘onbehoorlijk bestuur’ genoemd.

Wanneer loopt u dit risico? Denk aan situaties waarin u:

  • Herhaaldelijke waarschuwingen over beveiligingsrisico’s negeert.
  • Niet investeert in basismaatregelen zoals Multi-Factor Authenticatie (MFA), ondanks de bekende risico’s.
  • Nalaat een fatsoenlijk incident response plan op te stellen.

U kunt dit risico beperken door aan te tonen dat u uw zorgplicht serieus neemt. Documenteer uw beslissingen, laat u adviseren door experts en zorg voor een passend beveiligingsniveau. Een goede bestuurdersaansprakelijkheidsverzekering (D&O) is eveneens onmisbaar.

Directe actie: uw stappenplan bij een datalek

Wanneer het ondenkbare gebeurt, is paniek een slechte raadgever. Een gestructureerde aanpak is cruciaal om de schade te beperken en te voldoen aan uw wettelijke verplichtingen.

Volg deze stappen:

  1. Beperk de schade: Isoleer de getroffen systemen, blokkeer accounts en probeer verdere verspreiding van gegevens te voorkomen.
  2. Beoordeel de ernst: Ga na welke gegevens zijn gelekt, wie de betrokkenen zijn en wat de mogelijke risico’s zijn.
  3. Documenteer alles: Houd een logboek bij van het incident, uw bevindingen en alle genomen maatregelen. Dit is essentieel voor de melding aan de AP en voor uw eigen verantwoording.
  4. Meld intern: Informeer relevante stakeholders binnen uw organisatie.
  5. Meld extern: Bepaal of u het lek moet melden bij de Autoriteit Persoonsgegevens. Zo ja, doe dit binnen 72 uur na ontdekking.
  6. Informeer betrokkenen: Als er een hoog risico is voor de betrokkenen, moet u hen direct en in duidelijke taal informeren.
  7. Leer en verbeter: Analyseer wat er fout is gegaan en pas uw beveiligingsmaatregelen aan om herhaling te voorkomen.

Van reactie naar preventie: zo verkleint u het risico

Wachten tot het misgaat is de duurste strategie. Echte digitale weerbaarheid bouwt u op door proactief te investeren in een combinatie van organisatorische en technische maatregelen.

Organisatorische maatregelen

  • Awareness training: 9 op de 10 cyberaanvallen beginnen bij de mens. Train uw medewerkers in het herkennen van phishing en andere risico’s.
  • Incident response plan: Zorg dat er een duidelijk plan klaarligt voor het geval het toch misgaat.
  • Veilige offboarding: Zorg dat de toegang van vertrekkende medewerkers direct en volledig wordt ingetrokken.
  • Leveranciersmanagement: Maak duidelijke afspraken met uw IT-leveranciers. Veel aanvallen beginnen in de toeleveringsketen, dus de veiligheid van uw IT-beheerders (MSP’s) is ook uw zorg.

Essentiële technische maatregelen

  • Multi-Factor Authenticatie (MFA): De belangrijkste stap om te voorkomen dat aanvallers simpelweg inloggen met gestolen wachtwoorden.
  • Updates en patches: Zorg dat al uw software up-to-date is. Oude software is een open deur voor criminelen. Diensten zoals Attic Fixer kunnen dit proces voor uw Microsoft 365-omgeving automatiseren.
  • Logging en monitoring: Zorg dat u inzicht heeft in wat er gebeurt in uw netwerk. Zonder monitoring bent u blind. Een Attic SOC (Security Operations Center) dienst biedt 24/7 professioneel toezicht.
  • Phishingbescherming: De eerste verdedigingslinie is het stoppen van frauduleuze links voordat een medewerker erop klikt. Een tool als onze Gratis Inlogbescherming waarschuwt direct bij verdachte Microsoft 365 loginpagina’s.

Vooruitkijken: de nis2-richtlijn komt eraan

De focus op cybersecurity wordt alleen maar groter. De aanstaande Europese NIS2-richtlijn breidt de ‘zorgplicht’ voor digitale veiligheid uit naar veel meer mkb-bedrijven in belangrijke sectoren. Dit betekent strengere eisen en kortere deadlines voor het melden van incidenten. Proactief investeren in de beveiliging van uw Microsoft 365 is niet alleen verstandig, het wordt steeds meer een wettelijke vereiste.

Veelgestelde vragen over datalekken en de avg

Wat als het maar een klein datalek is?

Elk datalek moet intern worden gedocumenteerd in een datalekregister. De plicht om te melden bij de AP hangt af van het risico, niet van de omvang. Een klein lek met zeer gevoelige data kan meldplichtig zijn, terwijl een groter lek met laag-risico data dat niet is.

Is mijn IT-leverancier verantwoordelijk?

U bent als ondernemer eindverantwoordelijk (verwerkingsverantwoordelijke). Uw IT-leverancier is een ‘verwerker’. Hoewel u de IT-leverancier kunt aanspreken als zij nalatig zijn geweest, blijft u voor de wet het eerste aanspreekpunt en de primair verantwoordelijke partij.

Hoe vaak krijgen kleine bedrijven echt een boete?

Het gebeurt vaker dan u denkt. De AP publiceert niet alle boetes, maar er zijn diverse voorbeelden van mkb-bedrijven die boetes hebben ontvangen voor specifieke AVG-overtredingen. Het risico is reëel.

Wanneer hebben gedupeerden recht op schadevergoeding?

Als iemand materiële (financiële) of immateriële (emotionele) schade heeft geleden door een datalek en u als organisatie een verwijt kan worden gemaakt, kan die persoon een schadevergoeding claimen.

Van naleving naar digitale weerbaarheid

Het navigeren door de juridische gevolgen van een datalek is complex en stressvol. Maar de AVG en andere regels zijn er niet om u te pesten; ze dwingen u om een fundamenteel bedrijfsrisico serieus te nemen.

Zie cybersecurity niet als een verplichte kostenpost, maar als een strategische investering. Een goed beveiligd bedrijf is niet alleen beschermd tegen financiële en juridische klappen, het bouwt ook vertrouwen op bij klanten en partners. Het is een concurrentievoordeel dat in de huidige digitale economie onmisbaar is.

Bent u benieuwd hoe uw Microsoft 365-omgeving er op dit moment voor staat? Ontdek hoe Attic Security u kan helpen de risico’s in kaart te brengen en te verkleinen. Start vandaag nog met onze Gratis Inlogbescherming en zet de eerste, cruciale stap naar een betere beveiliging.