Je leest over datalekken bij grote organisaties en denkt: dat speelt niet bij mij. Mijn bedrijf is te klein om interessant te zijn voor hackers. Maar kleine bedrijven zijn juist aantrekkelijk omdat ze minder investeren in beveiliging en minder snel doorhebben dat er iets mis is.
Wat kost een datalek als het toch misgaat? Geen bangmakerij, maar concrete getallen.
Wat telt als een datalek?
Elk incident waarbij persoonsgegevens verloren gaan, worden gestolen of onbedoeld toegankelijk zijn voor onbevoegden valt onder de AVG-definitie van een datalek. Het hoeft niet spectaculair te zijn.
Voorbeelden: een medewerker stuurt een klantenlijst naar het verkeerde e-mailadres, een laptop met klantgegevens raakt kwijt, je website wordt gehackt en e-mailadressen lekken uit, of een aanvaller krijgt toegang tot je boekhoudsysteem. Zodra er namen, e-mailadressen, BSN-nummers of andere persoonsgegevens bij betrokken zijn, ben je verplicht te handelen.
Directe kosten: IT-herstel en forensisch onderzoek
Na een datalek moet je uitzoeken wat er precies is gebeurd. Welke systemen zijn geraakt? Welke data is buitgemaakt? Hoe lang hadden aanvallers toegang? Dat vereist forensisch IT-onderzoek door een specialist.
Een externe IT-beveiligingsexpert kost 150 tot 250 euro per uur. Een eenvoudig onderzoek bij een klein bedrijf duurt al snel twee tot drie werkdagen. Tel daar het herstelwerk bij op: systemen opschonen of opnieuw installeren, wachtwoorden resetten voor alle medewerkers, en beveiligingsgaten dichten. Reken voor een bedrijf met vijf tot tien werkplekken op 2.000 tot 7.000 euro puur voor technisch herstel, als er geen ransomware bij betrokken is.
Bij ransomware liggen de kosten aanzienlijk hoger. Aanvallers versleutelen je bestanden en eisen losgeld. Zelfs als je niet betaalt, kost de uitval je omzet en productiviteit. Vijf dagen stilstand is bij MKB geen uitzondering.
De AVG-meldplicht: 72 uur
Als je persoonsgegevens verwerkt, ben je verplicht een datalek te melden bij de Autoriteit Persoonsgegevens binnen 72 uur na ontdekking. De klok begint te lopen op het moment dat je het incident ontdekt, niet wanneer het heeft plaatsgevonden.
Afhankelijk van de ernst van het lek moet je ook de betrokken personen zelf informeren. Denk aan klanten van wie gegevens zijn gestolen. Wie dat praktisch uitvoert, merkt dat het werk is: juridisch advies over de tekst van de melding, communicatie naar honderden of duizenden mensen, en het beantwoorden van vervolgvragen.
Reken op 500 tot 2.500 euro puur voor de juridische en communicatieve afhandeling van een melding, afhankelijk van de omvang en de betrokken jurist.
In 2023 ontving de Autoriteit Persoonsgegevens meer dan 21.000 datalekkmeldingen. Een deel van die meldingen leidde tot vervolgonderzoek.
Boetes van de Autoriteit Persoonsgegevens
De AP kan boetes opleggen van maximaal 20 miljoen euro of 4% van de wereldwijde jaaromzet, de hoogste van de twee. Voor een bedrijf met een jaaromzet van 500.000 euro is dat maximaal 20.000 euro.
In de praktijk zijn boetes voor kleine overtredingen lager, maar ze worden vaker uitgedeeld dan veel ondernemers verwachten. De AP handhaaft actief op het te laat melden van datalekken, op ontbrekende beveiligingsmaatregelen, en op het onvoldoende informeren van betrokkenen. Ook een officieel waarschuwingsschrijven zonder boete heeft gevolgen: je krijgt een dossier, je staat op de radar, en je maakt kosten voor juridische bijstand.
Enkele gesprekken met een privacyadvocaat in zo'n traject kosten al 1.500 tot 4.000 euro.
Reputatieschade en klantverloop
Dit is de post die het meest onderschat wordt. Klanten die horen dat hun gegevens zijn gelekt, verliezen vertrouwen. Niet iedereen stapt op, maar een significant deel neemt afscheid.
Bij Web Design by Kick zien we in klantprojecten hoe centraal vertrouwen staat in de relatie tussen een bedrijf en zijn klanten online. Een e-mail vol excuses herstelt dat vertrouwen niet automatisch.
Stel je hebt 300 actieve klanten en 10% stapt op na een incident. Bij een gemiddelde klantwaarde van 600 euro per jaar verlies je structureel 18.000 euro omzet per jaar. Daarboven komen negatieve reviews, minder doorverwijzingen en mogelijk claims van gedupeerde klanten.
Wat dekt een cyberverzekering?
Steeds meer MKB-bedrijven sluiten een cyberverzekering af. Een goede polis vergoedt doorgaans: forensisch onderzoek, IT-herstelkosten, juridische bijstand bij de meldplicht, crisiscommunicatie en omzetderving bij aantoonbare stilstand.
Wat de meeste polissen niet vergoeden: boetes van toezichthouders zoals de AP, en schade die voortvloeit uit aantoonbare nalatigheid. Als je bekende beveiligingsupdates maanden had uitgesteld, ben je moeilijker verzekerd.
Een cyberverzekering voor een MKB-bedrijf kost 500 tot 1.500 euro per jaar, afhankelijk van omvang en risicoprofiel. Dat is geen garantie, maar een vangnet dat de financiele klap aanzienlijk dempt.
De totale rekening
Als je alle posten optelt, lopen de kosten van een datalek bij een klein bedrijf al snel op. Een realistisch scenario voor een bedrijf met 100 klanten en een eenvoudig lek:
- IT-herstel en forensisch onderzoek: 3.000 tot 7.000 euro
- Juridisch advies en meldplichtafhandeling: 1.500 tot 3.000 euro
- Communicatie naar betrokkenen: 500 tot 1.000 euro
- Omzetverlies door stilstand en klantverloop: 5.000 tot 20.000 euro
- Mogelijke boete of schikking: 0 tot 15.000 euro
Totaal: 10.000 tot 46.000 euro voor een incident dat als "klein" wordt bestempeld.
Preventieve maatregelen kosten een fractie: een wachtwoordmanager voor het hele team is 5 euro per gebruiker per maand, een periodieke beveiligingsscan door een specialist kost 500 tot 1.500 euro, en tweestapsverificatie is gratis te activeren op alle werkaccounts.
Conclusie
Een datalek bij een klein bedrijf kost al snel tienduizenden euro's als je alle directe en indirecte posten optelt. Preventie is vrijwel altijd goedkoper dan opruimen. De vraag is niet of je het je kunt veroorloven om te investeren in basisbeveiliging, maar of je het je kunt veroorloven om dat niet te doen.