Datalek: welke stappen neem je direct?

Een datalek is vaak minder spectaculair dan je denkt. Een laptop zonder versleuteling in de trein, een Excel-lijst met klantgegevens naar de verkeerde ontvanger, of een gehackt mailaccount waaruit gegevens zijn doorgestuurd. In alle gevallen geldt: eerst de schade beperken, dan vastleggen wat er is gebeurd, en binnen 72 uur beslissen of je het moet melden.

Dit is het stappenplan.

Wat telt als datalek?

Volgens de AVG is er een datalek als persoonsgegevens verloren gaan, of in handen komen van iemand die er geen toegang toe mag hebben. Dat hoeft geen hack te zijn. Ook een verkeerd geadresseerde mail met een loonstrook, een gestolen telefoon met bedrijfsmail of ransomware die bestanden onbereikbaar maakt, zijn datalekken.

Stap 1: beperk de schade, nu

Het eerste uur gaat over stoppen wat nog loopt.

• Gehackt account: wijzig het wachtwoord, meld alle sessies af en controleer of er doorstuurregels zijn aangemaakt. Aanvallers zetten vaak ongemerkt een regel die alle mail naar buiten doorstuurt.
• Verloren of gestolen apparaat: blokkeer het of wis het op afstand, als dat kan. Zonder centraal beheer gaat dit niet.
• Verkeerde ontvanger: vraag de ontvanger de mail te verwijderen en dat te bevestigen. Probeer de mail terug te halen, al werkt dat alleen binnen de eigen organisatie.
• Ransomware of malware: haal getroffen apparaten van het netwerk, maar zet ze niet uit. Dan gaat er bewijs verloren.

Schakel direct je IT-partner in. Zelf gaan zoeken in een gehackte omgeving maakt het onderzoek daarna vaak lastiger.

Stap 2: leg vast wat er is gebeurd

Schrijf op wat je weet, ook als het nog onvolledig is. Wanneer is het ontdekt, wat is er gebeurd, welke gegevens en hoeveel personen gaat het om, en wat heb je al gedaan. Je hebt die informatie nodig voor de melding, en je bent verplicht elk datalek intern te registreren, ook als je het niet hoeft te melden.

Stap 3: beslis binnen 72 uur over een melding

Je moet een datalek binnen 72 uur na ontdekking melden bij de Autoriteit Persoonsgegevens, tenzij het onwaarschijnlijk is dat het een risico vormt voor de betrokkenen. Een versleutelde laptop die kwijt is, hoef je meestal niet te melden. Een mailbox met klantgegevens waar een aanvaller in heeft gezeten, wel.

Weet je na 72 uur nog niet alles? Meld dan wat je weet en vul later aan. Te laat melden is erger dan onvolledig melden.

Is het risico voor de betrokkenen hoog, bijvoorbeeld bij financiële of medische gegevens, dan moet je ook de mensen zelf informeren. Vertel wat er is gebeurd, wat het voor hen betekent en wat ze zelf kunnen doen, zoals alert zijn op phishing uit jouw naam.

Valt je organisatie onder de Cyberbeveiligingswet, die sinds 15 augustus 2026 geldt, dan heb je bij een ernstig incident daarnaast een eigen meldplicht. Een eerste waarschuwing moet dan binnen 24 uur. Lees meer in NIS2 en de Cyberbeveiligingswet.

Stap 4: zoek uit hoe het kon gebeuren

Pas als de schade beperkt is, ga je naar de oorzaak. Hoe kwam de aanvaller binnen? Was het een wachtwoord zonder MFA, een niet-bijgewerkte server, of een medewerker die op een nepmail klikte? Daarbij helpen de logbestanden van Microsoft 365 en van de beveiliging op je apparaten. Die worden niet eindeloos bewaard, dus wacht hier niet mee.

Stap 5: neem maatregelen zodat het niet opnieuw gebeurt

De oorzaak bepaalt de maatregel. Vaak gaat het om dezelfde punten:

• MFA op alle accounts, zonder vergeten uitzonderingen.
• Versleuteling en centraal beheer van laptops en telefoons.
• Beveiliging op apparaten die verdacht gedrag herkent en meldt, niet alleen bekende virussen.
• Training van medewerkers in het herkennen van phishing.
• Een vaste procedure, zodat iedereen weet wie wat doet bij het volgende incident.

Wat je nu al kunt regelen

Het verschil tussen een lastige week en een maand chaos zit in de voorbereiding. Wie weet wie er gebeld moet worden, wie beslist over een melding en waar de logbestanden staan, handelt in het eerste uur rustig. Leg dat vast in een draaiboek van één A4. Bel je cyberverzekeraar, als je die hebt, ook direct: veel verzekeraars hebben een eigen hulplijn en eisen dat je ze snel inschakelt.