Een medewerker klikt op een valse Microsoft-aanmelding, een laptop verdwijnt uit de auto of patiëntgegevens komen bij de verkeerde ontvanger terecht. Dan moet u een beveiligingsincident bedrijf melden niet zien als een administratieve handeling voor later, maar als het begin van gecontroleerd herstel. De eerste uren bepalen vaak hoeveel schade er ontstaat, of gegevens veilig blijven en of uw organisatie aan de AVG-verplichtingen voldoet.
Voor mkb-organisaties en mondzorgpraktijken is de druk extra voelbaar. De agenda moet doorgaan, telefonie moet werken en medewerkers moeten weten wat ze wel en niet mogen doen. Een duidelijk proces voorkomt dat iedereen tegelijk in de techniek duikt, terwijl cruciale informatie verloren gaat.
Wat is een beveiligingsincident?
Een beveiligingsincident is iedere gebeurtenis die de vertrouwelijkheid, beschikbaarheid of betrouwbaarheid van uw systemen en gegevens kan aantasten. Dat klinkt breed, en dat is het ook. Het kan gaan om ransomware, een ongeautoriseerde inlogpoging, een verkeerd ingestelde cloudmap, verlies van een telefoon of een storing die essentiële systemen onbereikbaar maakt.
Niet ieder beveiligingsincident is automatisch een datalek. Van een datalek is sprake wanneer persoonsgegevens verloren gaan, onbedoeld wijzigen of toegankelijk worden voor iemand die daar geen recht op heeft. Een ransomware-aanval op een server met patiënt- of personeelsgegevens kan dus zowel een beveiligingsincident als een datalek zijn. Een kortdurende storing in een printer zonder gegevensrisico is wel een incident, maar meestal geen datalek.
Dat onderscheid is relevant voor een eventuele melding bij de Autoriteit Persoonsgegevens. Wacht echter niet met handelen tot u precies weet in welke categorie het incident valt. Eerst schade beperken, daarna zorgvuldig beoordelen.
Beveiligingsincident bedrijf melden: handel volgens deze 7 stappen
1. Beperk de schade direct
Ziet u iets verdachts? Koppel het betreffende apparaat los van wifi en netwerk, maar zet het niet zomaar uit. Bij een mogelijk besmette computer kan abrupt uitschakelen sporen wissen die nodig zijn voor onderzoek. Laat medewerkers ook geen verdachte e-mails verwijderen, wachtwoorden opnieuw gebruiken of zelf bestanden terugzetten.
Is een account mogelijk overgenomen, blokkeer dan de toegang of laat dit direct doen door uw IT-beheerder. Bij een verloren telefoon of laptop is het zaak het apparaat op afstand te vergrendelen of te wissen als dat mogelijk is. Snel isoleren kan voorkomen dat een aanvaller verder door uw netwerk beweegt.
2. Meld intern bij één duidelijk aanspreekpunt
Een incident blijft vaak onnodig lang liggen omdat medewerkers niet weten wie zij moeten bellen. Leg daarom vooraf vast wie meldingen ontvangt: bijvoorbeeld de IT-verantwoordelijke, praktijkmanager, directie of vaste ICT-partner. Maak dit nummer en e-mailadres bekend, ook voor medewerkers die buiten kantooruren werken.
Vraag de melder om feiten, geen aannames. Wat is er gebeurd, wanneer is het opgemerkt, welke persoon of welk apparaat is betrokken en welke gegevens of systemen kunnen geraakt zijn? Een screenshot, foutmelding of originele phishingmail is vaak waardevoller dan een uitgebreide interpretatie.
Zorg ook voor een laagdrempelige meldcultuur. Een medewerker die per ongeluk op een link klikte, moet dat direct durven zeggen. Schuld zoeken kost tijd en vergroot de kans dat een klein incident uitgroeit tot uitval of gegevensverlies.
3. Leg het incident meteen vast
Open een incidentdossier zodra de melding binnenkomt. Noteer tijdstippen, betrokken systemen, genomen maatregelen, contactpersonen en beslissingen. Bewaar relevante logbestanden, e-mails en screenshots op een veilige plek.
Deze registratie is niet alleen nuttig voor technisch onderzoek. Onder de AVG moet u datalekken documenteren, ook wanneer u besluit dat melding aan de Autoriteit Persoonsgegevens niet nodig is. Daarmee kunt u achteraf onderbouwen wat er is gebeurd, hoe u het risico hebt beoordeeld en welke maatregelen zijn genomen.
Voor een praktijk met medische of mondzorggegevens verdient dit extra aandacht. Gezondheidsgegevens zijn bijzondere persoonsgegevens. Een fout geadresseerde verwijsbrief, onbeveiligd gedeeld röntgenbestand of gestolen werktelefoon kan daarom al snel een serieus risico opleveren.
4. Onderzoek wat daadwerkelijk is geraakt
Nu volgt de analyse. Was er echt ongeautoriseerde toegang? Welke accounts, apparaten, applicaties en gegevens zijn betrokken? Is de aanvaller nog actief? En zijn back-ups, telefonie of de praktijksoftware beïnvloed?
Een goede analyse kijkt niet alleen naar het zichtbare probleem. Een phishingmail kan bijvoorbeeld leiden tot een gestolen wachtwoord, waarna iemand inlogt op e-mail, bestanden downloadt en facturen onderschept. Controleer daarom inloggeschiedenis, afwijkende regels in mailboxen, doorgestuurde e-mail, beheerdersaccounts en recente wijzigingen in cloudomgevingen.
Hier is snelheid nodig, maar geen haastwerk. Te vroeg concluderen dat er geen gegevens zijn bekeken kan later tot problemen leiden. Een ervaren ICT-partner kan systemen veilig onderzoeken, bewijs behouden en tegelijk zorgen dat uw organisatie weer kan werken.
5. Beoordeel of sprake is van een datalek
Bij deze beoordeling draait het om persoonsgegevens en het risico voor de betrokken mensen. Denk aan namen, contactgegevens, BSN-nummers, financiële gegevens, personeelsinformatie of patiëntdossiers. Kijk ook naar de aard, hoeveelheid en gevoeligheid van de gegevens, de duur van de blootstelling en de vraag of onbevoegden de gegevens daadwerkelijk konden gebruiken.
Een versleutelde laptop die goed beveiligd is en waarvan de sleutel niet is gestolen, leidt mogelijk niet tot een meldplichtig datalek. Een onbeveiligde laptop met patiëntgegevens vraagt om een veel zwaardere beoordeling. Het antwoord hangt dus af van de feiten, niet alleen van het type apparaat of de oorzaak.
Betrek bij twijfel de verantwoordelijke voor privacy binnen uw organisatie en zo nodig juridisch advies. Uw ICT-partner levert de technische feiten: welke gegevens waren beschikbaar, welke beveiliging stond aan en welke toegang is vastgesteld. De organisatie blijft als verwerkingsverantwoordelijke zelf verantwoordelijk voor de AVG-beoordeling.
6. Meld op tijd aan de juiste partijen
Is er waarschijnlijk een risico voor de rechten en vrijheden van betrokkenen? Dan moet het datalek in principe binnen 72 uur nadat u ervan kennisnam worden gemeld bij de Autoriteit Persoonsgegevens. Die termijn is kort. U hoeft niet ieder detail al te kennen, maar u moet wel tijdig melden wat op dat moment bekend is en informatie later aanvullen.
Bestaat er een hoog risico voor de betrokkenen, dan moeten zij meestal ook rechtstreeks worden geïnformeerd. Dat bericht moet helder zijn: wat is er gebeurd, welke mogelijke gevolgen zijn er en wat kunnen mensen zelf doen. Bij een incident met patiëntgegevens vraagt communicatie om extra zorgvuldigheid en respect voor privacy.
Controleer daarnaast uw contracten en verzekeringsvoorwaarden. Een cyberverzekeraar, softwareleverancier of ketenpartner kan een eigen meldtermijn hanteren. Organisaties in specifieke sectoren kunnen aanvullende verplichtingen hebben. Leg daarom vooraf vast wie deze meldingen beoordeelt en verstuurt.
7. Herstel veilig en voorkom herhaling
Herstel is meer dan systemen weer online brengen. Verwijder de oorzaak, herstel vanaf gecontroleerde back-ups, wijzig wachtwoorden waar nodig en controleer of aanvallers geen toegang hebben behouden. Zet systemen pas volledig terug in gebruik wanneer duidelijk is dat dit verantwoord kan.
Bespreek vervolgens zonder omwegen wat beter moet. Was meervoudige inlogbeveiliging niet actief? Waren rechten te ruim ingesteld? Ontbrak monitoring, een update of een duidelijke werkinstructie? Kies concrete verbeteringen met een eigenaar en deadline. Een korte evaluatie levert alleen iets op als de acties ook worden uitgevoerd.
Leg rollen vast voordat er iets gebeurt
Tijdens een incident is niemand geholpen met onduidelijkheid over verantwoordelijkheden. De directie beslist over bedrijfscontinuïteit en communicatie. De privacyverantwoordelijke beoordeelt de AVG-kant. De ICT-partner onderzoekt, isoleert en herstelt. Medewerkers melden afwijkingen direct en volgen instructies op.
Maak deze rolverdeling onderdeel van uw incidentplan. Oefen minstens eenmaal per jaar een realistisch scenario, bijvoorbeeld een phishingmail die toegang geeft tot een gedeelde map of een uitgevallen praktijkserver op maandagochtend. Dan blijkt vanzelf of contactgegevens kloppen, of back-ups bruikbaar zijn en wie namens de organisatie besluiten mag nemen.
Een plan hoeft geen dik handboek te zijn. Eén overzichtelijke procedure met telefoonnummers, beslisregels, verantwoordelijkheden en een incidentformulier is voor veel organisaties al een grote verbetering. Bewaar die procedure ook buiten uw eigen netwerk, zodat u erbij kunt wanneer systemen niet beschikbaar zijn.
Technologie helpt, maar duidelijke afspraken zijn net zo belangrijk
Goede beveiliging verkleint de kans op incidenten en beperkt de gevolgen. Denk aan actuele updates, veilige back-ups, meervoudige inlogbeveiliging, apparaatbeheer en monitoring van afwijkend gedrag. Toch voorkomt technologie niet dat iemand een e-mail verkeerd adresseert of te laat melding maakt van een verdwenen telefoon.
Daarom horen techniek, gedrag en regie bij elkaar. Medewerkers moeten weten wat verdacht gedrag is. De organisatie moet weten wie handelt. En uw ICT-beheer moet overzicht geven over apparaten, accounts en kritieke systemen. Vooral wanneer verschillende leveranciers verantwoordelijk zijn voor telefonie, cloud, werkplekken en praktijksoftware, is één regiepunt geen luxe maar een voorwaarde voor snel herstel.
Een vaste partner zoals TéGéTèl kan daarbij helpen door niet alleen op het moment van storing in te grijpen, maar ook het meldproces, beheer en preventieve maatregelen vooraf goed in te richten.
Wie een incident rustig en volgens een vaste werkwijze afhandelt, beschermt meer dan systemen alleen. U beschermt de continuïteit van uw organisatie, het vertrouwen van klanten en patiënten, en de rust van uw medewerkers op het moment dat die het hardst nodig is.