Tijdens een cyberaanval communiceer je via vooraf vastgestelde noodkanalen, met een beperkte maar duidelijk aangewezen groep mensen, op basis van een crisisplan dat je niet pas tijdens de aanval opstelt. Goede communicatie voorkomt dat een incident uitgroeit tot een organisatiebrede crisis. Hieronder beantwoorden we de meest praktische vragen over communicatie tijdens een cyberaanval, van de eerste telefoonronde tot de wettelijke meldplicht.
Wie moet je als eerste bellen bij een cyberaanval?
Bij een cyberaanval bel je als eerste je interne IT-verantwoordelijke of CISO, gevolgd door het managementteam en eventueel een externe incident response partner. Wie precies gebeld wordt en in welke volgorde, leg je vast in een crisisplan voordat er iets misgaat. Zonder zo’n plan verlies je kostbare minuten door onduidelijkheid.
In de praktijk bestaat de eerste belronde uit drie lagen:
- Technisch team: de IT-beheerder, CISO of externe beveiligingsleverancier die het incident technisch kan beoordelen en indammen
- Bestuur en management: directie of eindverantwoordelijke die beslissingen neemt over communicatie, systemen afsluiten en externe meldingen
- Juridisch en compliance: om te beoordelen of er een meldplicht geldt en welke aansprakelijkheidsrisico’s er spelen
Heb je een virtuele CISO of een externe partner op retainer staan, bel die dan direct. Zij kennen jouw omgeving en kunnen snel schakelen. Sla alle telefoonnummers op in een fysiek document of op een telefoon die los staat van je bedrijfsnetwerk, want bij een aanval kan je digitale adresboek onbereikbaar zijn.
Welke communicatiekanalen gebruik je als je netwerk is aangetast?
Als je bedrijfsnetwerk is aangetast, gebruik je uitsluitend communicatiekanalen die daar volledig los van staan. Denk aan persoonlijke mobiele telefoons, privé-e-mailadressen of een aparte communicatieapp op een niet-zakelijk apparaat. Zakelijke e-mail, Teams, Slack of andere tools die via het aangetaste netwerk lopen, zijn onbetrouwbaar en mogelijk al gecompromitteerd.
Praktische alternatieven voor incident response communicatie zijn:
- Persoonlijke mobiele nummers voor spraakoproepen
- Een beveiligde app zoals Signal op privételefoons
- Een vooraf ingestelde crisisgroep via WhatsApp of een vergelijkbare dienst buiten het bedrijfsnetwerk
- Fysieke samenkomst op een vaste crisislocatie als systemen volledig onbereikbaar zijn
Het is belangrijk dat je deze kanalen al voor een incident inricht. Maak een crisiscontactlijst met privénummers van alle sleutelpersonen en bewaar die zowel digitaal buiten het bedrijfsnetwerk als op papier. Wacht niet tot een aanval om te ontdekken dat niemand elkaars privénummer heeft.
Wat zeg je wel en niet tegen medewerkers tijdens een cyberaanval?
Communiceer tijdens een cyberaanval altijd eerlijk en tijdig naar medewerkers, maar beperk de inhoud tot wat zij op dat moment nodig hebben om hun werk te doen of te stoppen. Zeg wat er van hen verwacht wordt, welke systemen ze niet mogen gebruiken en bij wie ze terecht kunnen. Zeg niet wat je nog niet weet en speculeer niet over de oorzaak of de dader.
Wat je wel communiceert:
- Dat er een incident gaande is en dat het serieus wordt genomen
- Welke systemen, apparaten of handelingen ze moeten vermijden
- Wie het aanspreekpunt is voor vragen
- Wanneer ze een volgende update kunnen verwachten
Wat je niet communiceert:
- Technische details over de aanvalsmethode of kwetsbaarheden
- Onbevestigde informatie over gestolen data of de omvang van de schade
- Namen van verdachte systemen of accounts die aanvallers kunnen helpen
- Speculaties over wie verantwoordelijk is
Medewerkers zijn in een crisis ook een risicofactor voor informatielekkage. Maak duidelijk dat zij zelf geen uitspraken doen naar buiten, niet op social media posten en vragen van derden doorverwijzen naar de aangewezen woordvoerder.
Ben je verplicht een cyberaanval te melden bij de overheid?
Of je verplicht bent een cyberaanval te melden, hangt af van de sector waarin je actief bent en de ernst van het incident. Onder de aankomende Cyberbeveiligingswet (de Nederlandse omzetting van NIS2) geldt voor essentiële en belangrijke entiteiten een wettelijke meldplicht bij significante cyberincidenten. Inwerkingtreding wordt verwacht in het tweede kwartaal van 2026.
De meldprocedure bestaat uit drie stappen:
- Vroegtijdige waarschuwing: een eerste melding binnen 24 uur na ontdekking van het incident
- Vervolgmelding: aanvullende informatie binnen 72 uur na de eerste melding
- Eindverslag: een gedetailleerde beschrijving van het incident, de ernst en de gevolgen, uiterlijk één maand na de eerste melding
Meldingen verlopen via het NCSC-portaal, dat ze automatisch doorstuurt naar het relevante CSIRT en de toezichthouder. Voor de publieke sector zijn de verwachte meldpunten het NCSC (rijksoverheid), de Informatiebeveiligingsdienst (IBD) voor gemeenten en CERT-Watermanagement voor waterschappen.
Een incident is meldingswaardig als het de continuïteit van de dienstverlening aanzienlijk kan verstoren. Factoren die meespelen zijn het aantal getroffen personen, de duur van de verstoring en de mogelijke financiële schade. Naast de verplichte meldingen kunnen organisaties ook vrijwillig incidenten melden, ook als zij niet onder de wet vallen. Vrijwillige meldingen worden niet gedeeld met de toezichthouder.
Hoe communiceer je naar klanten en partners over een cyberincident?
Communiceer naar klanten en partners over een cyberincident zo snel als de feiten dat toelaten: eerlijk, concreet en zonder juridisch jargon. Klanten willen weten of hun gegevens zijn geraakt, wat je doet om de schade te beperken en wat zij zelf moeten doen. Vage of vertraagde communicatie schaadt het vertrouwen meer dan het incident zelf.
Een effectieve externe crisismelding bevat minimaal:
- Een bevestiging dat er een incident heeft plaatsgevonden
- Wat er concreet bekend is over de impact (welke systemen, welke data)
- Welke maatregelen je al hebt genomen
- Wat klanten of partners zelf kunnen of moeten doen
- Een contactpunt voor vragen en een tijdlijn voor updates
Stem externe communicatie altijd eerst af met juridische en compliance-adviseurs, zeker als er persoonsgegevens bij betrokken zijn. Onder de AVG geldt een aparte meldplicht bij de Autoriteit Persoonsgegevens binnen 72 uur als er sprake is van een datalek met risico voor betrokkenen. Communiceer nooit meer dan je op dat moment zeker weet en geef aan wanneer je de volgende update geeft. Dat voorkomt speculatie en toont regie.
Hoe voorkom je communicatiefouten die een cyberaanval verergeren?
De meest schadelijke communicatiefouten tijdens een cyberaanval zijn: te lang wachten met communiceren, te veel informatie delen in de verkeerde richting, en geen duidelijke woordvoerder aanwijzen. Al deze fouten zijn te voorkomen met één maatregel: een vooraf opgesteld en geoefend crisisplan voor incident response communicatie.
De meest voorkomende fouten op een rij:
- Geen centrale woordvoerder: meerdere mensen communiceren tegenstrijdige informatie naar buiten
- Te laat communiceren: medewerkers, klanten of partners horen het nieuws via sociale media voordat ze een interne melding hebben ontvangen
- Technische details delen: informatie over de aanvalsvector of kwetsbare systemen helpt aanvallers hun aanval te verfijnen
- Geen update-ritme: na de eerste melding blijft het stil, waardoor onrust ontstaat
- Communiceren via gecompromitteerde kanalen: berichten die via aangetaste systemen lopen zijn onbetrouwbaar en mogelijk zichtbaar voor de aanvaller
Een crisisplan voor communicatie tijdens een cyberaanval hoeft niet ingewikkeld te zijn, maar moet minimaal bevatten: wie communiceert, via welk kanaal, naar welke doelgroep en in welke volgorde. Oefen dit plan regelmatig, want in een echte crisis is er geen tijd om het te lezen.
Hoe Q-Cyber helpt bij crisisvoorbereiding en cyberaanval communicatie
Goede communicatie tijdens een cyberaanval begint lang voor het incident zelf. Wij helpen organisaties om niet alleen technisch weerbaar te zijn, maar ook organisatorisch en communicatief voorbereid. Concreet doen we dat door:
- Incident response plannen opstellen: inclusief communicatieprotocollen, contactlijsten en escalatieprocedures op maat van jouw organisatie
- NIS2-begeleiding: we zorgen dat je meldplicht, crisisplan en bestuurlijke verantwoordelijkheid aansluiten op de eisen van de Cyberbeveiligingswet
- Trainingen voor bestuurders en teams: zodat iedereen weet wat zijn rol is als het misgaat, inclusief communicatieve verantwoordelijkheden
- Virtuele CISO-diensten via Continuous-Q®: een vast team van specialisten dat continu meekijkt en direct inzetbaar is bij een incident
- Onafhankelijk advies: zonder binding aan softwarepartijen of leveranciers, zodat ons advies altijd in jouw belang is
Wacht niet tot een aanval om te ontdekken dat je crisisplan ontbreekt of dat niemand weet wie de woordvoerder is. Neem contact op en we helpen je vandaag nog met een pragmatisch plan dat werkt als het er echt op aankomt.
Gerelateerde artikelen
- Wat zijn de boetes voor AVG-overtredingen?
- Hoe richt je een NIS2-incidentresponsplan in?
- Wat is het verband tussen NIS2 en zero trust beveiliging?
- Wat is een VPN en wanneer gebruik je het?
- Hoe voorkom ik dat ik opnieuw word gehackt?
- Hoe plan je een pentest project?
- Hoe bereid je je voor op een pentest?
- Voldoen wij aan de NIS2-richtlijn op het gebied van beveiliging?
- Hoe controleer ik of klantgegevens in mijn applicatie goed beschermd zijn?
- Wat moet ik testen voordat ik een nieuwe applicatie live zet?