Wat is een penetratietest en wanneer heb je die nodig?

Geplaatst op: 10 juni 2026

Een penetratietest, ook wel pentest genoemd, is een gesimuleerde cyberaanval op een systeem, netwerk of applicatie waarbij beveiligingsexperts proberen in te breken zoals een echte aanvaller dat zou doen. Het doel is om kwetsbaarheden te ontdekken voordat kwaadwillenden dat doen. Een pentest geeft je een realistisch beeld van hoe weerbaar je organisatie werkelijk is, niet alleen op papier maar ook in de praktijk.

In dit artikel beantwoorden we de meest gestelde vragen over penetratietesten: van hoe ze werken en wat ze kosten tot wanneer ze verplicht zijn en wat je met de resultaten doet.

Hoe werkt een penetratietest in de praktijk?

Een penetratietest verloopt in een aantal vaste fasen: verkenning, aanval, exploitatie en rapportage. De tester brengt eerst het doelwit in kaart, zoekt vervolgens naar zwakke plekken, probeert die actief te misbruiken en legt alle bevindingen vast in een gedetailleerd rapport. Het hele proces is gecontroleerd en vooraf afgestemd met de opdrachtgever.

In de verkenningsfase verzamelt de tester informatie over het systeem: welke poorten staan open, welke software draait er, zijn er bekende kwetsbaarheden in de gebruikte versies? Dit kan op passieve wijze (openbare bronnen) of actief (directe interactie met het systeem).

Daarna volgt de aanvalsfase. De tester probeert via gevonden zwakke plekken toegang te krijgen tot systemen, data of netwerksegmenten. Dit kan technisch zijn, zoals het misbruiken van een softwarekwetsbaarheid, maar ook via social engineering, zoals een phishingtest. Juist de combinatie van technische en menselijke aanvalsvectoren maakt een pentest zo waardevol.

Na de exploitatiefase wordt alles gedocumenteerd. De tester beschrijft niet alleen wat er mogelijk was, maar ook hoe groot de impact zou zijn geweest bij een echte aanval. Dit vormt de basis voor het eindrapport dat de opdrachtgever ontvangt.

Wat is het verschil tussen een penetratietest en een vulnerability scan?

Een vulnerability scan is een geautomatiseerde controle die bekende kwetsbaarheden in kaart brengt, maar niet actief probeert die te misbruiken. Een penetratietest gaat een stap verder: een menselijke expert probeert de gevonden kwetsbaarheden ook daadwerkelijk te exploiteren om te bepalen welke risico’s echt uitnutbaar zijn. Een scan vertelt je wat er mogelijk mis is; een pentest laat zien wat een aanvaller er in de praktijk mee kan.

Dit onderscheid is belangrijk voor de keuze tussen beide methoden. Een vulnerability scan is sneller, goedkoper en goed geschikt als periodieke basiscontrole. Je krijgt een breed overzicht van technische zwaktes in je omgeving. Nadeel is dat geautomatiseerde tools context missen: ze kunnen niet beoordelen of een kwetsbaarheid in jouw specifieke omgeving ook echt gevaarlijk is.

Een penetratietest vereist menselijke expertise en duurt langer, maar levert een veel rijker beeld op. De tester denkt als een aanvaller, combineert meerdere kwetsbaarheden en ontdekt aanvalspaden die een scanner nooit zou vinden. Voor organisaties die serieuze risico’s willen begrijpen en aantoonbaar willen maken dat hun beveiliging stand houdt, is een pentest de betere keuze.

In de praktijk vullen beide methoden elkaar aan. Veel organisaties voeren regelmatig vulnerability scans uit als continu vangnet en plannen een of meerdere keren per jaar een volledige penetratietest voor diepgaande validatie.

Wanneer is een penetratietest verplicht of sterk aanbevolen?

Een penetratietest is verplicht of sterk aanbevolen in een aantal situaties: wanneer wetgeving zoals NIS2 of ISO 27001 dit vereist, na grote technische wijzigingen, bij de lancering van een nieuwe applicatie of na een beveiligingsincident. Organisaties die onder de Cyberbeveiligingswet vallen, zijn verplicht aantoonbare technische maatregelen te treffen, waarbij een pentest een van de meest concrete bewijsmiddelen is.

De NIS2-richtlijn, die in Nederland via de Cyberbeveiligingswet wordt ingevoerd, verplicht essentiële en belangrijke entiteiten tot uitgebreid cyberrisicobeheer. Hoewel de wet geen expliciete verplichting tot een jaarlijkse pentest bevat, is een periodieke penetratietest een logische en breed geaccepteerde invulling van de zorgplicht. Organisaties die hier niet aan voldoen, lopen het risico op boetes tot 10 miljoen euro of 2% van hun wereldwijde jaaromzet.

Buiten wettelijke verplichtingen zijn er situaties waarbij een pentest sterk aanbevolen is:

• Voor de livegang van een nieuwe applicatie of webshop
• Na een fusie, overname of grote infrastructuurwijziging
• Wanneer je klanten of partners om een beveiligingsaudit vragen
• Na een beveiligingsincident of datalek
• Bij het afsluiten van een cyberverzekering, die steeds vaker een recente pentest vereist
• Wanneer medewerkers toegang hebben tot gevoelige klant- of persoonsgegevens

Organisaties die werken met kritieke infrastructuur, medische data of financiële systemen doen er goed aan minimaal jaarlijks een penetratietest uit te voeren, ongeacht wettelijke verplichtingen.

Wat kost een penetratietest gemiddeld?

De kosten van een penetratietest variëren sterk en liggen doorgaans tussen de 2.000 en 20.000 euro, afhankelijk van de omvang, het type test en de complexiteit van de omgeving. Kleinere webapplicaties of gerichte tests zijn goedkoper; uitgebreide infrastructuurtests of red team-oefeningen kosten aanzienlijk meer. Een vaste prijs noemen is lastig zonder inzicht in de scope.

De belangrijkste factoren die de prijs bepalen zijn:

• Scope en omvang: Hoeveel systemen, applicaties of netwerksegmenten worden getest?
• Type pentest: Een webapplicatietest is doorgaans goedkoper dan een volledige infrastructuurtest of een red team-engagement
• Black box, grey box of white box: Bij een black box test heeft de tester geen voorkennis; bij white box krijgt de tester volledige documentatie. Hoe meer kennis vooraf, hoe efficiënter de test
• Diepgang van de rapportage: Uitgebreide rapporten met hersteladvies kosten meer tijd en dus meer geld
• Hertest: Wordt na het oplossen van kwetsbaarheden een nieuwe test uitgevoerd om te controleren of het herstel correct is?

Goedkoop is niet altijd voordelig. Een penetratietest die alleen een geautomatiseerde scan nabootst, voegt weinig waarde toe. De meerwaarde zit in de menselijke expertise die aanvalspaden combineert en contextgevoelig beoordeelt. Vraag altijd naar de methodiek en de achtergrond van de testers voordat je een keuze maakt op basis van prijs.

Wie mag een penetratietest uitvoeren?

Een penetratietest mag wettelijk worden uitgevoerd door elke partij die daartoe door de eigenaar van het systeem is gemachtigd. Er bestaat in Nederland geen formele certificeringsverplichting voor pentesters, maar in de praktijk zijn erkende certificeringen zoals OSCP, CEH of CREST een sterke indicator van vakbekwaamheid. Kies altijd een partij met aantoonbare ervaring en een duidelijk contract over de scope.

Het ontbreken van een wettelijke certificeringsverplichting betekent niet dat iedereen geschikt is. Een goede pentester beschikt over diepgaande technische kennis van netwerken, applicaties en aanvalstechnieken, maar ook over het vermogen om bevindingen begrijpelijk te rapporteren voor niet-technische stakeholders. De combinatie van technische vaardigheid en communicatieve helderheid is wat een goede tester onderscheidt.

Let bij de keuze van een uitvoerende partij op:

• Relevante certificeringen van de individuele testers (niet alleen het bedrijf)
• Ervaring in jouw sector of met vergelijkbare systemen
• Een heldere en schriftelijke opdrachtovereenkomst met vastgelegde scope
• Vertrouwelijkheidsafspraken over gevonden kwetsbaarheden
• De mogelijkheid tot een hertest na het doorvoeren van verbeteringen

Sommige organisaties kiezen voor een intern red team voor continue security testing. Voor de meeste organisaties is een externe partij beter: die kijkt met frisse ogen en heeft geen blinde vlekken door gewenning aan de eigen omgeving.

Wat gebeurt er na een penetratietest met de resultaten?

Na een penetratietest ontvang je een gedetailleerd rapport met alle gevonden kwetsbaarheden, de ernst ervan (vaak uitgedrukt in een CVSS-score of een eigen risicoclassificatie) en concrete aanbevelingen voor herstel. De volgende stap is het prioriteren en oplossen van die kwetsbaarheden, gevolgd door een hertest om te bevestigen dat het herstel effectief is.

Een goed pentest-rapport bevat doorgaans twee lagen: een managementsamenvatting voor bestuurders en een technisch gedeelte voor de IT-afdeling. De samenvatting beschrijft het algehele risiconiveau en de meest kritieke bevindingen. Het technische gedeelte gaat dieper in op elke kwetsbaarheid, inclusief hoe die is gevonden, wat de impact is en hoe je die oplost.

Na ontvangst van het rapport doorloop je idealiter de volgende stappen:

1. Prioriteer bevindingen: Pak kritieke en hoge risico’s als eerste aan, ongeacht de complexiteit van het herstel
2. Wijs eigenaarschap toe: Bepaal wie verantwoordelijk is voor het oplossen van elke bevinding
3. Plan herstelmaatregelen: Stel een realistische tijdlijn op en zorg voor voldoende capaciteit
4. Voer een hertest uit: Laat de tester controleren of de kwetsbaarheden daadwerkelijk zijn verholpen
5. Documenteer de actie: Leg vast wat er is gevonden, wat er is gedaan en wanneer, zodat je dit kunt aantonen richting toezichthouders of klanten

De resultaten van een pentest zijn ook waardevol als input voor bredere verbeteringen: beleid, bewustwording, architectuurkeuzes en trainingen. Een pentest is geen eindpunt maar een startpunt voor structurele verbetering van je digitale weerbaarheid.

Hoe Q-Cyber helpt met penetratietesten

Wij voeren penetratietesten uit voor organisaties die serieus willen weten hoe weerbaar zij zijn tegen echte cyberaanvallen. Onze aanpak combineert technische diepgang met heldere rapportage, zodat zowel IT-teams als bestuurders direct weten wat er speelt en wat er moet gebeuren.

Wat wij bieden:

• Webapplicatie- en infrastructuurtests door gecertificeerde ethical hackers
• Phishingtests om de menselijke factor in kaart te brengen
• Red team-simulaties voor organisaties die een realistisch aanvalsscenario willen testen
• Heldere rapportage met een managementsamenvatting en technisch hersteladvies
• Hertest na het doorvoeren van verbeteringen
• Begeleiding bij NIS2-compliance, inclusief het vertalen van pentest-uitkomsten naar beleidsmaatregelen

We werken volledig onafhankelijk, zonder binding aan softwarepartijen of leveranciers. Dat betekent dat ons advies altijd in jouw belang is, niet in dat van een product dat we willen verkopen. Wil je weten hoe weerbaar jouw organisatie is? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Hoe stel je een incidentresponsplan op?

Geplaatst op: 9 juni 2026

Een incidentresponsplan opstellen doe je door vijf kernonderdelen vast te leggen: een duidelijke definitie van wat een incident is, de rollen en verantwoordelijkheden van betrokkenen, een stapsgewijze responsprocedure, communicatieprotocollen en een evaluatieproces na afloop. Zonder dit plan reageert een organisatie chaotisch op een cyberaanval, datalekken of ransomware. In dit artikel beantwoorden we de meest gestelde vragen over het opzetten van een effectief incidentresponsplan.

Wat moet er in een incidentresponsplan staan?

Een incidentresponsplan bevat minimaal zes onderdelen: een scope en doelstelling, een classificatiesysteem voor incidenten, rollen en verantwoordelijkheden, een stapsgewijze responsprocedure, communicatieprotocollen en een evaluatieproces. Samen vormen deze elementen de ruggengraat van gestructureerd incidentbeheer binnen een organisatie.

Begin met de scope: voor welke systemen, processen en locaties geldt het plan? Daarna leg je vast wat jouw organisatie verstaat onder een incident, zodat iedereen hetzelfde beeld heeft bij een beveiligingsgebeurtenis. Vervolgens beschrijf je de stappen die worden gezet vanaf het moment van ontdekking tot en met het herstel en de evaluatie.

De incident response procedure volgt doorgaans deze volgorde:

1. Voorbereiding: tools, trainingen en contactlijsten op orde hebben
2. Detectie en melding: het incident signaleren en intern rapporteren
3. Analyse: de aard, omvang en ernst bepalen
4. Indamming: verdere schade beperken
5. Herstel: systemen en processen terugbrengen naar normale werking
6. Evaluatie: lessen trekken en het plan verbeteren

Naast de technische procedure hoort ook een communicatieprotocol in het plan. Wie informeert intern de directie? Wie communiceert extern richting klanten, toezichthouders of de pers? Onder de NIS2-regelgeving geldt bovendien een meldplicht: een significant incident moet binnen 24 uur worden gemeld bij de bevoegde autoriteit, gevolgd door aanvullende informatie binnen 72 uur en een eindverslag binnen een maand. Dit meldproces hoort expliciet in het plan beschreven te staan.

Welke rollen en verantwoordelijkheden horen in een incidentresponsplan?

In een incidentresponsplan leg je minimaal vier rollen vast: een incident response manager (of CISO), een technisch team, een communicatieverantwoordelijke en een beslissingsbevoegde uit het bestuur. Elke rol heeft een duidelijk omschreven taak zodat er geen overlap of gat ontstaat op het moment dat het misgaat.

De incident response manager coördineert de respons en bewaakt de voortgang. Het technisch team analyseert het incident, damt het in en herstelt systemen. De communicatieverantwoordelijke beheert alle interne en externe berichten. De bestuurder neemt beslissingen over escalatie, externe melding en eventuele bedrijfsonderbreking.

Een veelgemaakte fout is dat organisaties geen vervangers benoemen. Stel dat de CISO ziek is op het moment van een aanval: wie neemt dan de leiding? Leg per rol een primaire en een secundaire verantwoordelijke vast, inclusief contactgegevens. Bewaar deze contactlijst ook offline, want bij een ransomware-aanval zijn digitale systemen mogelijk niet bereikbaar.

Voor organisaties zonder fulltime beveiligingspersoneel biedt een virtuele CISO-dienst uitkomst. Hierbij fungeert een extern team als de interne beveiligingsverantwoordelijke, inclusief beschikbaarheid bij incidenten.

Hoe classificeer je een cybersecurity-incident?

Een cybersecurity-incident classificeer je op basis van drie factoren: de impact op de bedrijfsvoering, de gevoeligheid van de betrokken data en de omvang van de verstoring. Doorgaans worden incidenten ingedeeld in drie of vier niveaus, van laag naar kritiek, waarbij elk niveau een bijbehorende responstijd en escalatieprocedure heeft.

Een praktisch classificatiemodel werkt als volgt:

• Niveau 1 (laag): beperkte impact, geen gevoelige data betrokken, systemen functioneren nog. Voorbeeld: een phishingmail die niet is geopend.
• Niveau 2 (gemiddeld): beperkte verstoring, mogelijk gevoelige data geraakt. Voorbeeld: een medewerker heeft op een phishinglink geklikt maar er is nog geen data gelekt.
• Niveau 3 (hoog): aanzienlijke verstoring van dienstverlening of bewijs van data-exfiltratie. Voorbeeld: een systeem is versleuteld door ransomware.
• Niveau 4 (kritiek): volledige uitval van kritieke systemen, grote hoeveelheden persoonsgegevens gelekt of reputatieschade op grote schaal.

Onder de NIS2-meldplicht is een incident significant als het de continuïteit van de dienstverlening aanzienlijk kan verstoren. Factoren die daarbij meewegen zijn het aantal getroffen personen, de duur van de verstoring en de mogelijke financiële schade. Door je interne classificatie af te stemmen op deze criteria weet je direct wanneer een extern meldingsproces in werking treedt.

Wat is het verschil tussen een incidentresponsplan en een bedrijfscontinuïteitsplan?

Een incidentresponsplan richt zich op de directe reactie op een beveiligingsincident: detecteren, indammen, analyseren en herstellen. Een bedrijfscontinuïteitsplan (BCP) richt zich op het waarborgen van kritieke bedrijfsprocessen tijdens en na een verstoring, ongeacht de oorzaak. De twee plannen vullen elkaar aan maar hebben een andere focus en tijdshorizon.

Het incidentresponsplan is operationeel en technisch van aard. Het beschrijft wat het beveiligingsteam doet in de eerste uren en dagen na een aanval. Het bedrijfscontinuïteitsplan is strategischer: het beschrijft hoe de organisatie essentiële diensten draaiende houdt als systemen uitvallen, ook als dat weken duurt.

In de praktijk verwijzen de twee plannen naar elkaar. Zodra een incident zo ernstig is dat het de bedrijfsvoering langdurig verstoort, schakelt de incident response over naar de continuïteitsprotocollen. Stel beide plannen daarom samen op en zorg dat de betrokken teams van elkaars bestaan weten. Een organisatie die alleen een incidentresponsplan heeft maar geen continuïteitsplan, weet wel hoe ze reageert op een aanval, maar niet hoe ze daarna de boel weer op de rit krijgt.

Hoe vaak moet je een incidentresponsplan testen en bijwerken?

Een incidentresponsplan test je minimaal één keer per jaar en update je na elk significant incident, elke grote organisatiewijziging of relevante wijziging in het dreigingslandschap. Een plan dat nooit wordt getest, geeft een vals gevoel van veiligheid: pas tijdens een oefening blijkt of procedures werkbaar zijn en of medewerkers weten wat ze moeten doen.

Er zijn verschillende manieren om een plan te testen:

• Tabletop-oefening: een scenariobespreking waarbij betrokkenen stap voor stap doorlopen wat ze zouden doen bij een fictief incident. Laagdrempelig en geschikt als startpunt.
• Simulatieoefening: een realistische naspeling van een aanval waarbij teams daadwerkelijk handelen alsof het een echt incident is.
• Red team-oefening: een ethisch hacker probeert actief in te breken, waarna de respons van het interne team wordt geëvalueerd.

Na elke test stel je een evaluatierapport op met verbeterpunten. Verwerk deze verbeterpunten direct in het plan. Hetzelfde geldt na een echt incident: de ervaringen uit de praktijk zijn waardevoller dan elke theoretische oefening. Wil je weten hoe je organisatie reageert op een echte aanvalspoging, dan biedt een penetratietest inzicht in kwetsbaarheden voordat een aanvaller ze vindt.

Wat zijn veelgemaakte fouten bij het opstellen van een incidentresponsplan?

De meest voorkomende fouten bij het opstellen van een incidentresponsplan zijn: het plan nooit testen, rollen niet concreet genoeg vastleggen, communicatieprotocollen vergeten en het plan niet actueel houden. Veel organisaties beschikken wel over een document, maar dat document werkt niet omdat het te vaag, te verouderd of te onbekend is bij de mensen die het moeten uitvoeren.

Andere veelgemaakte fouten zijn:

• Geen offline back-up van het plan: bij een ransomware-aanval zijn interne systemen mogelijk niet bereikbaar. Bewaar het plan ook buiten het netwerk.
• Contactlijsten niet actueel: medewerkers vertrekken, leveranciers wisselen. Een verouderde contactlijst is nutteloos op het moment dat het misgaat.
• Geen aandacht voor externe meldverplichtingen: organisaties die onder de NIS2 vallen, zijn verplicht significante incidenten te melden. Als dit niet in het plan staat, wordt het in de chaos vergeten.
• Het plan is alleen van IT: een cyberincident raakt de hele organisatie. HR, juridische zaken, communicatie en het bestuur moeten allemaal weten wat hun rol is.
• Geen escalatiecriteria: zonder duidelijke drempelwaarden weet niemand wanneer een incident groot genoeg is om de directie te informeren of externe hulp in te schakelen.

Een goed incidentresponsplan is geen statisch document maar een levend instrument dat meegroeit met de organisatie en het dreigingslandschap. Wie het plan alleen opstelt om een vinkje te zetten, mist het punt volledig.

Hoe Q-Cyber helpt met een incidentresponsplan opstellen

Wij begrijpen dat het opstellen van een werkbaar incidentresponsplan meer vraagt dan het invullen van een sjabloon. Het vereist inzicht in de specifieke risico’s van jouw organisatie, kennis van wet- en regelgeving zoals NIS2 en de praktische ervaring om een plan te schrijven dat ook onder druk werkt.

Wat wij voor jouw organisatie kunnen doen:

• Een gap-analyse uitvoeren om te bepalen wat er ontbreekt in de huidige responsprocedures
• Een incidentresponsplan op maat schrijven, afgestemd op jouw sector, omvang en risicoprofiel
• De meldprocedures inrichten conform de NIS2-vereisten, inclusief tijdlijnen en rapportageformats
• Tabletop-oefeningen begeleiden om het plan te testen en medewerkers voor te bereiden
• Het plan periodiek reviewen en actualiseren via onze Continuous-Q virtuele CISO-dienst

We werken onafhankelijk, zonder binding aan softwarepartijen, en adviseren altijd vanuit het belang van jouw organisatie. Wil je weten waar jouw organisatie nu staat en hoe we je kunnen helpen? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Hoe meld je een datalek bij de Autoriteit Persoonsgegevens?

Geplaatst op: 9 juni 2026

Een datalek melden bij de Autoriteit Persoonsgegevens doe je via het online meldloket op de website van de AP, bij voorkeur binnen 72 uur nadat je het lek hebt ontdekt. Dit is een wettelijke verplichting onder de Algemene Verordening Gegevensbescherming (AVG) voor alle organisaties die persoonsgegevens verwerken. In dit artikel beantwoorden we de meest gestelde vragen over de meldplicht datalekken, van wanneer je verplicht bent te melden tot hoe je een datalek in de toekomst kunt voorkomen.

Wanneer ben je verplicht een datalek te melden bij de AP?

Je bent verplicht een datalek te melden bij de Autoriteit Persoonsgegevens wanneer het lek een risico oplevert voor de rechten en vrijheden van de betrokken personen. Dat is het geval bij vrijwel elk incident waarbij persoonsgegevens onbedoeld verloren gaan, worden gewijzigd, openbaar worden gemaakt of toegankelijk worden voor onbevoegden.

De AVG maakt onderscheid tussen twee drempels. Bij een gewoon risico moet je het lek melden aan de AP. Bij een hoog risico moet je bovendien de betrokkenen zelf informeren. Alleen als je met zekerheid kunt aantonen dat het lek géén risico oplevert voor betrokkenen, mag je afzien van melding. In de praktijk is die zekerheid zelden aanwezig, dus de vuistregel is: twijfel je, meld dan.

Voorbeelden van situaties die doorgaans meldplichtig zijn:

• Een laptop met onversleutelde klantgegevens wordt gestolen
• Een e-mail met persoonsgegevens wordt naar de verkeerde ontvanger gestuurd
• Een ransomware-aanval vergrendelt systemen met patiëntdossiers
• Een medewerker verwijdert per ongeluk een database zonder back-up
• Een externe partij krijgt onbedoeld toegang tot klantgegevens

Organisaties die vallen onder de NIS2-regelgeving hebben daarnaast te maken met een aanvullende meldplicht voor significante cyberincidenten, los van de AVG-meldplicht. Die twee verplichtingen kunnen tegelijk van toepassing zijn op hetzelfde incident.

Wat moet je melden bij de Autoriteit Persoonsgegevens?

Bij een datalekmelding bij de AP moet je een aantal concrete gegevens aanleveren: een beschrijving van het incident, de categorieën en het geschatte aantal betrokkenen, de verwachte gevolgen en de maatregelen die je hebt genomen of nog gaat nemen. Hoe gedetailleerder de melding, hoe beter de AP het incident kan beoordelen.

De AP vraagt in het meldformulier minimaal het volgende:

• De aard van het datalek: wat is er precies gebeurd?
• Welke categorieën persoonsgegevens zijn betrokken (bijvoorbeeld gezondheidsgegevens, financiële gegevens, inloggegevens)?
• Hoeveel personen zijn (mogelijk) getroffen?
• Wat zijn de waarschijnlijke gevolgen van het lek?
• Welke maatregelen zijn genomen om het lek te beperken en herhaling te voorkomen?
• Contactgegevens van de Functionaris Gegevensbescherming (FG) of een andere contactpersoon

Als je op het moment van melden nog niet alle informatie beschikbaar hebt, is dat geen reden om te wachten. Je kunt een eerste melding doen met de informatie die je op dat moment hebt, en de melding later aanvullen. De AP verwacht wel dat je actief werkt aan het verzamelen van de ontbrekende gegevens.

Hoe meld je een datalek stap voor stap?

Een datalek melden bij de AP verloopt via het online meldloket op autoriteitpersoonsgegevens.nl. Het proces bestaat uit een aantal vaste stappen die je zo snel mogelijk na ontdekking van het incident doorloopt, met de 72-uurstermijn als harde deadline.

Stap 1: Stel vast of er sprake is van een meldplichtig datalek

Niet elk beveiligingsincident is automatisch een meldplichtig datalek. Beoordeel eerst of er persoonsgegevens bij betrokken zijn en of het incident een risico oplevert voor betrokkenen. Raadpleeg hierbij je interne datalekprocedure of de Functionaris Gegevensbescherming als je die hebt aangesteld.

Stap 2: Documenteer het incident intern

Leg vast wat er is gebeurd, wanneer je het ontdekte, welke gegevens zijn betrokken en welke maatregelen je direct hebt getroffen. Deze documentatie is verplicht onder de AVG, ongeacht of je het lek extern meldt. De AP kan om deze interne registratie vragen bij een controle.

Stap 3: Doe de melding binnen 72 uur

Ga naar het meldloket van de AP en vul het formulier zo volledig mogelijk in. De 72-uurstermijn telt vanaf het moment dat je als organisatie redelijkerwijs op de hoogte kon zijn van het lek, niet pas vanaf het moment dat je er zeker van bent. Vermeld in de melding expliciet als je informatie nog niet compleet is en wanneer je verwacht dit aan te vullen.

Stap 4: Aanvullende informatie indienen

Als je na de eerste melding meer informatie beschikbaar krijgt, dien je een aanvulling in via het meldloket. Zorg dat de melding binnen een redelijke termijn volledig is. Voor organisaties die ook onder de Cyberbeveiligingswet vallen, geldt een vergelijkbare drietrapsstructuur: een vroegtijdige waarschuwing binnen 24 uur, een vervolgmelding binnen 72 uur en een eindverslag binnen een maand.

Moet je ook betrokkenen informeren bij een datalek?

Ja, maar alleen als het datalek een hoog risico oplevert voor de betrokkenen. In dat geval ben je verplicht hen zonder onredelijke vertraging te informeren over wat er is gebeurd en wat zij zelf kunnen doen om zich te beschermen. Dit is een aparte verplichting bovenop de melding aan de AP.

Een hoog risico is aanwezig wanneer het lek ernstige gevolgen kan hebben voor mensen, zoals identiteitsfraude, financiële schade, reputatieschade of discriminatie. Denk aan het lekken van wachtwoorden, bankgegevens, medische informatie of gegevens van kwetsbare groepen zoals kinderen.

In de communicatie aan betrokkenen moet je in begrijpelijke taal uitleggen:

• Wat er is gebeurd
• Welke gegevens zijn betrokken
• Welke gevolgen dat voor hen kan hebben
• Welke maatregelen jij als organisatie hebt genomen
• Wat zij zelf kunnen doen, zoals het wijzigen van wachtwoorden
• Bij wie ze terecht kunnen met vragen

Er zijn drie situaties waarin je betrokkenen niet hoeft te informeren, ook al is er sprake van een hoog risico: als de getroffen gegevens effectief versleuteld waren, als je achteraf maatregelen hebt genomen die het hoge risico alsnog wegnemen, of als het informeren van betrokkenen onevenredig veel inspanning zou vergen. In dat laatste geval moet je wel een publieke mededeling doen.

Wat zijn de gevolgen als je een datalek niet meldt?

Als je een meldplichtig datalek niet of te laat meldt bij de Autoriteit Persoonsgegevens, riskeer je een boete van maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet van je organisatie. Bovendien kan de AP aanvullende handhavingsmaatregelen opleggen en is reputatieschade bij betrokkenen en de markt een reëel bijkomend gevolg.

De AP beoordeelt bij handhaving niet alleen of je hebt gemeld, maar ook hoe snel je dat deed, hoe volledig de melding was en welke maatregelen je had genomen. Organisaties die aantoonbaar hebben geprobeerd het juiste te doen maar fouten hebben gemaakt, worden doorgaans minder hard aangepakt dan organisaties die bewust niet meldden.

Naast de directe boete zijn er indirecte gevolgen die minstens zo ingrijpend kunnen zijn:

• Verlies van vertrouwen bij klanten, patiënten of burgers
• Aansprakelijkheidsclaims van gedupeerde betrokkenen
• Negatieve publiciteit en mediaaandacht
• Verhoogd toezicht en herhaalde audits door de AP

Het niet melden van een datalek is zelden een bewuste keuze, maar vaker het gevolg van onduidelijke interne procedures, onvoldoende bewustzijn of een te trage detectie van het incident. Juist daarom is een goed ingericht incidentresponsproces zo waardevol.

Hoe voorkom je dat een datalek meldplichtig wordt?

Een datalek is niet altijd te voorkomen, maar je kunt de kans aanzienlijk verkleinen dat een incident meldplichtig wordt. De sleutel ligt in het nemen van preventieve technische en organisatorische maatregelen die de impact van een incident beperken voordat het escaleert.

De meest effectieve maatregelen om de melddrempel te verlagen:

• Versleuteling van persoonsgegevens: Als gestolen of gelekte data versleuteld zijn, levert dat doorgaans geen risico op voor betrokkenen en hoef je niet te melden
• Sterke toegangsbeveiliging: Multi-factorauthenticatie en strikte toegangsrechten beperken de schade bij een inbreuk
• Minimale gegevensverwerking: Verwerk alleen de persoonsgegevens die je echt nodig hebt, zodat een lek minder gegevens raakt
• Bewustwording bij medewerkers: Veel datalekken ontstaan door menselijke fouten, zoals het versturen van e-mail naar de verkeerde ontvanger of het klikken op phishinglinks
• Regelmatige penetratietests: Door kwetsbaarheden proactief te ontdekken, kun je ze dichten voordat een aanvaller ze uitbuit
• Duidelijke interne procedures: Een goed gedocumenteerde datalekprocedure zorgt dat medewerkers weten wat ze moeten doen bij een vermoedelijk incident

Preventie is geen eenmalig project maar een doorlopend proces. Organisaties die cybersecurity structureel inbedden in hun beleid en processen, zijn beter in staat om incidenten vroeg te signaleren, de impact te beperken en aantoonbaar verantwoord te handelen als er toch iets misgaat.

Hoe Q-Cyber helpt bij datalekken en AVG-compliance

Een datalek melden is stressvol, zeker als de procedures niet op orde zijn. Wij helpen organisaties om zowel de preventieve kant als de reactieve kant van datalekbeheer goed in te richten, zodat je nooit voor verrassingen staat.

Concreet bieden wij:

• Gap-analyses en beleidsvorming: We brengen in kaart waar je organisatie kwetsbaar is en schrijven heldere procedures voor incidentrespons en datalekmeldingen
• Technische scans en pentests: We testen actief op kwetsbaarheden die tot een datalek kunnen leiden, zodat je ze kunt dichten voordat ze worden misbruikt
• Virtuele CISO via Continuous-Q: Een team van specialisten dat structureel meekijkt met jouw cybersecuritybeleid, inclusief AVG-compliance en meldplichtprocedures
• Trainingen voor medewerkers en bestuurders: Van bewustwordingssessies tot gerichte trainingen over de meldplicht en bestuurlijke verantwoordelijkheid
• Onafhankelijk advies: We zijn niet gebonden aan softwarepartijen of leveranciers, waardoor ons advies altijd in jouw belang is

Of je nu voor het eerst een datalekprocedure wilt opzetten of je huidige aanpak wilt versterken: neem contact op en we kijken samen wat jouw organisatie nodig heeft.

Lees meer

Wat is het verschil tussen een CISO en een vCISO?

Geplaatst op: 8 juni 2026

Een CISO (Chief Information Security Officer) is een vaste, interne functionaris die fulltime verantwoordelijk is voor de cybersecuritystrategie van een organisatie. Een vCISO (virtuele CISO) levert dezelfde strategische expertise, maar op flexibele, externe basis. Het grootste verschil zit in de inzet: een CISO is in dienst, een vCISO wordt ingehuurd voor de uren en taken die een organisatie daadwerkelijk nodig heeft. Voor veel organisaties biedt een vCISO daarmee een praktischer en betaalbaarder alternatief zonder in te leveren op kwaliteit. In dit artikel beantwoorden we de meest gestelde vragen over het verschil tussen beide rollen.

Wanneer heeft een organisatie een vCISO nodig in plaats van een CISO?

Een organisatie heeft een vCISO nodig in plaats van een vaste CISO wanneer de behoefte aan strategische cybersecurityleiding reëel is, maar een fulltime aanstelling financieel of organisatorisch niet haalbaar is. Dit geldt voor het overgrote deel van het midden- en kleinbedrijf, maar ook voor grotere organisaties die tijdelijk capaciteit nodig hebben.

Een vaste CISO is doorgaans pas rendabel als een organisatie groot genoeg is om die rol fulltime te vullen met inhoudelijk werk. Denk aan een organisatie met een omvangrijke IT-afdeling, complexe systemen en een eigen securityteam dat dagelijkse aansturing nodig heeft. Zodra die schaal ontbreekt, betaalt een organisatie voor een fulltime functie die voor een groot deel onbenut blijft.

Een vCISO-dienst is de betere keuze in de volgende situaties:

• De organisatie groeit snel en heeft tijdelijk behoefte aan strategische sturing
• Er is een concrete aanleiding zoals een audit, een incident of een NIS2-verplichting
• Een interne CISO is ziek, vertrekt of is nog niet gevonden
• Het budget voor een senior securityprofessional ontbreekt, maar de behoefte is er wel
• De organisatie wil onafhankelijk advies zonder de politieke dynamiek van een vaste aanstelling

Een vCISO biedt ook een voordeel dat een interne CISO zelden kan bieden: brede ervaring in meerdere sectoren en bij meerdere organisaties tegelijk. Die breedte vertaalt zich direct in beter en scherper advies.

Wat doet een vCISO concreet voor een organisatie?

Een vCISO neemt de strategische cybersecurityverantwoordelijkheid op zich die normaal bij een interne CISO ligt. Concreet betekent dit: het opstellen en bewaken van het securitybeleid, het adviseren van het bestuur, het begeleiden van audits en het vertalen van dreigingen naar beheersbare maatregelen.

De exacte invulling varieert per organisatie, maar een vCISO werkt doorgaans aan de volgende taken:

• Risicoanalyse en beleid: het in kaart brengen van de belangrijkste risico’s en het schrijven van beleid dat aansluit op de organisatie
• Bestuurlijk advies: het informeren en adviseren van directie en management over cybersecurityrisico’s en beslissingen
• Compliancebegeleiding: het begeleiden van trajecten rondom wet- en regelgeving zoals NIS2
• Leveranciersmanagement: het beoordelen van de cybersecuritymaatregelen van leveranciers en partners
• Incident response: het ondersteunen bij het opzetten van procedures en het begeleiden bij daadwerkelijke incidenten
• Bewustwording en training: het organiseren of begeleiden van securitytrainingen voor medewerkers en bestuurders

Een vCISO is geen uitvoerende technicus. De rol is strategisch en adviserend van aard. Voor technische uitvoering, zoals penetratietesten of vulnerability scans, werkt een vCISO samen met specialisten of coördineert hij de inzet van die diensten.

Wat zijn de kosten van een vCISO vergeleken met een vaste CISO?

Een vCISO is in vrijwel alle gevallen aanzienlijk goedkoper dan een vaste CISO. Een ervaren interne CISO vraagt een bruto jaarsalaris van doorgaans tussen de 90.000 en 130.000 euro, exclusief werkgeverslasten, secundaire arbeidsvoorwaarden, opleidingsbudget en overheadkosten. Een vCISO werkt op uurbasis of via een maandelijkse retainer en schaalt mee met de werkelijke behoefte.

De totale kosten van een interne CISO liggen inclusief alle werkgeverslasten al snel op anderhalf tot twee keer het bruto salaris. Dat betekent dat een organisatie jaarlijks 150.000 tot 250.000 euro kwijt kan zijn aan één functie, ook in periodes dat er weinig strategisch werk te doen is.

Een vCISO via een retainermodel kost doorgaans een fractie daarvan. Hoeveel precies hangt af van de omvang van de organisatie, het aantal uren per maand en de complexiteit van de opdracht. Maar het principe is helder: een organisatie betaalt alleen voor wat ze daadwerkelijk nodig heeft, zonder vaste lasten, wervingskosten of het risico van een slechte match.

Naast de directe kostenbesparing brengt een vCISO ook indirecte waarde mee: geen inwerkperiode van maanden, directe toegang tot actuele kennis en een bredere blik door ervaring bij meerdere organisaties.

Hoe werkt de samenwerking met een vCISO in de praktijk?

De samenwerking met een vCISO verloopt in de meeste gevallen via een vast aantal uren per maand, aangevuld met beschikbaarheid voor urgente situaties. De vCISO neemt deel aan relevante overleggen, adviseert het management en werkt zelfstandig aan beleid, rapportages en compliancedocumentatie.

In de opstartfase maakt een vCISO doorgaans een grondige inventarisatie van de huidige situatie: welke systemen zijn er, welk beleid bestaat er al, wat zijn de grootste risico’s en waar liggen de prioriteiten. Op basis daarvan stelt de vCISO een werkplan op dat aansluit op de doelen van de organisatie.

Daarna is de samenwerking cyclisch van aard. Een vCISO rapporteert periodiek aan de directie, bewaakt de voortgang van maatregelen, signaleert nieuwe dreigingen en past het beleid aan als de situatie verandert. Bij grotere vraagstukken, zoals een fusie, een nieuwe dienst of een audit, schaalt de inzet tijdelijk op.

Wat de samenwerking effectief maakt, is duidelijke afbakening. Een vCISO is geen projectmanager of IT-beheerder. De rol werkt het best wanneer er intern een aanspreekpunt is, zoals een IT-manager of een lid van de directie, dat de verbinding legt tussen de vCISO en de rest van de organisatie. Voor meer achtergrond over hoe onafhankelijk cybersecurityadvies werkt, is de pagina over Q-Cyber een goed startpunt.

Is een vCISO geschikt voor NIS2-compliance?

Ja, een vCISO is zeer geschikt voor NIS2-compliance. De NIS2-richtlijn vereist dat organisaties aantoonbaar cybersecuritybeleid voeren, risicobeheer implementeren en bestuurders actief betrekken bij informatiebeveiliging. Dat zijn precies de taken waarbij een vCISO strategische meerwaarde levert.

De NIS2-vereisten raken meerdere lagen van een organisatie tegelijk: technische maatregelen, beleidsdocumentatie, incidentmeldprocedures, leveranciersbeheer en bestuurlijke verantwoordelijkheid. Een vCISO kan al deze onderdelen coördineren, van een gap-analyse in de beginfase tot het schrijven van het benodigde beleid en het begeleiden van bestuurders bij hun trainingsplicht.

Onder de Nederlandse Cyberbeveiligingswet moeten bestuurders aantoonbaar in staat zijn om beveiligingsrisico’s te herkennen, maatregelen te beoordelen en de impact daarvan voor hun organisatie te overzien. Een vCISO kan die bestuurlijke bewustwording direct ondersteunen en tegelijkertijd zorgen dat de technische en organisatorische maatregelen op orde zijn.

Specifieke NIS2-verplichtingen waarbij een vCISO waarde toevoegt:

• Het opstellen van beleid voor risicoanalyse en beveiliging van informatiesystemen
• Het inrichten van procedures voor incidentmelding binnen de wettelijke termijnen
• Het in kaart brengen en beveiligen van de toeleveringsketen
• Het implementeren van toegangsbeveiliging en multi-factorauthenticatie
• Het begeleiden van bestuurders bij hun wettelijke trainingsplicht

Een vCISO is daarmee niet alleen een kostenefficiënte keuze, maar ook een strategisch verstandige keuze voor organisaties die serieus werk willen maken van NIS2-naleving zonder een fulltime aanstelling te rechtvaardigen.

Hoe Q-Cyber helpt met vCISO-dienstverlening

Wij bieden vCISO-diensten via ons Continuous-Q programma, waarbij een team van specialisten de strategische cybersecurityverantwoordelijkheid op zich neemt voor uw organisatie. Geen losse adviseur, maar een gestructureerde aanpak die aansluit op uw specifieke situatie, sector en risicoprofiel.

Wat wij concreet voor u doen:

• Gap-analyse en nulmeting: we brengen in kaart waar uw organisatie staat en wat er nodig is
• Beleid op maat: we schrijven cybersecuritybeleid dat aansluit op uw organisatie en voldoet aan geldende wet- en regelgeving zoals NIS2
• Bestuurlijk advies: we adviseren directie en management in begrijpelijke taal, zonder technisch jargon
• NIS2-begeleiding: we begeleiden het volledige NIS2-traject, van registratie tot implementatie van maatregelen
• Onafhankelijk en transparant: we werken zonder binding aan softwarepartijen of leveranciers, zodat ons advies altijd in uw belang is

Wilt u weten wat een vCISO voor uw organisatie kan betekenen? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Wat is social engineering en hoe voorkom je het?

Geplaatst op: 8 juni 2026

Social engineering is een aanvalstechniek waarbij cybercriminelen mensen manipuleren in plaats van systemen te hacken. In plaats van technische kwetsbaarheden te misbruiken, spelen aanvallers in op menselijke emoties zoals vertrouwen, angst of urgentie. Het resultaat is dat slachtoffers zelf gevoelige informatie vrijgeven of onbewust toegang verlenen tot systemen. In dit artikel beantwoorden we de meest gestelde vragen over social engineering en laten we zien hoe je jezelf en je organisatie beschermt.

Welke technieken gebruiken social engineers om mensen te manipuleren?

Social engineers gebruiken een breed scala aan psychologische technieken om slachtoffers te manipuleren. De meest voorkomende methoden zijn phishing via e-mail of sms, pretexting (waarbij een aanvaller een valse identiteit aanneemt), baiting (het verleiden met een aantrekkelijk aanbod) en tailgating (fysiek meelopen achter een bevoegd persoon). Elk van deze technieken speelt in op een specifieke menselijke neiging.

Bij phishing stuurt een aanvaller een bericht dat afkomstig lijkt van een betrouwbare partij, zoals een bank, collega of overheidsinstantie. Het doel is dat de ontvanger op een link klikt, inloggegevens invult of een bijlage opent. Phishingtests worden door organisaties ingezet om te meten hoe gevoelig medewerkers zijn voor dit soort aanvallen.

Bij pretexting bouwt de aanvaller een geloofwaardig verhaal op. Denk aan iemand die zich voordoet als IT-medewerker die dringend toegang nodig heeft tot een account. Baiting werkt anders: een aanvaller laat een besmette USB-stick liggen op een parkeerplaats of stuurt een link naar een “gratis” download. Nieuwsgierigheid doet de rest. Vishing (voice phishing) via de telefoon en smishing via sms zijn varianten die steeds vaker voorkomen.

Wat al deze technieken gemeen hebben: ze zijn gericht op de menselijke factor in cybersecurity. Systemen kunnen worden gepatcht, maar mensen reageren altijd op emotie en context.

Waarom is social engineering zo moeilijk te herkennen?

Social engineering is moeilijk te herkennen omdat aanvallers bewust inspelen op vertrouwen, tijdsdruk en autoriteit, drie factoren die mensen van nature minder kritisch maken. Een goed opgezette social engineering-aanval ziet er op het eerste gezicht volkomen legitiem uit. De afzender, het taalgebruik en de context kloppen allemaal, waardoor het gevoel van argwaan ontbreekt.

Moderne aanvallers doen uitgebreid vooronderzoek via sociale media, LinkedIn en bedrijfswebsites. Ze weten wie de directeur is, welke leveranciers een bedrijf gebruikt en hoe interne communicatie klinkt. Met die informatie kunnen ze berichten schrijven die bijna niet van echt te onderscheiden zijn.

Daarnaast speelt cognitieve overbelasting een rol. Medewerkers die veel berichten ontvangen en onder tijdsdruk werken, scannen berichten vluchtig in plaats van ze kritisch te beoordelen. Aanvallers spelen hierop in door urgentie te creëren: “Reageer binnen twee uur, anders wordt uw account geblokkeerd.” Die kunstmatige druk schakelt het kritisch denkvermogen uit.

Tot slot zijn aanvallen steeds persoonlijker geworden. Waar phishing vroeger massaal en generiek was, zijn gerichte aanvallen, ook wel spear phishing genoemd, toegesneden op één specifieke persoon of organisatie. Dat maakt ze aanzienlijk gevaarlijker en lastiger te herkennen.

Wat zijn bekende voorbeelden van social engineering-aanvallen?

Bekende voorbeelden van social engineering-aanvallen zijn CEO-fraude, phishing via nep-facturen, helpdesk-impersonatie en het misbruiken van datalekken om geloofwaardige vervolgaanvallen op te zetten. Deze aanvallen komen voor in alle sectoren en bij organisaties van elke omvang.

Bij CEO-fraude (ook wel BEC, Business Email Compromise) doet een aanvaller zich voor als een directeur of leidinggevende en vraagt een medewerker van de financiële afdeling om dringend een bedrag over te maken naar een externe rekening. Omdat het verzoek van “boven” komt, wordt het zelden in twijfel getrokken.

Een ander veelvoorkomend voorbeeld is de nep-factuuraanval. Een leverancier wordt geïmiteerd, en de organisatie ontvangt een factuur met een aangepast rekeningnummer. Zonder verificatie wordt het bedrag overgemaakt naar de aanvaller.

Bij helpdesk-impersonatie belt een aanvaller naar een medewerker en doet zich voor als IT-support. Ze vragen om inloggegevens te resetten of een tool te installeren die vervolgens toegang geeft tot het systeem. Dit type aanval is effectief omdat medewerkers gewend zijn hulp te accepteren van de IT-afdeling.

Wat al deze voorbeelden illustreren, is dat de aanval begint bij mensen, niet bij technologie. Inzicht in actuele dreigingen helpt organisaties om patronen te herkennen voordat ze schade aanrichten.

Hoe herken je een social engineering-poging?

Een social engineering-poging herken je aan een combinatie van signalen: onverwachte urgentie, verzoeken om gevoelige informatie, ongebruikelijke afzenders of telefoonnummers, en berichten die emotionele druk uitoefenen. Geen enkel signaal is op zichzelf doorslaggevend, maar een combinatie van twee of meer is een duidelijke waarschuwing.

Let op de volgende kenmerken:

• Urgentie of dreiging: berichten die aangeven dat je direct moet handelen, anders volgt een negatieve consequentie
• Ongebruikelijke verzoeken: een collega of leidinggevende die via een nieuw kanaal vraagt om een wachtwoord of betaling
• Taalfouten of vreemde opmaak: ook al worden aanvallen steeds professioneler, kleine afwijkingen zijn soms nog zichtbaar
• Onbekende links of bijlagen: URL’s die lijken op bekende domeinen maar net iets afwijken, zoals “rnabobank.nl” in plaats van “rabobank.nl”
• Verzoek om vertrouwelijke informatie: legitieme organisaties vragen nooit via e-mail of telefoon om wachtwoorden of pincodes
• Onverwacht contact: iemand die je niet kent neemt contact op met een aanbieding of vraag die te mooi of te toevallig klinkt

Een eenvoudige vuistregel: als iets een ongemakkelijk gevoel geeft, verifieer het via een ander kanaal. Bel de persoon terug op een bekend nummer in plaats van het nummer in het bericht te gebruiken.

Hoe bescherm je een organisatie tegen social engineering?

Een organisatie beschermen tegen social engineering vereist een combinatie van bewustwording, beleid en technische maatregelen. Geen enkele technische oplossing alleen is voldoende, omdat de aanval gericht is op mensen. De sterkste verdediging is een goed getrainde medewerker die weet hoe hij een verdachte situatie herkent en rapporteert.

Bewustwording en training

Cybersecuritybewustwording begint bij regelmatige training voor alle medewerkers, niet alleen IT-personeel. Trainingen moeten praktisch zijn en gebaseerd op realistische scenario’s. Phishingsimulaties zijn een effectieve manier om te testen hoe medewerkers reageren en om bewustzijn te vergroten zonder dat er echte schade optreedt. Herhaling is essentieel: eenmalige training heeft weinig duurzaam effect.

Beleid en procedures

Duidelijke procedures verminderen de kans op succesvolle aanvallen aanzienlijk. Denk aan een vier-ogen-principe bij financiële transacties, een verificatieprotocol voor externe verzoeken en een heldere procedure voor het melden van verdachte berichten. Medewerkers moeten weten wat ze moeten doen als ze twijfelen, zonder angst voor negatieve gevolgen als ze een vals alarm slaan.

Technische maatregelen zoals multifactorauthenticatie (MFA), e-mailfiltering en toegangsbeperking op basis van het principe van minimale rechten vormen een aanvullende verdedigingslaag. Ze verkleinen de schade als een aanval toch slaagt. Organisaties die vallen onder de NIS2-regelgeving zijn bovendien verplicht om dergelijke maatregelen structureel te implementeren en aantoonbaar te maken.

Wat moet je doen als je slachtoffer bent geworden van social engineering?

Als je slachtoffer bent geworden van een social engineering-aanval, zijn de eerste stappen: meld het direct intern, wijzig gecompromitteerde wachtwoorden onmiddellijk, blokkeer eventuele toegang die is verleend en documenteer wat er is gebeurd. Hoe sneller je handelt, hoe meer schade je kunt beperken.

Volg dit stappenplan:

1. Meld het direct bij de IT-afdeling of security officer van je organisatie, ook als je niet zeker weet of het een echte aanval was
2. Wijzig wachtwoorden van alle accounts die mogelijk zijn blootgesteld, te beginnen met e-mail en zakelijke systemen
3. Blokkeer toegang door eventuele tokens, sessies of verleende rechten in te trekken
4. Informeer betrokkenen als er persoonsgegevens zijn gelekt, zijn er mogelijk ook meldverplichtingen richting de Autoriteit Persoonsgegevens
5. Documenteer de aanval zodat de organisatie ervan kan leren en de aanvalsmethode kan worden herkend bij toekomstige pogingen
6. Evalueer en verbeter analyseer hoe de aanval heeft kunnen slagen en pas beleid of training aan

Schaamte of angst voor negatieve gevolgen zorgen er vaak voor dat medewerkers een incident niet melden. Dat is gevaarlijk: een niet-gemeld incident geeft aanvallers de tijd om dieper in systemen door te dringen. Een veilige meldcultuur is daarom net zo belangrijk als de technische respons.

Hoe Q-Cyber helpt bij het voorkomen van social engineering

Social engineering-aanvallen zijn effectief omdat ze inspelen op menselijk gedrag. Technische maatregelen alleen zijn onvoldoende. Wij helpen organisaties om weerbaarheid op te bouwen die verder gaat dan firewalls en filters, door de menselijke factor structureel te versterken.

Wat wij concreet voor je kunnen doen:

• Phishingsimulaties en bewustwordingstrainingen om te meten hoe medewerkers reageren en hun weerbaarheid te vergroten
• Beleid en procedures schrijven die social engineering-aanvallen structureel moeilijker maken, afgestemd op jouw organisatie
• NIS2-begeleiding voor organisaties die moeten aantonen dat cybersecurity structureel is ingebed, inclusief de menselijke en beleidsmatige kant
• Red team-oefeningen waarbij ethische hackers realistische aanvallen simuleren om kwetsbaarheden bloot te leggen voordat echte aanvallers dat doen
• Virtuele CISO-diensten via Continuous-Q voor organisaties die behoefte hebben aan structurele, onafhankelijke begeleiding op het gebied van cybersecurity

Wij werken onafhankelijk, zonder binding aan softwarepartijen of leveranciers, en geven altijd pragmatisch advies dat past bij jouw specifieke situatie. Wil je weten hoe kwetsbaar jouw organisatie is voor social engineering? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

NIS2-compliance: een stappenplan voor het mkb

Geplaatst op: 5 juni 2026

NIS2-compliance voor het mkb betekent concreet: bepalen of je onder de richtlijn valt, een risicobeoordeling uitvoeren, technische en organisatorische maatregelen implementeren, en een meldproces inrichten voor beveiligingsincidenten. De Nederlandse implementatie via de Cyberbeveiligingswet (Cbw) legt deze verplichtingen vast voor essentiële en belangrijke entiteiten in aangewezen sectoren. Dit artikel loopt stap voor stap door alles wat het mkb moet weten om compliant te worden.

Welke mkb-bedrijven vallen onder de NIS2-richtlijn?

Een mkb-bedrijf valt onder de NIS2-richtlijn als het actief is in een van de aangewezen sectoren én voldoet aan de drempelwaarden voor middelgrote of grote ondernemingen: minimaal 50 medewerkers of een jaaromzet van meer dan 10 miljoen euro. Sectoren die onder de richtlijn vallen, zijn onder andere energie, transport, drinkwater, digitale infrastructuur, gezondheidszorg, financiële dienstverlening en bepaalde digitale aanbieders.

Belangrijk om te weten: ook kleinere bedrijven kunnen onder de NIS2 vallen als zij kritieke diensten leveren of als hun uitval een aanzienlijk maatschappelijk risico vormt. Bovendien geldt de richtlijn indirect voor veel meer organisaties. In Nederland vallen naar schatting ruim 10.000 organisaties direct onder de NIS2, en naar schatting krijgen 50.000 bedrijven die aan deze groep leveren eveneens met de eisen te maken wanneer er sprake is van toeleveringsrisico’s.

Ben je niet zeker of jouw organisatie onder de wet valt? Via de NIS2-zelfevaluatietool op regelhulpenvoorbedrijven.nl kun je dit zelf nagaan. Het NCSC biedt daarnaast een flowchart aan die de registratieplicht verduidelijkt. Organisaties zijn zelf verantwoordelijk voor deze beoordeling.

Wat zijn de concrete verplichtingen onder NIS2?

Onder de NIS2-richtlijn hebben organisaties vier hoofdverplichtingen: een zorgplicht voor technische en organisatorische maatregelen, een registratieplicht bij het NCSC, een meldplicht voor significante incidenten, en een trainingsplicht voor bestuurders. Samen vormen deze verplichtingen het fundament van NIS2-compliance voor het mkb.

Zorgplicht: wat moet je technisch en organisatorisch regelen?

De zorgplicht verplicht organisaties passende maatregelen te nemen om de continuïteit van dienstverlening te waarborgen en informatie te beschermen. De Cyberbeveiligingswet noemt een aantal concrete minimummaatregelen:

• Beleid voor risicoanalyse en beveiliging van informatiesystemen
• Maatregelen voor bedrijfscontinuïteit en crisisbeheer
• Beveiliging van de toeleveringsketen (supply chain security)
• Beleid en procedures voor cryptografie en encryptie
• Beveiligingsmaatregelen voor personeel en toegangsbeheer
• Gebruik van multi-factorauthenticatie of continue authenticatie

Registratieplicht en bestuurlijke verantwoordelijkheid

Organisaties die onder de Cbw vallen, moeten zich registreren via het NCSC-portaal. Na registratie ontvangen zij informatie over actuele cyberdreigingen. Daarnaast legt de NIS2-richtlijn de verantwoordelijkheid voor cyberweerbaarheid expliciet bij het bestuur. Bestuurders moeten voldoende kennis hebben om weloverwogen beslissingen te nemen over informatiebeveiliging, en zijn verplicht een training te volgen. Vanaf de inwerkingtreding van de Cbw hebben zij maximaal twee jaar om aan die trainingsplicht te voldoen.

Hoe begin je met een NIS2-gap-analyse?

Een NIS2-gap-analyse begint met het in kaart brengen van je huidige beveiligingsniveau en het vergelijken daarvan met de minimumvereisten uit de Cyberbeveiligingswet. Het doel is helder te krijgen welke maatregelen al aanwezig zijn, welke ontbreken, en waar de grootste risico’s liggen. Dit vormt de basis voor een realistisch en prioritair actieplan.

Praktisch gezien doorloop je de volgende stappen:

1. Inventariseer je kritieke systemen en processen: Welke systemen zijn essentieel voor je dienstverlening? Wat zijn de gevolgen als deze uitvallen?
2. Toets je huidige maatregelen aan de NIS2-minimumvereisten: Gebruik de mapping van het ministerie van BZK, die aangeeft welke maatregelen verplicht, optioneel of situationeel zijn in relatie tot NEN-EN-ISO/IEC 27002.
3. Identificeer de gaps: Noteer concreet welke maatregelen ontbreken of onvoldoende zijn uitgewerkt.
4. Prioriteer op risico: Niet alle gaps zijn even urgent. Begin bij de maatregelen die de grootste risico’s afdekken.

Een goede gap-analyse is geen eenmalige exercitie. Cyberdreigingen veranderen voortdurend, en je beveiligingsniveau moet meegroeien. Overweeg daarom om de analyse periodiek te herhalen of te laten ondersteunen door een externe specialist.

Welke maatregelen moet het mkb als eerste implementeren?

Het mkb doet er verstandig aan om eerst de maatregelen te implementeren die de meeste risico’s afdekken met de minste complexiteit: multi-factorauthenticatie, een actueel patchbeleid, toegangsbeheer op basis van het least-privilege-principe, en een gedocumenteerd incidentresponsproces. Deze vier maatregelen vormen een solide fundament voor verdere NIS2-compliance.

Daarna richt je je op de bredere organisatorische maatregelen die de NIS2 vereist:

• Risicobeleid: Stel een formeel beleid op voor risicoanalyse en informatiebeveiliging. Dit hoeft niet complex te zijn, maar moet wel aantoonbaar zijn.
• Bedrijfscontinuïteitsplan: Beschrijf hoe je organisatie omgaat met uitval van kritieke systemen, inclusief back-upprocessen en herstelstappen.
• Supply chain security: Breng in kaart welke leveranciers toegang hebben tot je systemen of data, en stel eisen aan hun beveiligingsniveau.
• Bewustwording en training: Zorg dat medewerkers weten hoe ze phishing herkennen en wat ze moeten doen bij een beveiligingsincident. Een phishingtest kan helpen om het bewustzijnsniveau te meten.

De volgorde van implementatie hangt af van de uitkomsten van je gap-analyse. Begin altijd bij de maatregelen die de grootste kwetsbaarheden dichten.

Hoe werkt de meldplicht bij een beveiligingsincident?

Bij een significant beveiligingsincident ben je als mkb-bedrijf verplicht dit te melden via het NCSC-portaal. De meldplicht bestaat uit drie stappen: een vroegtijdige waarschuwing binnen 24 uur na ontdekking, een vervolgmelding met aanvullende informatie binnen 72 uur, en een eindverslag uiterlijk één maand na de eerste melding. Het portaal stuurt de melding automatisch door naar zowel het relevante CSIRT als de toezichthouder, zodat je niet dubbel hoeft te melden.

Een incident is meldingswaardig als het de continuïteit van je dienstverlening aanzienlijk kan verstoren. Factoren die daarbij een rol spelen, zijn het aantal getroffen personen, de duur van de verstoring en de mogelijke financiële schade. De precieze drempelcriteria worden per sector uitgewerkt in ministeriële regelingen.

Praktisch advies: wacht niet tot een incident zich voordoet om je meldproces in te richten. Stel vooraf vast wie in jouw organisatie verantwoordelijk is voor het doen van een melding, welke informatie daarvoor nodig is, en hoe je intern communiceert tijdens een incident. Een vooraf getest incidentresponsplan bespaart kostbare tijd op het moment dat het er echt toe doet.

Wat zijn de gevolgen als het mkb niet voldoet aan NIS2?

Als het mkb niet voldoet aan de NIS2-verplichtingen, riskeer je aanzienlijke financiële boetes en reputatieschade. Essentiële entiteiten kunnen boetes krijgen tot maximaal 10 miljoen euro of 2% van hun wereldwijde jaaromzet. Voor belangrijke entiteiten gelden lagere maxima: tot 7 miljoen euro of 1,4% van de wereldwijde jaaromzet. Bovendien kan het senior management persoonlijk aansprakelijk worden gesteld bij ernstige overtredingen.

Naast de directe financiële gevolgen zijn er ook indirecte risico’s. Klanten en partners, zeker grotere organisaties die zelf NIS2-compliant moeten zijn, zullen steeds vaker eisen stellen aan de beveiliging van hun leveranciers. Wie niet aan die eisen voldoet, loopt het risico contracten te verliezen of uitgesloten te worden van aanbestedingen.

Het toezicht op de naleving ligt bij onafhankelijke toezichthouders. Voor de meeste sectoren is dat de Rijksinspectie Digitale Infrastructuur (RDI). De Rijksoverheid adviseert organisaties nadrukkelijk om niet af te wachten totdat de wet volledig in werking treedt: de risico’s zijn er nu al, en vroegtijdig handelen verkleint zowel de kans op incidenten als de kans op handhaving.

Hoe Q-Cyber helpt met NIS2-compliance

NIS2-compliance is voor veel mkb-bedrijven een complex traject dat zowel technische kennis als beleidsmatige expertise vereist. Wij begeleiden organisaties door dit traject op een pragmatische en onafhankelijke manier, zonder binding aan softwarepartijen of andere toeleveranciers. Concreet bieden wij het volgende:

• Gap-analyse: We brengen je huidige beveiligingsniveau in kaart en vergelijken dit met de NIS2-minimumvereisten, zodat je precies weet waar actie nodig is.
• Beleidsschrijving: We stellen op maat gemaakte beleidsdocumenten op die aansluiten bij jouw organisatie en voldoen aan de eisen van de Cyberbeveiligingswet.
• Bestuurstrainingen: We verzorgen trainingen voor bestuurders waarmee zij voldoen aan de wettelijke trainingsplicht en beter in staat zijn om weloverwogen beslissingen te nemen over cyberrisico’s.
• Technische tests: Via vulnerability scans en phishingtests meten we de technische weerbaarheid van je organisatie en identificeren we concrete kwetsbaarheden.
• Doorlopend advies: Via onze virtuele CISO-dienst zorgen we voor structurele inbedding van cybersecurity in je organisatie, ook na de initiële implementatie.

NIS2-compliance is geen eenmalig project maar een doorlopend proces. Wil je weten waar jouw organisatie nu staat en wat de eerste stap is? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Phishing herkennen: 7 tips voor medewerkers

Geplaatst op: 5 juni 2026

Phishing herkennen doe je door te letten op verdachte afzenderadressen, onverwachte bijlagen, een urgente toon en links die niet overeenkomen met de echte domeinnaam van de organisatie. De meeste phishing e-mails proberen je te verleiden tot een snelle actie, zoals inloggen of een betaling doen, voordat je de tijd neemt om na te denken. In dit artikel beantwoorden we de meest gestelde vragen over phishing herkennen, zodat jij en je collega’s beter voorbereid zijn.

Wat zijn de meest voorkomende kenmerken van een phishing e-mail?

Een phishing e-mail herken je aan een combinatie van signalen: een onbekend of vervalst afzenderadres, een dringende of bedreigende toon, spelfouten, verdachte links en verzoeken om persoonlijke gegevens of inloggegevens. Geen enkel signaal staat op zichzelf, maar hoe meer van deze kenmerken je ziet, hoe groter de kans dat het om een phishing aanval gaat.

Hieronder staan de meest voorkomende kenmerken op een rij:

• Verdacht afzenderadres: De weergegeven naam lijkt betrouwbaar, maar het echte e-mailadres klopt niet. Denk aan “support@microsoft-helpdesk.net” in plaats van “@microsoft.com”.
• Urgentie en druk: Berichten als “Uw account wordt geblokkeerd binnen 24 uur” zijn erop gericht om je zonder nadenken te laten klikken.
• Onverwachte bijlagen: Bestanden met extensies als .exe, .zip of zelfs .pdf kunnen malware bevatten als je ze niet verwacht.
• Vreemde of nep-links: De linktekst toont een vertrouwd domein, maar de werkelijke URL wijst naar een ander adres.
• Slechte opmaak of spelfouten: Professionele organisaties sturen zelden e-mails met taalfouten of een rommelige lay-out.
• Verzoek om gevoelige informatie: Banken, overheidsdiensten en softwareleveranciers vragen nooit per e-mail om wachtwoorden of betaalgegevens.

Houd er rekening mee dat moderne phishing e-mails er steeds professioneler uitzien. Aanvallers kopiëren huisstijlen van bekende merken vrijwel perfect. Juist daarom is het belangrijk om niet alleen op uiterlijk te vertrouwen, maar ook de afzender en de link zelf te controleren.

Hoe verschilt phishing van spear phishing en smishing?

Phishing is een brede aanvalsmethode waarbij criminelen massaal nep-e-mails sturen in de hoop dat iemand bijt. Spear phishing is een gerichte variant waarbij de aanvaller zich specifiek richt op één persoon of organisatie, met gepersonaliseerde informatie. Smishing werkt volgens hetzelfde principe, maar dan via sms of berichten-apps in plaats van e-mail.

Spear phishing: gericht en gevaarlijker

Bij spear phishing gebruikt de aanvaller vooraf verzamelde informatie, zoals je naam, functietitel, de naam van je manager of lopende projecten. Die informatie halen ze vaak van LinkedIn, bedrijfswebsites of eerdere datalekken. Het bericht lijkt daardoor veel geloofwaardiger dan een generieke phishing e-mail. Spear phishing aanvallen zijn moeilijker te herkennen en richten zich vaak op medewerkers met toegang tot financiën of gevoelige systemen.

Smishing: phishing via je telefoon

Smishing berichten komen binnen als sms of via apps als WhatsApp. Ze doen zich voor als pakketbezorgers, banken of de Belastingdienst. Omdat mensen sms-berichten sneller vertrouwen dan e-mails, en omdat links op een klein scherm moeilijker te controleren zijn, zijn smishing aanvallen bijzonder effectief. De vuistregel is dezelfde als bij e-mail: klik nooit op een link in een onverwacht bericht en bel de afzender direct als je twijfelt.

Hoe controleer je of een link in een e-mail veilig is?

Controleer een link door er met je muis overheen te bewegen zonder te klikken. Onderaan je scherm of in een tooltip zie je dan de werkelijke URL. Let op of het domein overeenkomt met de organisatie die beweert het bericht te hebben gestuurd, en of het adres begint met “https://” gevolgd door het juiste domein.

Een aantal praktische stappen om een link te beoordelen:

1. Hover over de link: Beweeg je muis over de link zonder te klikken en bekijk de URL die verschijnt.
2. Controleer het domein nauwkeurig: Let op subtiele variaties zoals “paypa1.com” (met een cijfer 1) in plaats van “paypal.com”, of extra subonderdelen als “login.paypal.nep-site.com”.
3. Kijk naar het protocol: Een “https://” verbinding is versleuteld, maar dat betekent niet automatisch dat de website betrouwbaar is. Criminelen gebruiken ook HTTPS.
4. Gebruik een linkchecker: Tools zoals VirusTotal of de ingebouwde beveiligingscontrole van je browser kunnen een URL scannen voordat je die bezoekt.
5. Navigeer handmatig: Als het bericht zegt dat je moet inloggen bij je bank of een dienst, typ het adres dan zelf in je browser in plaats van op de link te klikken.

Op mobiele apparaten is hoveren niet mogelijk. Houd een link dan ingedrukt om een preview van de URL te zien voordat je beslist of je erop tikt.

Wat moet je doen als je een phishing e-mail hebt ontvangen?

Als je een phishing e-mail ontvangt, klik dan op niets, download geen bijlagen en beantwoord het bericht niet. Meld de e-mail bij je IT-afdeling of securityteam, markeer het als spam of phishing in je e-mailprogramma, en verwijder het bericht daarna. Heb je al geklikt? Meld dat dan direct, ook als er niets lijkt te zijn gebeurd.

Een goede aanpak stap voor stap:

• Niet klikken, niet reageren: Elke interactie kan al informatie aan de aanvaller geven, zoals bevestiging dat jouw e-mailadres actief is.
• Meld het intern: Stuur de e-mail door naar je IT- of securityteam. Zij kunnen onderzoeken of meer collega’s hetzelfde bericht hebben ontvangen.
• Markeer als phishing: De meeste e-mailclients hebben een knop om een bericht als phishing te rapporteren. Dit helpt ook andere gebruikers te beschermen.
• Verwijder het bericht: Na de melding kun je het bericht veilig verwijderen.
• Meld verdachte e-mails extern: In Nederland kun je phishing e-mails ook doorsturen naar valse e-mails herkennen of de Fraudehelpdesk.

Wat zijn de gevolgen als een medewerker op een phishing link klikt?

Als een medewerker op een phishing link klikt, kunnen de gevolgen variëren van het stelen van inloggegevens tot het installeren van malware of ransomware op het bedrijfsnetwerk. In het ergste geval krijgt een aanvaller toegang tot gevoelige systemen, klantdata of financiële rekeningen. De schade kan groot zijn en snel oplopen.

De meest voorkomende gevolgen zijn:

• Gestolen inloggegevens: De medewerker vult zijn gebruikersnaam en wachtwoord in op een nep-inlogpagina. De aanvaller gebruikt deze gegevens vervolgens om in te loggen op bedrijfssystemen.
• Malware-infectie: Door op een link te klikken of een bijlage te openen wordt kwaadaardige software geïnstalleerd, die zich kan verspreiden over het netwerk.
• Ransomware: Bestanden worden versleuteld en de organisatie wordt gevraagd losgeld te betalen om ze terug te krijgen.
• Datalekken: Klantgegevens, financiële informatie of bedrijfsgeheimen komen in verkeerde handen terecht.
• Reputatieschade en boetes: Onder regelgeving zoals de NIS2-richtlijn zijn organisaties verplicht significante incidenten te melden. Niet-naleving kan leiden tot forse boetes.

Het is belangrijk dat medewerkers begrijpen dat een klik op een phishing link geen persoonlijk falen is, maar een beveiligingsincident dat snel gemeld moet worden. Hoe sneller de IT-afdeling op de hoogte is, hoe beter de schade beperkt kan worden.

Hoe train je medewerkers om phishing structureel te herkennen?

Medewerkers train je om phishing structureel te herkennen door een combinatie van bewustwordingstrainingen, gesimuleerde phishing tests en duidelijk beleid. Eenmalige training is niet voldoende: phishing aanvallen evolueren voortdurend, en herhaling zorgt ervoor dat alertheid een gewoonte wordt in plaats van een uitzondering.

Een effectief trainingsprogramma bevat de volgende elementen:

• Regelmatige bewustwordingssessies: Bespreek actuele voorbeelden van phishing aanvallen en laat medewerkers zien hoe deze eruitzien.
• Gesimuleerde phishing tests: Stuur nep-phishing e-mails naar medewerkers om te meten wie erop klikt. Gebruik de resultaten niet als straf, maar als leermomenten.
• Duidelijk meldproces: Zorg dat iedereen weet hoe en waar ze een verdachte e-mail kunnen melden. Een laagdrempelig meldproces verhoogt de meldingsbereidheid.
• Rolspecifieke training: Medewerkers in financiën, HR of management zijn vaker doelwit van gerichte aanvallen. Geef hen extra aandacht in het trainingsprogramma.
• Technische maatregelen als vangnet: Training vervangt geen technologie. Combineer het met spamfilters, multi-factorauthenticatie en e-mailbeveiliging zoals DMARC.

Organisaties die vallen onder de Continuous-Q dienstverlening profiteren van doorlopende begeleiding op het gebied van security awareness, waarbij training en techniek hand in hand gaan. Onderzoek laat zien dat organisaties die regelmatig phishing simulaties uitvoeren, significant minder incidenten rapporteren dan organisaties die alleen vertrouwen op jaarlijkse cursussen.

Hoe Q-Cyber helpt met phishing herkennen en preventie

Phishing blijft een van de meest effectieve aanvalsmethoden, juist omdat het inspeelt op menselijk gedrag. Technische maatregelen alleen zijn niet voldoende: medewerkers moeten weten wat ze moeten herkennen, wat ze moeten doen en hoe ze kunnen bijdragen aan de weerbaarheid van de organisatie. Wij helpen organisaties op een concrete, pragmatische manier om dit voor elkaar te krijgen.

Wat we voor jouw organisatie kunnen doen:

• Phishing simulaties en penetratietesten: We sturen realistische nep-phishing e-mails naar medewerkers en rapporteren wie klikt, wat invult en wat meldt. Op basis daarvan stellen we gerichte verbeteracties op.
• Security awareness trainingen: Praktische sessies afgestemd op de rollen binnen jouw organisatie, van directie tot operationele medewerkers.
• Virtuele CISO via Continuous-Q: Een team van specialisten dat structureel toezicht houdt op je cyberveiligheid, inclusief monitoring van dreigingen en begeleiding bij incidenten.
• Beleid en procedures: We schrijven of verbeteren het meldproces, het incidentresponsbeleid en de cybersecurityrichtlijnen voor medewerkers.
• NIS2-begeleiding: Voor organisaties die onder de NIS2-regelgeving vallen, zorgen we dat awareness-training en technische maatregelen aansluiten op de verplichte zorgplicht.

Wil je weten hoe jouw organisatie er nu voor staat? Neem contact met ons op voor een vrijblijvend gesprek. We kijken graag mee en geven je een eerlijk, onafhankelijk beeld van de risico’s en de stappen die je kunt zetten.

Lees meer

Hoe schrijf je een verwerkersovereenkomst?

Geplaatst op: 4 juni 2026

Een verwerkersovereenkomst opstellen doe je door schriftelijk vast te leggen welke persoonsgegevens een verwerker namens jouw organisatie verwerkt, voor welk doel, hoe lang, en welke beveiligingsmaatregelen daarbij gelden. De AVG verplicht iedere verwerkingsverantwoordelijke om zo’n overeenkomst te sluiten met elke externe partij die persoonsgegevens voor hem verwerkt. In dit artikel beantwoorden we de meest gestelde vragen over de verwerkersovereenkomst, van de verplichte inhoud tot de gevolgen van ontbrekende afspraken.

Wat moet er verplicht in een verwerkersovereenkomst staan?

Een AVG-verwerkersovereenkomst moet minimaal de volgende elementen bevatten: het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking, het type persoonsgegevens en de categorieën betrokkenen, en de rechten en verplichtingen van de verwerkingsverantwoordelijke. Zonder deze elementen voldoet de overeenkomst niet aan artikel 28 van de AVG.

Naast deze basisinformatie schrijft de AVG een aantal concrete verplichtingen voor die in de overeenkomst moeten worden opgenomen. De verwerker mag persoonsgegevens uitsluitend verwerken op basis van gedocumenteerde instructies van de verwerkingsverantwoordelijke. Verder moet worden vastgelegd dat de verwerker:

• passende technische en organisatorische beveiligingsmaatregelen treft;
• medewerkers die toegang hebben tot de gegevens tot geheimhouding verplicht;
• de verwerkingsverantwoordelijke bijstaat bij het nakomen van zijn verplichtingen jegens betrokkenen (zoals het recht op inzage of verwijdering);
• na afloop van de dienstverlening alle persoonsgegevens verwijdert of teruggeeft;
• de verwerkingsverantwoordelijke informeert als een instructie naar zijn mening in strijd is met de AVG;
• alleen met toestemming van de verwerkingsverantwoordelijke subverwerkers inschakelt.

Het is verstandig ook afspraken op te nemen over hoe en wanneer de verwerker een datalek meldt, en binnen welke termijn. De AVG vereist dat een verwerkingsverantwoordelijke een datalek binnen 72 uur meldt bij de Autoriteit Persoonsgegevens. Om die termijn te halen, moet de verwerker een incident zo snel mogelijk doorgeven. Leg die verplichting expliciet vast in de privacywetgeving en contractuele afspraken.

Wanneer ben je verplicht een verwerkersovereenkomst te sluiten?

Je bent verplicht een verwerkersovereenkomst te sluiten zodra een externe partij persoonsgegevens verwerkt namens jouw organisatie, en daarbij zelf geen doel en middelen bepaalt. Dit is het geval bij vrijwel elke uitbestede dienst waarbij persoonsgegevens betrokken zijn, zoals clouddiensten, salarisadministratie, e-mailmarketing of IT-beheer.

Het onderscheid zit in de rol van de externe partij. Een verwerker verwerkt persoonsgegevens uitsluitend op instructie van jou en heeft geen zeggenschap over het doel van de verwerking. Een verwerkingsverantwoordelijke bepaalt zelf het doel en de middelen. Wanneer je een softwareleverancier inschakelt die klantdata opslaat in jouw naam, is die leverancier een verwerker. Wanneer een accountantskantoor jouw jaarrekening opstelt en daarbij ook persoonsgegevens verwerkt voor eigen doeleinden, is er sprake van twee verwerkingsverantwoordelijken en heb je een andere overeenkomst nodig.

Praktische situaties waarin een gegevensverwerkingsovereenkomst verplicht is:

• Gebruik van cloudopslag waarbij persoonsgegevens worden bewaard (zoals Microsoft 365 of Google Workspace);
• Uitbesteding van HR-administratie of loonadministratie;
• Inschakelen van een marketingbureau dat mailinglijsten beheert;
• Gebruik van een ticketsysteem of CRM-pakket beheerd door een derde partij;
• Inzet van een externe helpdesk die klantgegevens inziet.

De verplichting geldt ongeacht de omvang van je organisatie. Ook kleine bedrijven moeten een verwerkersovereenkomst sluiten zodra zij persoonsgegevens uitbesteden aan een derde partij.

Wat is het verschil tussen een verwerkersovereenkomst en een bewerkersovereenkomst?

Een verwerkersovereenkomst en een bewerkersovereenkomst zijn inhoudelijk hetzelfde document. Het enige verschil is de naam: “bewerkersovereenkomst” is de verouderde term uit de Wet bescherming persoonsgegevens (Wbp), die in 2018 werd vervangen door de AVG. Sindsdien is de officiële term “verwerkersovereenkomst”.

Veel organisaties gebruiken beide termen nog door elkaar, maar juridisch gezien is alleen de term “verwerkersovereenkomst” correct onder de huidige Europese privacywetgeving. Een overeenkomst die nog de term “bewerkersovereenkomst” gebruikt, is niet per definitie ongeldig, maar het is aan te raden de terminologie te actualiseren zodat de overeenkomst aansluit op de huidige wet- en regelgeving en geen onduidelijkheid schept over de toepasselijke normen.

Inhoudelijk zijn de eisen ook verzwaard ten opzichte van de Wbp. De AVG stelt meer specifieke eisen aan wat er in de overeenkomst moet staan en legt meer verantwoordelijkheid bij zowel de verwerkingsverantwoordelijke als de verwerker. Een bewerkersovereenkomst die vóór 2018 werd opgesteld, voldoet daardoor vrijwel zeker niet meer aan de huidige GDPR-verwerkereisen.

Hoe stel je een verwerkersovereenkomst stap voor stap op?

Een verwerkersovereenkomst opstellen verloopt in vijf stappen: breng in kaart welke partij welke gegevens verwerkt, bepaal de rollen, beschrijf de verwerkingsactiviteiten, stel de verplichtingen vast, en laat beide partijen tekenen. Hieronder werken we elke stap uit.

1. Identificeer de verwerker en de verwerkingsverantwoordelijke. Bepaal wie de persoonsgegevens verwerkt en in wiens opdracht. Dit vormt de basis voor de overeenkomst.
2. Breng de verwerkingsactiviteiten in kaart. Beschrijf welke categorieën persoonsgegevens worden verwerkt, van welke betrokkenen, voor welk doel en hoe lang de gegevens worden bewaard.
3. Formuleer de instructies. Leg vast dat de verwerker uitsluitend handelt op basis van jouw schriftelijke instructies en geen eigen doeleinden mag nastreven.
4. Neem de verplichte bepalingen op. Voeg alle wettelijk verplichte onderdelen toe: beveiligingsmaatregelen, geheimhoudingsplicht, bijstandsverplichtingen, subverwerkers, datalekprocedure en teruggave of verwijdering van gegevens na afloop.
5. Onderteken de overeenkomst. Zorg voor een schriftelijke of elektronische ondertekening door beide partijen. Bewaar de overeenkomst zodat je kunt aantonen dat je aan de AVG-verantwoordingsplicht voldoet.

Vergeet bij stap vier ook de subverwerkers niet. Als de verwerker andere partijen inschakelt die ook persoonsgegevens verwerken, moet de verwerker met hen een gelijkwaardige verwerkersovereenkomst sluiten. Als verwerkingsverantwoordelijke heb je het recht om hierover geïnformeerd te worden en in sommige gevallen toestemming te verlenen.

Mag je een standaard template gebruiken voor een verwerkersovereenkomst?

Ja, je mag een standaard template gebruiken als startpunt voor een verwerkersovereenkomst, maar een generiek template is zelden voldoende op zichzelf. De overeenkomst moet altijd worden aangevuld met de specifieke verwerkingsactiviteiten, de concrete beveiligingsmaatregelen en de specifieke afspraken die gelden voor jouw situatie.

Veel leveranciers bieden hun eigen standaard verwerkersovereenkomst aan, met name grote cloudleveranciers zoals Microsoft en Google. Dit is toegestaan, maar als verwerkingsverantwoordelijke blijf je verantwoordelijk voor de naleving van de AVG. Controleer daarom altijd of de aangeboden overeenkomst voldoet aan alle wettelijke eisen en of de afspraken aansluiten op jouw specifieke verwerkingssituatie.

Let bij het gebruik van een template in ieder geval op de volgende punten:

• Is de verwerkingsomschrijving specifiek genoeg voor jouw situatie?
• Zijn de beveiligingsmaatregelen concreet beschreven of worden ze vaag omschreven?
• Is de procedure voor datalekmelding duidelijk en haalbaar binnen de wettelijke termijnen?
• Zijn de regels rondom subverwerkers en doorgifte buiten de EU opgenomen?
• Sluit de bewaartermijn aan op jouw eigen bewaarbeleid?

Een template biedt een nuttige structuur, maar maatwerk is nodig om daadwerkelijk aan de AVG te voldoen en om de overeenkomst juridisch afdwingbaar te maken.

Wat zijn de gevolgen van een ontbrekende of onvolledige verwerkersovereenkomst?

Het ontbreken van een verwerkersovereenkomst is een directe overtreding van de AVG en kan leiden tot een boete van de Autoriteit Persoonsgegevens van maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet. Bovendien loop je als organisatie een aanzienlijk juridisch en reputatierisico als er een datalek optreedt zonder dat de verantwoordelijkheden contractueel zijn vastgelegd.

Een onvolledige overeenkomst is bijna even risicovol als een ontbrekende. Als cruciale afspraken ontbreken, zoals de procedure bij datalekken of de instructies voor verwijdering van gegevens, kan dit bij een incident leiden tot onduidelijkheid over wie verantwoordelijk is, vertraging in de melding en mogelijk hogere boetes.

Naast de financiële gevolgen zijn er ook operationele risico’s. Zonder duidelijke contractuele afspraken heb je als verwerkingsverantwoordelijke minder grip op wat er met de persoonsgegevens van jouw klanten, medewerkers of relaties gebeurt. Je kunt een verwerker dan moeilijker aanspreken op naleving van beveiligingsmaatregelen of op het tijdig melden van incidenten.

De Autoriteit Persoonsgegevens controleert actief op de aanwezigheid van verwerkersovereenkomsten, zeker bij sectoren die veel persoonsgegevens verwerken. Organisaties die onder de NIS2-richtlijn vallen, lopen een dubbel risico: zowel de AVG als de NIS2 stellen eisen aan de beveiliging van de toeleveringsketen en de contractuele borging daarvan. Een ontbrekende verwerkersovereenkomst kan dus op meerdere fronten tot handhaving leiden.

Hoe Q-Cyber helpt met privacycompliance en verwerkersovereenkomsten

Een correcte verwerkersovereenkomst is onderdeel van een breder privacybeleid en cybersecuritystrategie. Wij helpen organisaties om niet alleen de juiste documenten op te stellen, maar ook om de onderliggende processen en beveiligingsmaatregelen op orde te brengen. Onze aanpak is pragmatisch en onafhankelijk: wij zijn niet gebonden aan softwarepartijen of andere leveranciers, waardoor we altijd adviseren wat het beste past bij jouw situatie.

Wat wij concreet voor je kunnen doen:

• In kaart brengen welke verwerkersovereenkomsten ontbreken of verouderd zijn;
• Opstellen of beoordelen van verwerkersovereenkomsten die voldoen aan de AVG;
• Adviseren over de relatie tussen AVG-verplichtingen en NIS2-eisen, zoals supply chain security;
• Schrijven van privacybeleid en bijbehorende procedures, inclusief datalekprocedures;
• Begeleiden van bestuurders en medewerkers via trainingen over privacywetgeving en cybersecurity;
• Uitvoeren van een gap-analyse om te bepalen waar je organisatie staat ten opzichte van de AVG en andere relevante regelgeving.

Wil je weten hoe jouw organisatie ervoor staat? Neem contact met ons op en we kijken samen wat er nodig is.

Lees meer

Wat is een DPIA en wanneer is het verplicht?

Geplaatst op: 4 juni 2026

Een DPIA, of Data Protection Impact Assessment, is een verplichte privacy-risicoanalyse die organisaties moeten uitvoeren voordat ze starten met een gegevensverwerking die waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van betrokkenen. De verplichting is vastgelegd in artikel 35 van de AVG en geldt voor zowel bedrijven als overheidsinstanties. In dit artikel beantwoorden we de meest gestelde vragen over de DPIA: wanneer het verplicht is, wie het moet uitvoeren, wat erin moet staan en wat de gevolgen zijn als je het nalaat.

Wanneer is een DPIA wettelijk verplicht?

Een DPIA is wettelijk verplicht wanneer een verwerking van persoonsgegevens waarschijnlijk een hoog privacyrisico oplevert voor de betrokkenen. Dit is geregeld in artikel 35 van de AVG. De Autoriteit Persoonsgegevens heeft daarnaast een lijst gepubliceerd met verwerkingen waarvoor een DPIA altijd verplicht is, ongeacht de specifieke omstandigheden.

In de praktijk is een DPIA in ieder geval vereist bij:

• Grootschalige verwerking van bijzondere persoonsgegevens, zoals gezondheidsgegevens, biometrische gegevens of gegevens over ras of religie
• Systematische en uitgebreide profilering op basis van persoonsgegevens, inclusief geautomatiseerde besluitvorming met rechtsgevolgen
• Grootschalige en stelselmatige monitoring van openbaar toegankelijke ruimten, bijvoorbeeld via camerabewaking
• Verwerking van persoonsgegevens van kwetsbare groepen, zoals kinderen, patiënten of medewerkers
• Gebruik van nieuwe technologieën waarbij de privacyrisico’s nog niet volledig in kaart zijn gebracht

De AVG schrijft voor dat je de DPIA uitvoert voordat je begint met de verwerking. Een DPIA achteraf uitvoeren is in strijd met de wet en biedt geen bescherming als er iets misgaat.

Welke organisaties moeten een DPIA uitvoeren?

Alle organisaties die persoonsgegevens verwerken en daarbij een hoog risico creëren voor de rechten en vrijheden van betrokkenen, zijn verplicht een DPIA uit te voeren. Dit geldt voor zowel private bedrijven als publieke instellingen, ongeacht hun omvang. De AVG maakt geen uitzondering voor kleine organisaties als de verwerking zelf risicovol is.

Concreet betekent dit dat de DPIA-plicht van toepassing kan zijn op uiteenlopende organisaties:

• Ziekenhuizen en zorginstellingen die medische dossiers verwerken
• HR-afdelingen die personeelsmonitoring of profilering toepassen
• Gemeenten en overheidsinstanties die burgergegevens koppelen of uitwisselen
• Webshops en platformen die op grote schaal gebruikersgedrag analyseren
• Bedrijven die slimme apparaten of sensoren inzetten die continu gegevens verzamelen

Verwerkingsverantwoordelijken zijn primair verplicht de DPIA uit te voeren. Als je als verwerker optreedt voor een andere organisatie, dan rust de plicht op de verwerkingsverantwoordelijke, maar je bent als verwerker wel gehouden alle benodigde informatie te verstrekken. Voor organisaties die actief zijn in sterk gereguleerde sectoren, zoals de overheid of de zorg, gelden bovendien aanvullende kaders. Meer informatie over relevante wet- en regelgeving helpt organisaties inzicht te krijgen in welke verplichtingen op hen van toepassing zijn.

Wat zijn de verplichte onderdelen van een DPIA?

Een DPIA moet minimaal een systematische beschrijving van de verwerking bevatten, een beoordeling van de noodzaak en proportionaliteit, een risicobeoordeling voor de rechten en vrijheden van betrokkenen, en een beschrijving van de maatregelen om die risico’s te beheersen. Dit zijn de vier kernelementen die de AVG voorschrijft in artikel 35, lid 7.

In de praktijk werkt een volledige DPIA dit als volgt uit:

1. Beschrijving van de verwerking: Wat wordt verwerkt, met welk doel, door wie, hoe lang en op welke technische wijze?
2. Noodzakelijkheid en proportionaliteit: Is de verwerking noodzakelijk voor het beoogde doel? Zijn er minder ingrijpende alternatieven?
3. Risicobeoordeling: Welke risico’s brengt de verwerking mee voor betrokkenen, en hoe groot is de kans dat deze risico’s zich voordoen?
4. Beheersmaatregelen: Welke technische en organisatorische maatregelen worden genomen om de geïdentificeerde risico’s te verminderen?
5. Raadpleging van betrokkenen: Zijn de belangen van betrokkenen meegewogen, en is er indien nodig overleg geweest?
6. Advies van de Functionaris Gegevensbescherming (FG): Als de organisatie een FG heeft, is diens advies een verplicht onderdeel van het proces.

Als na de DPIA blijkt dat de risico’s niet voldoende beheersbaar zijn, moet de verwerkingsverantwoordelijke voorafgaand overleg voeren met de Autoriteit Persoonsgegevens. Dit heet een voorafgaande raadpleging en is eveneens wettelijk vastgelegd in de AVG.

Wat is het verschil tussen een DPIA en een PIA?

Een DPIA en een PIA zijn in de kern hetzelfde instrument: beide zijn methoden om privacyrisico’s van een verwerking in kaart te brengen voordat die verwerking start. Het verschil zit in de terminologie en de juridische status. Een PIA (Privacy Impact Assessment) is de informele, internationale benaming die al bestond vóór de AVG. Een DPIA is de officiële term uit de AVG en heeft een wettelijk verplicht karakter.

In de praktijk wordt de term PIA nog veel gebruikt, met name in Angelsaksische landen en in oudere beleidsdocumenten. Wanneer een Nederlandse organisatie spreekt over een privacy impact assessment, bedoelt men doorgaans dezelfde analyse als een DPIA. Het onderscheid is dus vooral terminologisch, niet inhoudelijk.

Wel is het belangrijk om te beseffen dat een PIA die vóór de invoering van de AVG is uitgevoerd, niet automatisch voldoet aan de huidige DPIA-eisen. De AVG stelt specifieke eisen aan de inhoud, het proces en de documentatie die oudere PIA-methodieken mogelijk niet volledig dekken. Als je beschikt over een bestaande PIA, is het verstandig te toetsen of deze nog voldoet aan de huidige wettelijke vereisten.

Hoe lang is een DPIA geldig en wanneer moet je hem herhalen?

Een DPIA heeft geen vaste geldigheidsduur. De AVG schrijft voor dat een DPIA periodiek wordt herzien en in ieder geval opnieuw wordt uitgevoerd wanneer er een wijziging optreedt in de verwerking die nieuwe of hogere risico’s kan meebrengen. In de praktijk hanteren veel organisaties een herziening elke twee tot drie jaar als uitgangspunt, maar de concrete aanleiding is leidend.

Een DPIA moet in ieder geval worden herhaald of herzien bij:

• Wijzigingen in het doel of de reikwijdte van de verwerking
• Introductie van nieuwe technologie of systemen die betrokken zijn bij de verwerking
• Veranderingen in de categorie of het volume van verwerkte persoonsgegevens
• Nieuwe inzichten over risico’s, bijvoorbeeld door een datalek of incident
• Wijzigingen in wet- en regelgeving die de beoordeling beïnvloeden
• Feedback van de Functionaris Gegevensbescherming of de toezichthouder

Een DPIA is daarmee geen eenmalig document, maar een levend instrument dat meegroeit met de organisatie en haar verwerkingen. Het is verstandig om de DPIA op te nemen in de reguliere beleidscyclus, zodat herziening structureel geborgd is en niet afhankelijk is van ad-hocmomenten.

Wat zijn de gevolgen als je geen DPIA uitvoert?

Als een organisatie nalaat een verplichte DPIA uit te voeren, kan de Autoriteit Persoonsgegevens een boete opleggen van maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Naast de financiële sanctie loopt de organisatie ook reputatieschade en operationele risico’s, omdat de onderliggende privacyrisico’s onbeheerst blijven.

De gevolgen zijn niet alleen financieel van aard. Wanneer een organisatie geen DPIA heeft uitgevoerd terwijl dat verplicht was, en er vervolgens een datalek of privacyincident optreedt, kan dit de aansprakelijkheid van de organisatie aanzienlijk vergroten. Betrokkenen kunnen schadevergoeding eisen als zij aantonen dat hun rechten zijn geschonden door een onzorgvuldige verwerking.

Voor overheidsorganisaties en organisaties die onder aanvullende regelgeving vallen, zoals NIS2, zijn de risico’s nog groter. NIS2 vereist dat organisaties aantoonbaar cybersecurityrisico’s beheersen en incidenten melden. Een ontbrekende DPIA kan bij een toezichtonderzoek als bewijs dienen dat de organisatie haar verplichtingen niet serieus neemt, wat kan leiden tot aanvullende handhavingsmaatregelen.

Tot slot is er het risico van reputatieschade. Klanten, partners en burgers verwachten dat organisaties zorgvuldig omgaan met persoonsgegevens. Een publiekelijk bekende overtreding van de DPIA-plicht kan het vertrouwen ernstig beschadigen, met langdurige gevolgen voor de relatie met stakeholders.

Hoe Q-Cyber helpt met DPIA en privacy compliance

Een DPIA uitvoeren vergt meer dan het invullen van een checklist. Het vraagt om inzicht in de technische architectuur van een verwerking, kennis van de toepasselijke wet- en regelgeving én het vermogen om risico’s concreet te vertalen naar beheersmaatregelen. Precies daar onderscheiden wij ons.

Wij ondersteunen organisaties bij het volledige DPIA-traject:

• Inventarisatie en scope: We brengen in kaart welke verwerkingen een DPIA vereisen en stellen prioriteiten op basis van risico
• Uitvoering van de DPIA: We begeleiden het proces van beschrijving tot risicobeoordeling en maatregeladvies, volledig in lijn met de AVG
• Beleidsvorming: We schrijven of herzien privacybeleid zodat het aansluit op de uitkomsten van de DPIA en voldoet aan geldende normen
• Koppeling met NIS2: We verbinden de DPIA-uitkomsten aan de bredere cybersecurity- en complianceverplichtingen van uw organisatie, waaronder NIS2
• Trainingen: We verzorgen trainingen voor bestuurders en medewerkers zodat privacy en beveiliging structureel zijn ingebed in de organisatie

Wij werken onafhankelijk, zonder binding aan softwarepartijen of andere toeleveranciers, zodat ons advies altijd in uw belang is. Wil je weten hoe we uw organisatie kunnen helpen? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer