Medewerkers kunnen niet meer inloggen, bestanden zijn onbereikbaar en klanten willen weten wat er aan de hand is. Op zo’n moment telt iedere minuut. De gevolgen van een cyberincident worden niet alleen bepaald door de aanval, maar vooral door hoe goed je bedrijf is voorbereid. Wie neemt de leiding, wie schakel je in en welke systemen moeten als eerste worden hersteld?
Wat gebeurt er tijdens een cyberincident?
Bij een cyberincident raken digitale systemen, gegevens of diensten verstoord. In het begin is vaak nog onduidelijk of je te maken hebt met een gewone storing of een aanval. De oorzaak kan bovendien buiten je bedrijf liggen, bijvoorbeeld bij een softwareleverancier. Totdat er meer duidelijkheid is, moet je de situatie serieus nemen en snel laten onderzoeken.
Waarom snel handelen belangrijk is
In de eerste minuten weet je vaak nog niet wat er precies speelt. Toch is snel reageren belangrijk. Medewerkers moeten verdachte activiteiten direct melden via de afgesproken route. Hoe eerder specialisten het incident kunnen onderzoeken, hoe groter de kans dat verdere verspreiding en schade beperkt blijven. Tip: Leg de voorbereiding vast in een cyber-noodplan: een compact overzicht van de afspraken en contactgegevens die je tijdens een incident nodig hebt. Aan het einde van dit artikel lees je hoe je zo’n plan op één A4 zet.
Wat zijn de eerste stappen na een cyberincident?
De precieze aanpak hangt af van het soort incident. Een gehackt e-mailaccount vraagt om andere maatregelen dan ransomware of een aanval op meerdere systemen. De eerste stappen zijn in grote lijnen wel hetzelfde.
1. Stop met werken en meld het incident
Laat de medewerker niet verder werken op het mogelijk getroffen apparaat. Open geen bestanden of programma’s meer, log niet opnieuw in en start de computer niet opnieuw op. Meld het incident direct bij de aangewezen contactpersoon. Gebruik daarvoor zo nodig een telefoon of ander apparaat.
2. Schakel technische hulp in
De aangewezen contactpersoon neemt direct contact op met de IT-beheerder, cybersecurityspecialist of storingsdienst. Zorg dat de telefoonnummers ook op papier beschikbaar zijn. Mogelijk werkt je e-mail of digitale contactenlijst niet.
3. Voorkom verdere verspreiding
Volg de aanwijzingen van de ingeschakelde specialist. Het kan nodig zijn om getroffen computers, accounts of delen van het netwerk tijdelijk af te sluiten. Zet apparaten niet zomaar uit en verwijder geen bestanden of meldingen. Daarmee kunnen digitale sporen verloren gaan die nodig zijn voor onderzoek en herstel.
4. Houd bij wat er gebeurt
Noteer wanneer het incident is ontdekt, welke signalen zichtbaar waren en welke acties zijn uitgevoerd. Leg ook vast welke systemen en gebruikersaccounts mogelijk zijn geraakt. Deze informatie helpt specialisten bij hun onderzoek en kan later nodig zijn voor een melding bij de Autoriteit Persoonsgegevens of een aangifte bij de politie.
Wanneer moet je een datalek melden? Controleer of persoonsgegevens verloren zijn gegaan, niet meer bereikbaar zijn of in verkeerde handen zijn gekomen. Kan dit nadelige gevolgen hebben voor de mensen om wie het gaat? Meld het datalek dan binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens. Leg ieder datalek ook vast in je eigen datalekregister, zelfs wanneer een melding niet nodig is. Bekijk bij twijfel de uitleg van de Autoriteit Persoonsgegevens.
Wie doet wat tijdens een cyberincident?
Voor een goede taakverdeling heb je geen uitgebreid crisisteam nodig. Bij veel mkb-bedrijven kan een klein team de aanpak coördineren, samen met de eigen IT-partner en eventueel externe cyberexperts. Leg vooraf vast wie beslissingen neemt, wie het technische werk uitvoert en wie medewerkers en klanten informeert.
Wie neemt de leiding?
Wijs één persoon aan die de aanpak coördineert. Een Cyber Hulpverlener (CHV’er) is hiervoor een logische keuze, maar ook de ondernemer of een manager kan deze taak op zich nemen. De aangewezen persoon vervult tijdens een cyberincident de rol van incidentcoördinator. Medewerkers melden het incident bij deze coördinator. Die bepaalt welke interne of externe specialisten nodig zijn en begeleidt de aanpak. Technische kennis of kennis van privacywetgeving is voor deze rol niet vereist; daarvoor worden deskundigen ingeschakeld.
Wie onderzoekt en herstelt de systemen?
Bij veel mkb-bedrijven begint het technische onderzoek bij de eigen IT-beheerder of IT-leverancier. Deze brengt in kaart welke systemen zijn geraakt en welke maatregelen nodig zijn om verdere schade te beperken.
Controleer de afspraken met je IT-partner
Niet iedere IT-partner kan een grote cyberaanval onderzoeken en afhandelen. Daarvoor is mogelijk een gespecialiseerd cybersecuritybedrijf nodig. Pak daarom het contract of de Service Level Agreement (SLA) van je IT-partner erbij. Controleer welke incidenthulp is inbegrepen, welke reactietijd is afgesproken en of er buiten kantooruren een storingsnummer beschikbaar is. Vraag ook wie het herstel uitvoert en welke extra kosten daarbij kunnen ontstaan. Leg de gemaakte afspraken en contactgegevens vast in je cyber-noodplan.
Regel gespecialiseerde ondersteuning vooraf
Met de Basischeck Cyberweerbaarheid van onze kennispartner Interpolis ontdek je waar de kwetsbaarheden, zwakke plekken en beveiligingsrisico's in je systemen zitten. Door de cyberchecks weet je wat goed gaat én wat je kunt verbeteren.
Wie regelt de communicatie?
De incidentcoördinator kan ook de communicatie met medewerkers en klanten verzorgen. Dat kan dus de CHV’er zijn, maar ook de ondernemer of een manager. Een groter bedrijf kan hiervoor een communicatiemedewerker inschakelen. Spreek vooraf af wie informatie naar buiten mag brengen. Stem de inhoud af met de technische specialisten en deel alleen informatie die op dat moment is bevestigd. Een privacydeskundige of jurist kan helpen bij meldingen aan instanties en het informeren van mensen van wie persoonsgegevens zijn geraakt.
Welke systemen moeten als eerste worden hersteld?
Tijdens een cyberincident wil je waarschijnlijk alles zo snel mogelijk weer online krijgen. Door vooraf je cyberrisico’s in kaart te brengen, weet je welke processen en digitale kroonjuwelen voorrang verdienen. Gebruik die uitkomsten om samen met je IT-partner een herstelvolgorde vast te leggen.
De technische herstelvolgorde kan afwijken van je zakelijke prioriteiten. Mogelijk moeten eerst onderliggende systemen worden hersteld voordat een belangrijke applicatie weer veilig kan draaien. Laat je IT- of cybersecurityspecialist daarom bepalen hoe het herstel technisch wordt uitgevoerd. Systemen mogen pas weer online wanneer het incident onder controle is en de omgeving veilig is verklaard.
Hoe houd je je bedrijf draaiende tijdens een cyberincident?
Richt je eerst op de werkzaamheden die echt moeten doorgaan. Activeer de noodoplossingen uit je cyberrisicoanalyse, zoals een papieren planning of een alternatief telefoonnummer. Laat medewerkers alleen werken met systemen en werkwijzen die door de incidentcoördinator of technische specialist zijn goedgekeurd. Gebruik geen privé-e-mail, persoonlijke cloudopslag of onbekende apparaten om snel weer aan het werk te gaan. Daarmee kunnen bedrijfsgegevens buiten de beveiligde omgeving terechtkomen.
Blijf communiceren
Vertel medewerkers welke systemen ze mogen gebruiken en wanneer ze een nieuwe update krijgen. Informeer klanten zodra het incident gevolgen heeft voor afspraken, bestellingen of bereikbaarheid. Deel alleen bevestigde informatie en geef duidelijk aan wat klanten kunnen verwachten. Een korte, eerlijke update helpt om vertrouwen te behouden.
Maak een cyber-noodplan op één A4
Breng de belangrijkste afspraken samen in een cyber-noodplan van één pagina. Houd het kort en praktisch, zodat je tijdens een cyberincident niet door een uitgebreid document hoeft te zoeken. Zet in het plan:
wie het incident coördineert;
welke IT-partner of cyberexpert je belt;
wat medewerkers als eerste moeten doen;
welke systemen bij herstel voorrang krijgen;
hoe je tijdelijk blijft doorwerken;
wie medewerkers en klanten informeert.
Neem ook de telefoonnummers van leveranciers en andere externe hulpverleners op. Noteer bij iedere contactpersoon wie je buiten kantooruren kunt bereiken.
Bewaar en oefen het plan
Bewaar het cyber-noodplan niet alleen digitaal. Leg ook een geprinte versie op een vaste plek, zodat het beschikbaar blijft wanneer je systemen niet werken. Neem het plan minimaal één keer per jaar met je medewerkers door. Gebruik een herkenbaar incident en controleer of iedereen weet wat er moet gebeuren. Werk het plan ook bij na veranderingen in je software, leveranciers of contactpersonen. Zo voorkom je kostbaar zoekwerk op het moment dat iedere minuut telt.
