De eerste reactie moet feiten vaststellen, mensen beschermen en het vertrouwen in de onderneming intact houden.
Maandagochtend om 9.12 uur vertelt een medewerker de oprichter dat een spreadsheet naar de verkeerde klant is gestuurd. Mogelijk staan er namen, adressen en bankgegevens in. De ontvanger heeft niet gereageerd. De IT-leverancier wil dat er een supportticket wordt aangemaakt. De klant van wie de gegevens zijn betrokken, verwacht een telefoontje.
Zo komt een datalek vaak een klein bedrijf binnen. Niet via een spectaculaire aanval, maar door een alledaagse handeling die plotseling om juridisch oordeel, technische feiten en commercieel tactgevoel vraagt. De klok begint te lopen terwijl mensen nog proberen vast te stellen wat er is gebeurd.
Volgens de AVG moet een meldplichtig datalek binnen 72 uur nadat de verwerkingsverantwoordelijke ervan op de hoogte is geraakt, worden gemeld bij de Autoriteit Persoonsgegevens. Een melding is niet nodig als een risico voor de rechten en vrijheden van mensen onwaarschijnlijk is. Elk datalek moet wel intern worden gedocumenteerd.
Het eerste besluit kan niet wachten op volledige zekerheid
De wet verlangt niet dat een forensisch onderzoek is afgerond voordat het management een eerste beoordeling van de meldplicht maakt. Volgens de richtlijnen van de Rijksoverheid mag informatie gefaseerd worden aangeleverd als de eerste feiten nog onvolledig zijn, zolang de resterende informatie zonder onnodige vertraging volgt en eventueel uitstel wordt toegelicht.
Dat onderscheid is belangrijk. Wachten op zekerheid kan de meldingstermijn opslokken. Melden op basis van beperkte feiten kan verwarring veroorzaken. De werkelijke discipline ligt tussen die uitersten: vaststellen wat bekend is, benoemen wat nog onzeker is, het incident beperken en de onderbouwing van ieder besluit bewaren.
Daarna volgen twee afzonderlijke vragen. Melding bij de toezichthouder hangt af van het waarschijnlijke risico voor de betrokken personen. Voor rechtstreekse communicatie met die personen geldt de hogere drempel van een waarschijnlijk hoog risico. Het ene besluit geeft niet automatisch antwoord op het andere.
Ik beschouw de termijn van 72 uur als een test van eigenaarschap. Wie is bevoegd om het incident te beoordelen? Wie kan de toegangslogboeken opvragen? Wie neemt contact op met de softwareleverancier? Wie spreekt met de klant? Wie legt vast waarom het management wel heeft gemeld, of waarom het tot de conclusie kwam dat een melding niet nodig was?
IT uitbesteden is niet hetzelfde als verantwoordelijkheid uitbesteden
De oprichter uit onze maandagochtendscène beschikt misschien over een bekwame IT-leverancier. Die kan een account blokkeren, logboeken ophalen of bevestigen dat een apparaat versleuteld was. De leverancier neemt daarmee niet automatisch de juridische rol van het bedrijf of de relatie met klanten over.
Het onderscheid tussen verwerkingsverantwoordelijke en verwerker wordt hier concreet. Een verwerkingsverantwoordelijke bepaalt waarom en hoe persoonsgegevens worden verwerkt. Een verwerker verwerkt die gegevens namens de verwerkingsverantwoordelijke. Een kleine salarisverwerker, webbouwer of adviseur kan klantgegevens als verwerker behandelen en tegelijk verwerkingsverantwoordelijke zijn voor de gegevens van eigen medewerkers en verkoopcontacten.
Eén incident kan daardoor verschillende routes openen. De verwerker moet zijn klant zonder onredelijke vertraging informeren. De klant kan vervolgens beoordelen of een melding bij de Autoriteit Persoonsgegevens nodig is. Contracten kunnen kortere escalatietermijnen voorschrijven of om specifieke bewijsstukken vragen. Het management moet voor iedere betrokken gegevensverzameling weten welke rol het bedrijf vervult.
Hier raakt compliance aan de kasstroom. Medewerkers onderbreken declarabel werk om de gebeurtenissen te reconstrueren. Externe specialisten kunnen nodig zijn. Facturen blijven liggen terwijl klanten vragen stellen. Gesprekken over contractverlenging worden moeilijker als het bedrijf niet kan uitleggen welke systemen betrokken waren, welke onderaannemers toegang hadden en wat er is gedaan om de schade te beperken.
Ook het alledaagse incident verdient serieuze aandacht
Het CBS registreerde in 2024 37.800 meldingen van datalekken bij de Autoriteit Persoonsgegevens, tegenover 25.700 in 2023. Deze cijfers tellen meldingen en niet noodzakelijk afzonderlijke incidenten, omdat vergelijkbare gebeurtenissen gezamenlijk kunnen worden gemeld. Ze laten niettemin zien hoe omvangrijk de administratieve reactie op problemen met persoonsgegevens is.
Het bredere cyberbeeld is alledaagser dan het populaire beeld van een deskundige hacker. In het CBS-onderzoek over 2024 meldde 23 procent van de bedrijven met ten minste twee werkzame personen phishing of spoofing. Slechts 1 procent meldde een van buitenaf veroorzaakt datalek of manipulatie van gegevens.
Een verdachte betaalmail, een gekraakte mailbox of het account van een leverancier kan dus het begin zijn. De privacyvraag komt later, wanneer het bedrijf ontdekt dat persoonsgegevens zijn ingezien, gewijzigd, verstrekt of ontoegankelijk gemaakt.
Kleine bedrijven hebben doorgaans ook minder beschermingslagen. In 2025 had 13 procent van de bedrijven met twee tot tien werkzame personen ten minste tien van de twaalf door het CBS onderzochte cybersecuritymaatregelen ingevoerd. Bij bedrijven met ten minste 250 werkzame personen was dat 86 procent. Deze maatstaf betreft algemene weerbaarheid en niet juridische naleving. Hij laat zien hoe ongelijk bedrijven in staat zijn om druk op te vangen.
AI maakt de leveranciersketen minder zichtbaar
Dezelfde beheersingsvraag geldt inmiddels voor het dagelijkse gebruik van AI. Het CBS meldde dat 13,8 procent van de microbedrijven met twee tot negen werkzame personen in 2025 ten minste één van de onderzochte AI-technologieën gebruikte. Onder microbedrijven die AI gebruikten, was commerciële software de meest voorkomende route.
De blootstelling kan verscholen zitten in een toepassing voor marketing, administratie of klantenservice die medewerkers al gebruiken. Persoonsgegevens invoeren in een AI-tool is verwerking. De relevante vragen zijn concreet: welke informatie is in de tool ingevoerd, via welk account, met welk doel en onder welke voorwaarden van de leverancier?
Terug bij het overleg op maandagochtend is het sterkste bedrijf niet per se het bedrijf met het grootste beveiligingsbudget. Het is het bedrijf dat snel de gegevens, het systeem, de ontvanger, de klant en de eigenaar van het besluit kan aanwijzen. Het incidentenregister legt vast wat er is gebeurd, wat de waarschijnlijke gevolgen zijn, welke beheersmaatregelen zijn genomen en welke afweging achter externe communicatie ligt.
Een nuttige oefening begint bij het eerste uur. Kan iemand bewijs veiligstellen voordat accounts worden gereset? Is er vervanging geregeld als de gebruikelijke beslisser afwezig is? Kan het bedrijf zijn cloud-, salaris- en IT-leveranciers snel bereiken? Kennen medewerkers één duidelijke route voor het melden van een verloren apparaat, een verkeerd verzonden e-mail of een verdachte inlogpoging?
Het Nederlandse bedrijfsleven beweegt naar een eenvoudige verwachting: als er iets misgaat, moet het management nog steeds betrouwbaar verantwoording kunnen afleggen. De klok van 72 uur maakt daar deel van uit, maar de diepere kwestie is vertrouwen. Een beheerste en gedocumenteerde reactie beschermt mensen, ondersteunt het juridische oordeel en laat klanten zien dat verantwoordelijkheid niet verdween toen zekerheid ontbrak.
Als uw organisatie meer duidelijkheid nodig heeft over rollen en besluiten bij datalekken, kunt u Pavan Geraedts benaderen voor praktisch advies.
De data, bronnen en analyse achter dit artikel zijn uitgevoerd door Paolo Maria Pavan. AI is niet gebruikt om bronnen te identificeren, de feitelijke basis op te bouwen of het analytische oordeel te vormen. AI is alleen gebruikt als schrijfhulp. De uiteindelijke Nederlandse tekst is persoonlijk beoordeeld, bewerkt en goedgekeurd door Paolo Maria Pavan vóór publicatie.
Bronnen
- Datalek melden en voorkomen | Ondernemersplein
- Rijksoverheid - What the 72-hour clock does and does not settle
- CBS - Breach reporting volume versus business incident prevalence
- CBS - Small-firm resilience gap
- CBS - AI use through commercial software and personal-data exposure
- Ondernemersplein - Separate incident clocks for entities in scope of the Cyberbeveiligingswet
- Rijksoverheid - Handleiding Algemene verordening gegevensbescherming
- Ondernemersplein - Slachtoffer van cybercrime
