Het aantal datalekmeldingen bij de Autoriteit Persoonsgegevens steeg in 2025 naar 39.407, tegenover 37.839 een jaar eerder. Bij 2.428 meldingen lag een cyberaanval aan de basis. Cyberverzekeraar Stoïk zet vier kostenposten op een rij die volgens het bedrijf vaak buiten beeld blijven.
De directe schade van een gehackte mailbox of een ransomwareaanval is meestal wel duidelijk, maar de nasleep niet. Processen liggen stil, vaste kosten lopen door en de bedrijfscontinuïteit komt onder druk te staan. Robert Spaan, Country Manager Nederland bij Stoïk, benoemt vier posten die bij mkb-bedrijven regelmatig worden onderschat.
De eerste is stilstand. Medewerkers komen immers niet meer bij systemen, dienstverlening vertraagt, productie en leveringen vallen weg. Stoïk schat de gemiddelde schade voor een bedrijf met 25 miljoen euro omzet op 58.000 tot 92.000 euro, afhankelijk van de sector. Dat geldt volgens het bedrijf zelfs als de incidentrespons binnen een uur al op gang komt.
Onderzoek duurt langer dan herstart
De tweede post zit in onderzoek en heropbouw. Voordat systemen veilig terug online kunnen, moet duidelijk zijn hoe aanvallers binnenkwamen en wat er is precies is gecompromitteerd. Bij de ransomware-incidenten die Stoïk in 2025 behandelde duurde het onderzoek gemiddeld 10,3 dagen en de heropbouw gemiddeld 18 dagen. De werklast voor die heropbouw nam met 23,4 procent toe, terwijl onderzoekers 49,5 procent meer tijd kwijt waren.
Die cijfers sluiten aan bij internationale data. Volgens het eerder gepubliceerde Cost of a Data Breach Report 2025 van IBM ligt de gemiddelde levensduur van een datalek op 241 dagen en zakten de wereldwijde gemiddelde kosten naar 4,44 miljoen dollar. De AP kwam eerder uit op schadebedragen van ruim 100.000 euro bij ransomware, met uitschieters oplopend tot tonnen.
Reputatie en juridische afhandeling
Post drie is reputatieschade, iets wat een steeds grotere rol gaat spelen. Criminelen stelen data, dreigen met publicatie of benaderen klanten en leveranciers rechtstreeks om druk op te voeren. Ook na technisch herstel blijven er dus vragen te beantwoorden.
De vierde post is de juridische afhandeling. Zijn er persoonsgegevens betrokken, dan speelt de AVG een rol en moet een organisatie beoordelen of melding nodig is. Bij hoog risico moeten betrokkenen worden geïnformeerd. Voor bedrijven onder de Cyberbeveiligingswet gelden aanvullende eisen. In België loopt dat via NIS2: een eerste melding binnen 24 uur, een incidentrapport binnen 72 uur en daarna een eindrapport bij het CCB. Eerder meldde ICT Magazine al dat kleinere bedrijven niet klaar zijn voor die eisen.
Uit het IBM-onderzoek blijkt dat organisaties met een getraind incidentresponsteam en een regelmatig getest plan lagere kosten rapporteren. Stoïk adviseert bedrijfskritische processen in kaart te brengen, verantwoordelijkheden vast te leggen en back-ups en crisisplannen periodiek te testen.