Cybersecurity, hacks & datalekken

Cybersecurity, hacks & datalekken

Cyberaanvallen komen steeds vaker voor. Niet alleen grote organisaties worden getroffen, maar juist ook mkb-bedrijven, familiebedrijven en start-ups. Eén verkeerde klik op een phishingmail of een kwetsbaarheid in een systeem kan al leiden tot grote financiële schade, stilstand van de onderneming en verlies van belangrijke gegevens.

Juist in de eerste uren na een cyberincident moeten vaak belangrijke beslissingen worden genomen. Is sprake van een datalek? Moet je dit melden bij de Autoriteit Persoonsgegevens? Ben je verplicht om klanten of medewerkers te informeren? En wie is aansprakelijk voor de schade?

Op deze pagina lees je welke juridische gevolgen een cyberincident kan hebben en welke stappen je als ondernemer kunt zetten.

→ Meer over privacyrecht

Wat is een cyberincident?​

Een cyberincident is een gebeurtenis waarbij de beveiliging van jouw IT-systemen of gegevens wordt aangetast. Dat kan verschillende oorzaken hebben en hoeft niet altijd het gevolg te zijn van een gerichte hack.

Veel voorkomende cyberincidenten zijn:

• ransomware;
• phishing;
• malware;
• hacking;
• CEO-fraude;
• ongeautoriseerde toegang tot systemen;
• verlies of diefstal van apparaten;
• verkeerd verzonden persoonsgegevens.

Niet ieder cyberincident leidt automatisch tot een datalek, maar dat moet wel altijd zorgvuldig worden beoordeeld.

Wat is een datalek?

Van een datalek is sprake wanneer persoonsgegevens verloren gaan, worden vernietigd of toegankelijk worden voor onbevoegden.

Dat kan bijvoorbeeld gebeuren door:

• een ransomware-aanval;
• een hack;
• een gestolen laptop;
• een verloren telefoon;
• een verkeerd geadresseerde e-mail;
• een onbeveiligde cloudomgeving;
• een menselijke fout.

Veel ondernemers denken dat alleen een grote cyberaanval een datalek oplevert. In de praktijk ontstaan datalekken juist regelmatig door alledaagse fouten binnen de organisatie.

Mijn onderneming is gehackt. Wat nu?

Een hack zorgt vaak voor veel onrust. Toch is het belangrijk om niet direct overhaast te handelen. De eerste uren na een cyberincident zijn vaak bepalend voor de verdere afhandeling.

Belangrijke eerste stappen zijn onder meer:

• verdere schade beperken;
• systemen veiligstellen;
• de oorzaak onderzoeken;
• vastleggen wat er is gebeurd;
• beoordelen welke gegevens zijn getroffen;
• nagaan of persoonsgegevens betrokken zijn;
• beoordelen of een meldplicht geldt.

Technisch onderzoek en juridische beoordeling lopen daarbij vaak hand in hand.

Wanneer moet je een datalek melden?

Niet ieder datalek hoeft te worden gemeld bij de Autoriteit Persoonsgegevens. Wel moet iedere organisatie beoordelen of het incident waarschijnlijk een risico oplevert voor de rechten en vrijheden van betrokkenen. Daarbij spelen onder meer een rol:

• welke persoonsgegevens zijn getroffen;
• hoeveel personen zijn betrokken;
• of gegevens zijn versleuteld;
• de kans op identiteitsfraude;
• mogelijke financiële of reputatieschade.

In sommige gevallen moeten niet alleen de Autoriteit Persoonsgegevens, maar ook de betrokken personen worden geïnformeerd. Een zorgvuldige beoordeling is daarom essentieel.

Wie is aansprakelijk na een cyberincident?

Na een cyberincident ontstaat regelmatig discussie over de vraag wie verantwoordelijk is voor de ontstane schade. Dat kan bijvoorbeeld gaan om:

• een softwareleverancier;
• een IT-dienstverlener;
• een hostingpartij;
• een cloudprovider;
• een werknemer;
• de onderneming zelf.

Of daadwerkelijk sprake is van aansprakelijkheid hangt af van de gemaakte afspraken, de beveiligingsmaatregelen en de omstandigheden van het geval. Juist daarom is het belangrijk om contracten en verantwoordelijkheden goed in kaart te brengen.

Ransomware: betalen of niet?

Ransomware is één van de meest voorkomende vormen van cybercriminaliteit. Daarbij worden bestanden versleuteld en eisen criminelen losgeld om de gegevens weer toegankelijk te maken. Ondernemers vragen zich dan vaak af:

• Moet ik het losgeld betalen?
• Is betaling juridisch toegestaan?
• Is sprake van een datalek?
• Welke gevolgen heeft dit voor mijn onderneming?
• Wat vergoedt mijn cyberverzekering?

Iedere situatie vraagt om een afzonderlijke beoordeling. Een standaardoplossing bestaat niet.

Cybersecurity begint vóór een incident

Een cyberincident laat zich niet altijd voorkomen. Wel kun je de gevolgen aanzienlijk beperken door vooraf goede maatregelen te nemen. Denk bijvoorbeeld aan:

• duidelijke afspraken met IT-leveranciers;
• actuele IT-contracten;
• een incidentresponsplan;
• een protocol voor datalekken;
• periodieke back-ups;
• bewustwording onder medewerkers;
• passende beveiligingsmaatregelen.

Goede voorbereiding verkleint niet alleen de kans op schade, maar helpt ook om sneller en zorgvuldiger te handelen wanneer zich een incident voordoet.

Wanneer schakel je juridisch advies in?

Juridisch advies is verstandig zodra sprake is van een cyberincident of wanneer je vooraf risico’s wilt beperken. Dat geldt bijvoorbeeld:

• na een hack;
• bij een ransomware-aanval;
• bij een datalek;
• wanneer de Autoriteit Persoonsgegevens vragen stelt;
• bij aansprakelijkheidskwesties;
• bij het opstellen van een incidentresponsplan;
• bij IT-contracten;
• bij cybersecurityvraagstukken.

Door snel juridisch advies in te winnen, kunnen veel risico’s worden beperkt en voorkom je dat belangrijke stappen over het hoofd worden gezien.

Neem contact op

Heb je te maken met een hack, ransomware of een (mogelijk) datalek? Of wil je weten welke verplichtingen voor jouw organisatie gelden?

Wij adviseren ondernemers bij cyberincidenten, privacyvraagstukken en IT-rechtelijke geschillen. Daarbij kijken wij niet alleen naar de juridische verplichtingen, maar ook naar een praktische aanpak die past bij jouw onderneming.

Neem gerust contact met ons op voor een vrijblijvend gesprek.

Veelgestelde vragen