Een datalek in je bedrijf: wat doe je in de eerste 72 uur?

Ontdek je een datalek, dan doe je drie dingen in deze volgorde: het lek dichten, inschatten wat het risico is voor de mensen om wie het gaat, en dan pas beslissen of je moet melden. Is er een risico voor die mensen, dan meld je het bij de Autoriteit Persoonsgegevens (AP) binnen 72 uur nadat je het ontdekte. Is dat risico onwaarschijnlijk, dan hoef je niet te melden, maar leg je het lek wél vast in je eigen datalekregister. Die registratieplicht geldt altijd, ook voor het kleinste incident dat je niet meldt.

De klok begint te lopen op het moment dat je het lek ontdekt, niet op het moment dat je precies weet wat er is gebeurd. Dat is een belangrijk verschil, want die twee momenten liggen zelden dicht bij elkaar.

Wat telt eigenlijk als datalek?

Ruimer dan de meeste mensen denken. Een datalek is elke inbreuk op de beveiliging waarbij persoonsgegevens verloren gaan of in verkeerde handen komen. Het NCSC onderscheidt drie soorten: gegevens die onbedoeld bij een ander terechtkomen, gegevens die ongewild veranderd worden, en gegevens die niet meer beschikbaar zijn.

Die laatste categorie verrast ondernemers het vaakst. Een ransomware-aanval die je klantenbestand versleutelt is een datalek, ook als er niets naar buiten is gelekt, simpelweg omdat jij niet meer bij de gegevens kunt. Verder in het rijtje van dagelijkse gevallen: een mail met een cc in plaats van een bcc naar honderd klanten, een verloren telefoon zonder pincode, een gehackt mailaccount, een verkeerd meegestuurde bijlage, een papieren dossier dat in de trein blijft liggen. Niet elk incident is meldplichtig. Elk incident hierboven is wel een datalek.

Wat doe je in het eerste uur?

Stop eerst de bloeding, en bewaar ondertussen wat je later nodig hebt.

Sluit de toegang af. Bij een gehackt account: wachtwoord wijzigen, alle actieve sessies uitloggen (elke grote dienst heeft daar een knop voor) en tweestapsverificatie aanzetten als dat nog niet aan stond. Bij een verkeerd verstuurde mail: probeer intrekken als je in dezelfde organisatie zit, en accepteer anders dat hij weg is. Bij ransomware: koppel het besmette apparaat los van het netwerk voordat je iets anders doet.

Zet daarna in een document wat je weet. Hoe laat je het ontdekte, hoe je erachter kwam, welke gegevens het betreft, van hoeveel mensen ongeveer, en wat je al hebt gedaan. Dat klinkt bureaucratisch op het slechtste moment van je week, maar over 48 uur ben je de helft vergeten en dat document is precies wat het meldformulier van je vraagt.

En bel niet meteen alle klanten. Dat komt later in het proces, en dan wel doordacht.

Moet je elk datalek melden bij de AP?

Nee. De regel is dat je meldt tenzij het onwaarschijnlijk is dat het lek een risico oplevert voor de rechten en vrijheden van de betrokkenen. De AP heeft daar een aparte pagina over, en het woord “onwaarschijnlijk” doet daarin veel werk. Het is geen ruimte om jezelf gerust te stellen.

Wat de inschatting stuurt: om wat voor gegevens gaat het (een zakelijk mailadres is iets anders dan een BSN, een medisch gegeven of een wachtwoord), hoeveel mensen zijn er geraakt, wie heeft de gegevens nu, en wat kan iemand ermee aanvangen. Een mail met een openbaar bedrijfsadres naar de verkeerde collega is aan de onschuldige kant. Een geëxporteerd klantenbestand met adressen en geboortedata dat bij een onbekende terechtkomt, is dat niet.

Bij echte twijfel is melden de veilige keuze, en het NCSC adviseert dat ook met zoveel woorden. Een melding is geen bekentenis van nalatigheid en leidt niet automatisch tot een boete. Niet melden terwijl het wel moest, is een overtreding op zichzelf.

Hoe meld je het?

Via het meldloket op de site van de AP. Je vult daar het meldformulier in met wat er is gebeurd, welke gegevens het betreft, hoeveel mensen het raakt, wat de mogelijke gevolgen zijn en welke maatregelen je hebt genomen. Je hebt er een account voor nodig, dus dat is niet iets wat je op het laatste uur van dag drie nog even regelt.

Weet je nog niet alles binnen 72 uur? Meld dan alsnog met wat je hebt. Je kunt je melding daarna aanvullen zodra je meer weet, en dat is expliciet de bedoeling van de wet. Een onvolledige melding op tijd is beter dan een complete melding te laat.

Wanneer moet je de mensen zelf inlichten?

Als het lek waarschijnlijk een hoog risico voor hen oplevert. Dan is melden bij de toezichthouder niet genoeg en moet je de betrokkenen zelf informeren, zodat zij maatregelen kunnen nemen: een wachtwoord wijzigen, hun bank in de gaten houden, alert zijn op phishing die op dit lek inspeelt.

Doe dat in gewone taal en zonder verhullend jargon. Wat er is gebeurd, welke gegevens van hen het betreft, wat het risico is, wat jij hebt gedaan en wat zij zelf kunnen doen. Ondernemers zijn hier vaak bang voor omdat het slecht zou staan. In de praktijk is een rechtstreekse, eerlijke mail meestal het moment waarop klanten juist besluiten dat je te vertrouwen bent. De schade komt van het uitstellen, niet van het vertellen.

Waarom moet je ook niet-gemelde lekken vastleggen?

Omdat de wet dat vraagt, los van de meldplicht. Elk datalek gaat in je eigen datalekregister, ook de gevallen waarvan je hebt vastgesteld dat er geen risico was. Daarin staat wat er gebeurde, wat de gevolgen waren, wat je hebt gedaan en waarom je wel of niet hebt gemeld. Juist die laatste afweging is het punt: als de AP ooit vraagt waarom je iets niet hebt gemeld, is dat register je antwoord.

Een spreadsheet volstaat. Datum en tijd van ontdekking, korte beschrijving, betrokken gegevens, aantal mensen, genomen maatregelen, wel of niet gemeld met de reden. Maak dat bestand nu aan, leeg, met de kolommen erin. Dan hoef je het niet te bedenken op de dag dat het misgaat.

Hoe voorkom je de meeste datalekken?

De meeste lekken bij kleine bedrijven zijn geen hack maar een mensfout of een gestolen wachtwoord. Daar helpt dezelfde saaie basis tegen die overal helpt: tweestapsverificatie op je mail en je belangrijkste accounts, een wachtwoordmanager zodat je nergens hetzelfde wachtwoord hebt, apparaten met schijfversleuteling en een pincode, en een gezond wantrouwen bij mail die om haast vraagt. Dat laatste is niet vanzelfsprekend, want phishing ziet er tegenwoordig professioneel uit. Waar je dan wel op let, staat in Phishing herkennen als ondernemer.

Voor de duidelijkheid: dit artikel geeft je de praktische stappen, geen juridisch advies. Bij een groot lek of een lek met gevoelige gegevens is het verstandig om er meteen een specialist bij te halen.

Wil je die basis op orde hebben voordat je hem nodig hebt, inclusief een datalekregister dat al klaarstaat? Dat is precies het werk onder privacy en cyberbeveiliging: we lopen je accounts en je gegevens door en zetten neer wat er ontbreekt.