Een stappenplan voor cyberincidenten in cruciaal en wel hierom. Aanvallers wachten niet tot jij je koffie op hebt. Volgens het Global Threat Report 2026 van CrowdStrike hadden criminelen in 2025 gemiddeld 29 minuten nodig om vanaf het eerste overgenomen systeem verder het netwerk in te trekken. In één onderzochte inbraak begon de diefstal van data al binnen vier minuten. Het moment kiezen ze ook zelf. Sophos zag in zijn Active Adversary Report dat 83% van de ransomware in 2024 buiten de lokale kantoortijden van het slachtoffer werd uitgerold.
Haal besmette laptops, werkplekken en servers van het netwerk. Van het netwerk halen betekent hier letterlijk: kabel eruit, wifi uit en VPN-verbindingen verbreken. Het NCSC geeft bij ransomware hetzelfde advies: isoleer besmette netwerken, computers en apparaten en stel beschikbare back-ups zo snel mogelijk veilig.
Wat je niet doet is het apparaat uitzetten. In het werkgeheugen van de systemen kunnen sporen van de aanval staan (draaiende processen, open verbindingen naar de server van de aanvaller) en die verdwijnen zodra de stroom eraf gaat.
Gaat het om ransomware, kijk dan meteen naar je back-ups. Staat de back-upschijf of NAS in hetzelfde netwerk? Koppel die dan als eerste los. Aanvallers zoeken back-ups bewust op, want een bedrijf zonder werkende back-up betaalt sneller. Hoe je jouw bedrijf voorbereidt op een ransomware-aanval, lees je in onze blog over wat je doet bij een ransomware-aanval.
Blijf communiceren en leg acties en gebeurtenissen vast.
Alleen het wijzigen van het bestaande wachtwoord is tegenwoordig niet meer voldoende. Als een aanvaller de sessie van je account heeft overgenomen, heeft hij daarna je wachtwoord niet meer nodig. Microsoft beschrijft in de handleiding voor het intrekken van toegang in Entra ID twee handelingen voor een gecompromitteerd account: het account uitschakelen en daarna "Revoke sessions" kiezen, zodat bestaande tokens ongeldig worden. Een toegangstoken dat al is uitgegeven, blijft standaard nog tot een uur geldig. Reken daar dus op.
Werk deze lijst af en begin bij beheeraccounts, want die openen alle andere deuren:
Blijf communiceren en leg acties en gebeurtenissen vast.
Iemand moet beslissen. Haal je de webshop offline? Leg je de productie stil? Huur je een externe partij in en wie betaalt die? Bel je de verzekeraar? Dat zijn geen keuzes die een systeembeheerder kan maken.
Zet daarom in het eerste uur een crisisteam neer. Twee rollen zijn genoeg om te beginnen: iemand die beslist (directie of eigenaar) en iemand die technisch coördineert (je IT-beheerder of securitypartner). Communicatie en juridisch advies haak je aan zodra duidelijk wordt hoe groot het is.
Maak voor dat team twee afspraken:
Belangrijk is dat je op dit moment blijft communiceren over wat er speelt en over elke stap die je zet, ook al zijn het maar kleine dingen.
Blijf communiceren en leg acties en gebeurtenissen vast.
De brand is iets ingedamd. Nu wil je weten hoe hij ontstond, want zolang je de toegangsweg niet kent, kan de aanvaller via dezelfde deur terugkomen. Daarbij is het isoleren van systemen geen eenmalige taak. Het kan voorkomen dat je de stappen uit uur 1-4 een aantal keer herhaalt, zeker als je later ontdekt dat je nog niet alle getroffen systemen in kaart had.
Je zoekt antwoord op vier vragen:
De antwoorden kunnen in je logbestanden staan: de aanmeldlogs en het auditlog van Microsoft 365, de logs van je firewall en de meldingen van je antivirus of EDR. Als je een eigen securityteam hebt, kunnen zij hiermee aan de slag. Bij de meeste MKB-bedrijven legt een externe securitypartij vast wat er is gebeurd.
Ook hier geldt dus: zet geen systemen uit en verwijder geen data. Anders is niet meer te achterhalen wat er is gebeurd.
Blijf communiceren en leg acties en gebeurtenissen vast.
Aan deze vraag hangt de meldplicht. Een versleutelde fileserver met alleen offertes is vervelend. Maar een mailbox met loonstroken, paspoortkopieën of medische gegevens maakt er een datalek met persoonsgegevens van.
Maak een lijst. Welke systemen zijn geraakt? Welke soorten gegevens staan daarop en van wie zijn ze: medewerkers, klanten, patiënten? Waren ze versleuteld? En heeft de aanvaller data naar buiten gehaald of alleen versleuteld? Grote uitgaande dataoverdrachten in de firewall-logs of in OneDrive en SharePoint geven op die laatste vraag vaak antwoord.
Weet je het nog niet zeker, schrijf dan op wat je wel weet en wat nog openstaat. Met een onvolledig beeld kun je de volgende stap al zetten en heb je in ieder geval informatie om te melden.
Blijf communiceren en leg acties en gebeurtenissen vast.
Bewijs is breekbaar. Logbestanden kunnen automatisch worden overschreven en het uitzetten van systemen of het verwijderen van bestanden maakt forensisch onderzoek een stuk lastiger.
Dit bewaar je:
Blijf communiceren en leg acties en gebeurtenissen vast.
Je weet waarschijnlijk nog lang niet alles, maar met deze stappen hopelijk wel genoeg om de eerste meldingen te doen.
Bij de meeste bedrijven bepalen twee regelingen of en wanneer je moet melden.
De meldplicht datalekken (AVG). Zijn er persoonsgegevens geraakt, dan meld je dat bij de Autoriteit Persoonsgegevens, en wel binnen 72 uur na het constateren van het datalek. Twijfel je nog? Op dezelfde NCSC-pagina meld je verlies van persoonsgegevens ook als je niet zeker weet of er sprake is van een datalek.
De Cyberbeveiligingswet. De Nederlandse uitwerking van NIS2 is op 15 augustus 2026 in werking getreden. Val je eronder en is het incident significant, dan geldt volgens de NCTV een vast meldschema: een vroegtijdige waarschuwing binnen 24 uur na kennisname, een incidentmelding binnen 72 uur en een eindverslag uiterlijk een maand na die incidentmelding. Je meldt via het meldportaal MijnNCSC. Met die melding bereik je zowel je CSIRT als de toezichthouder.
Doe daarnaast aangifte. Digitaal rechercheur Gina Doekhie zegt het in een artikel van KVK zonder omwegen: "Doe altijd aangifte." Hoe meer informatie de politie heeft, hoe meer patronen ze kunnen herkennen. Bij ransomware doe je als bedrijf online aangifte met eHerkenning, of je maakt een afspraak via 0900-8844.
Blijf communiceren en leg acties en gebeurtenissen vast.
Je IT-beheerder houdt je systemen draaiende. Een securityspecialist handelt in dit soort situaties. Die weet waar aanvallers sporen achterlaten en zet een forensisch onderzoek op dat standhoudt bij de verzekeraar. Door ervaring kan een specialist ook beter inschatten wanneer terugzetten vanaf back-up veilig is.
Heb je een cyberverzekering, lees dan eerst de polis (doe dit het liefst voordat je in deze situatie terechtkomt). Sommige verzekeraars werken met een vaste lijst specialisten en vergoeden alleen als je via hen gaat.
Een specialist die in uur 14 binnenkomt en ontdekt dat er in uur 2 een server is geherinstalleerd, kan weinig meer reconstrueren. Bel dus eerder als het kan.
Blijf communiceren en leg acties en gebeurtenissen vast.
Je klanten horen het liever van jou dan via een phishingmail die uit jouw naam verstuurd wordt. Wacht dus niet tot je alles weet.
Een goed eerste bericht bevat vier dingen:
Zeg ook wat je nog níet weet. Dat voelt ongemakkelijk, maar het voorkomt dat je later iets moet terugnemen. Daarnaast ben je op deze manier transparant, wat achteraf vaak meer oplevert dan je zou denken. Wat we in de praktijk zien, is dat je reputatie bij klanten en partners dan beter overeind blijft.
Lever je aan bedrijven die zelf onder de Cyberbeveiligingswet vallen? Dan hebben zij jouw informatie nodig voor hun eigen melding. Bel die klanten persoonlijk.
En wie bel je bij een cyberincident buiten de deur? De eerste externe stakeholders zijn je IT-dienstverlener en, als je die hebt, de verzekeraar van je cyberverzekering. Die laatste heeft vaak een alarmnummer en eigen voorwaarden over wie je mag inschakelen. Bel dus voordat je zelf een partij inhuurt.
Blijf communiceren en leg acties en gebeurtenissen vast.
De fout die wij het vaakst zien, is dat incidenten te laat worden opgemerkt en opgeschaald. Daardoor gaat er veel tijd verloren, en tijd is precies wat je nodig hebt als je onder vuur ligt door een cyberaanval.
Hieronder zetten we nog drie veelgemaakte fouten op een rij.
Het is verleidelijk. Zelf oplossen, niemand iets vertellen en hopen dat het wel meevalt. Alleen komen datalekken vaak alsnog uit, bijvoorbeeld omdat de aanvaller de data publiceert of een klant fraude meldt. Dan heb je naast het incident ook een vertrouwensprobleem en mogelijk een boete omdat je te laat meldde.
Over losgeld is de politie duidelijk: betaal bij voorkeur niet. Betalen geeft geen garantie dat je je gegevens terugkrijgt en vergroot de kans dat criminelen doorgaan. Heb je toch betaald, of overweeg je het, meld dat dan wel bij de politie.
Dit gebeurt meestal met de beste bedoelingen. De laptop wordt opnieuw geïnstalleerd zodat de medewerker weer verder kan. De server wordt herstart "om te kijken of het dan weer werkt".
Daarmee verdwijnen precies de sporen die laten zien hoe de aanvaller binnenkwam. En zonder die toegangsweg weet je niet of het lek dicht is. Eerst een kopie, dan pas opruimen.
Sales mailt een klant dat er niks aan de hand is, terwijl de eigenaar een leverancier vertelt dat alle data versleuteld is. Twee mensen, twee verschillende verhalen.
Spreek in het crisisteam af wie naar buiten communiceert en laat iedereen weten wie dat is. Stuur intern één bericht naar alle medewerkers: wat er speelt, wat ze wel en niet moeten doen, en bij wie ze met vragen terechtkunnen. Zorg er wel voor dat dit gebeurt via een veilig kanaal.
Kijk nog eens naar uur 1 tot 4 in dit cyberincident stappenplan. Bijna alles daar draait om tempo: isoleren en sessies intrekken, het liefst binnen het uur. Combineer dat met het gegeven dat de meeste ransomware en andere aanvallen buiten kantoortijden worden uitgerold, en de urgentie is duidelijk.
Daarvoor is Managed Detection & Response (MDR). Bij Peakproteqt verzamelen we 24/7 signalen uit je hele omgeving, van endpoints tot gestolen inloggegevens, sessiekaping en overgenomen mailaccounts. Bij een bevestigde dreiging grijpt ons team in: een apparaat isoleren, of een account blokkeren en de sessies intrekken. Dat zijn dezelfde handelingen als in uur 1 tot 4, alleen gebeuren ze dan binnen minuten in plaats van uren.
Hoe snel precies, hangt af van het pakket. Bij MDR Premium reageren we binnen 15 minuten op een gedetecteerde dreiging, met volledige automatische response en ondersteuning bij incident response.
Het tweede voordeel merk je in uur 4 tot 12. De logbestanden die je anders nog moet exporteren, zijn er al. Je tijdlijn begint bij het eerste afwijkende signaal en dat ligt meestal eerder dan het moment waarop iemand op kantoor iets merkte.
MDR vervangt je eigen plan niet: de meldplicht, de communicatie met klanten en de beslissingen van de directie blijven bij jou. Wat het wel doet, is de eerste uren een stuk korter maken. Uiteraard helpen we in zo'n situatie ook bij de communicatie richting klanten en bij de meldplicht. Zo sta je er niet alleen voor. Op de MDR-pagina zie je per pakket wat er gemonitord wordt.
