Je opent ’s ochtends je laptop en je webshop laadt niet. Je inlogpagina geeft een foutmelding. Of erger: een klant stuurt je een screenshot van een phishingmail die vanuit jouw e-mailadres is verstuurd. Op dat moment begint een klok te tikken, en die klok telt in euro’s. De kosten van een cyberaanval voor een kleine ondernemer zijn zelden wat je vooraf denkt. De meeste ondernemers schatten in dat zo’n incident hen misschien een paar honderd euro kost en een vervelende middag. De werkelijkheid is anders, en soms hard genoeg om een bedrijf van drie jaar op te blazen.
Waarom kleine online ondernemers zwaarder worden geraakt
Grote bedrijven hebben IT-afdelingen, juridische teams en communicatiemedewerkers die een incident direct opvangen. Als kleine ondernemer ben jij dat allemaal zelf. Je hebt geen buffer van tien medewerkers die de boel draaiende houden terwijl jij het probleem oplost. En misschien nog belangrijker: jouw klantvertrouwen is persoonlijk. Een datalek bij een multinational haalt het nieuws en wordt vergeten. Een datalek bij jouw webshop van 800 klanten wordt besproken in de community waar jij al drie jaar actief bent.
Daarbij zijn kleine ondernemers vaker doelwit dan ze denken. Cybercriminelen kiezen niet altijd voor de grote vis. Ze kiezen voor de makkelijkste ingang, en dat is vaak een slecht beveiligde webshop of een kleine SaaS-tool zonder tweefactorauthenticatie. De kosten van een cyberaanval voor een kleine ondernemer zijn daardoor niet kleiner, maar in verhouding veel groter.
Fase 1: de eerste 24 uur en wat die kosten
In de eerste uren na een aanval weet je vaak niet precies wat er is gebeurd. Je schakelt een IT-beveiligingsspecialist in voor forensisch onderzoek. Nederlandse bedrijven die dit soort werk doen rekenen doorgaans 125 tot 200 euro per uur. Een eerste beoordeling van wat er mis is, hoeveel gegevens er zijn buitgemaakt en hoe je systemen verder beveiligt, kost al snel 6 tot 10 uur werk. Reken op een eerste factuur van 750 tot 2.000 euro, alleen voor die beginfase.
Daarbij komen de kosten van noodmaatregelen: je hosting tijdelijk offline halen, wachtwoorden resetten over alle gekoppelde systemen, je betaalprovider informeren. Dat zijn uren die jij of iemand anders besteedt aan iets anders dan omzet draaien.
Fase 2: downtime in euro’s berekend
Hier wordt het concreet. Stel dat jouw webshop gemiddeld 800 euro omzet per dag draait. Dat is afgerond 33 euro per uur. Drie dagen offline betekent dan een omzetverlies van 2.400 euro bruto, maar dat is nog zonder de vaste kosten die gewoon doorlopen: abonnementen, hosting, eventueel personeel.
Voor een kleine SaaS-dienst met abonneemodel is de schade anders opgebouwd. Klanten die hun dienst niet kunnen gebruiken, sturen opzeggingen. Als jij 120 abonnees hebt die 25 euro per maand betalen en je verliest door de aanval en de nasleep 15 procent van die klanten, ben je structureel 450 euro per maand kwijt. Dat is niet eenmalig, dat is blijvend.
Een freelance dienstverlener die bijvoorbeeld als tekstschrijver of developer werkt, mist bij drie dagen uitval niet alleen inkomen maar ook deadlines. Boeteclausules in opdrachtovereenkomsten zijn geen zeldzaamheid.
Fase 3: de AVG-meldingsronde
Als bij een aanval persoonsgegevens van klanten zijn betrokken, heb je een wettelijke meldplicht. Je moet een datalek binnen 72 uur melden bij de Autoriteit Persoonsgegevens (AP). Dat klinkt als een formuliertje invullen, maar in de praktijk kost dit tijd die je niet hebt: uitzoeken welke gegevens zijn geraakt, hoeveel klanten het betreft, wat de aard van het lek is.
Daarnaast moet je in veel gevallen de getroffen klanten zelf informeren. Een e-mail opstellen, een FAQ plaatsen, telefoons beantwoorden van klanten die bezorgd zijn. Wij van Entrepreneuronline.nl zien dit onderdeel vaak onderschat worden. De directe kosten zijn laag, maar de reputatieschade en de tijdsinvestering zijn dat niet. Denk aan 4 tot 8 uur eigen tijd, plus eventuele communicatieondersteuning als je die inhuurt.
Fase 4: boetes en aansprakelijkheid
De AP kan sancties opleggen bij een datalek, zeker als blijkt dat je basismaatregelen niet op orde had. Voor micro-ondernemers liggen de boetes in de praktijk lager dan de maximale bedragen die in het nieuws komen, maar ook een boete van 2.000 tot 10.000 euro is voor een eenmanszaak een serieuze klap.
Daarnaast zijn er aansprakelijkheidsrisico’s als klanten schade kunnen aantonen door jouw datalek. Een gewone bedrijfsaansprakelijkheidsverzekering dekt dit vaak niet. Cyberverzekeringen bestaan, maar er zitten nogal wat uitsluitingen in de kleine lettertjes. Zo wordt een aanval via een wachtwoord dat je al langer had moeten wijzigen in sommige polissen gezien als eigen schuld.
De totaalrekening voor drie profielen
| Profiel | Lage schadevariant | Middelhoge variant | Hoge variant |
|---|---|---|---|
| Freelance dienstverlener | € 800 tot € 1.500 | € 3.000 tot € 5.000 | € 8.000 tot € 15.000 |
| Kleine webshop | € 1.500 tot € 3.000 | € 5.000 tot € 10.000 | € 15.000 tot € 30.000 |
| Abonnementsdienst (SaaS) | € 2.000 tot € 4.000 | € 7.000 tot € 12.000 | € 20.000 tot € 40.000 |
De hoge varianten zijn geen theoretische extremen. Ze treden op bij aanvallen waarbij gegevens worden versleuteld (ransomware), herstel weken duurt en de AP een formele procedure start. Dit zijn de situaties die kleine bedrijven daadwerkelijk hebben geraakt in de afgelopen jaren.
Bouwsteen 1: een offline back-upstrategie
De 3-2-1-regel is de gouden standaard en je hoeft er geen serverkennis voor te hebben. Drie kopieën van je data, op twee verschillende media, waarvan één offline of op een locatie buiten je netwerk. Concreet: je website en klantdata dagelijks automatisch back-uppen via je hostingprovider (de meeste pakketdiensten bieden dit aan), een tweede kopie op een externe harde schijf die je wekelijks bijwerkt, en een derde kopie in een cloudopslag die niet gekoppeld is aan je werkaccount.
Stel dit in één middag in. Het kost je misschien 10 euro per maand extra aan opslag. De winst is dat je bij een aanval niet weken maar hooguit een of twee dagen nodig hebt om je systemen te herstellen. Dat scheelt duizenden euro’s aan downtime.
Bouwsteen 2: de crisiscontactlijst
In een crisis zoek je niet naar telefoonnummers. Leg nu, in maximaal een uur, de volgende contacten vast op papier of in een beveiligd bestand:
- Je hostingprovider, inclusief het directe supportnummer voor incidenten (niet alleen het algemene e-mailadres)
- Je domeinnaamregistrar, voor het geval je domein is overgenomen
- Je betaalprovider (Mollie, Stripe of wie je ook gebruikt), zodat je betalingen direct kunt bevriezen
- Het meldloket van de Autoriteit Persoonsgegevens: autoriteitpersoonsgegevens.nl/meldloket-datalekken
- Je cyberverzekeraar, als je die hebt, of een verzekeringsadviseur die je kan doorverwijzen
Druk deze lijst af. Sla hem ook digitaal op, maar niet alleen in de systemen die mogelijk zijn aangetast.
Bouwsteen 3: een incident-responsplan op één A4
Je hebt geen uitgebreid draaiboek nodig. Wat je nodig hebt, is een volgorde van acties die je kunt uitvoeren als je in paniek bent. Schrijf dit zelf op, afgestemd op jouw situatie:
Stap 1. Koppel het getroffen apparaat of systeem los van internet. Sluit niets af, zet niets uit (forensisch bewijs blijft dan beter bewaard).
Stap 2. Bel je hostingprovider en vraag om directe hulp bij het beveiligen van je omgeving.
Stap 3. Wijzig alle wachtwoorden van gekoppelde accounts via een apparaat dat niet getroffen is.
Stap 4. Stel vast of er persoonsgegevens zijn betrokken. Zo ja, noteer de datum en tijd van ontdekking. Je hebt 72 uur voor de AP-melding.
Stap 5. Informeer je directe klanten kort en eerlijk. Zeg wat je weet, wat je doet en dat je ze op de hoogte houdt.
Stap 6. Schakel een IT-beveiligingsspecialist in voor forensisch onderzoek voordat je systemen herstelt.
Wat voorbereiding kost versus wat het oplevert
Een halve werkdag investeren in back-ups instellen, een crisislijst samenstellen en een responsplan schrijven kost je misschien vier uur. Bereken je eigen uurtarief: bij 75 euro per uur is dat 300 euro aan tijd. Afgezet tegen een gemiddelde herstelrekening van 5.000 tot 10.000 euro in een middelhoog scenario, is de terugverdientijd van die investering niet maanden maar seconden.
Wij adviseren ook serieus te overwegen om een cyberverzekering af te sluiten. Vergelijk polissen zorgvuldig op uitsluitingen en vraag specifiek naar dekking bij ransomware en meldkosten voor de AP. De premie voor een kleine ondernemer ligt doorgaans tussen de 25 en 75 euro per maand, afhankelijk van je omzet en risicoprofiel.
De kosten van een cyberaanval zijn voor kleine ondernemers zelden hypothetisch. Ze zijn concreet, ze vallen bijna altijd harder aan dan verwacht, en ze komen op het slechtst mogelijke moment. Wij zien bij Entrepreneuronline.nl dat ondernemers dit risico structureel onderschatten, niet uit onvoorzichtigheid, maar simpelweg omdat ze er nog nooit mee te maken hebben gehad. Met een beperkte investering in tijd en geld kun je de ergste schade voorkomen of flink beperken. Stel die back-up in, schrijf die contactlijst op papier en zet het responsplan op één A4. Dat is genoeg om te voorkomen dat een aanval jouw bedrijf treft terwijl een concurrent die zich wel had voorbereid, gewoon verder draait.
