Wat kost een ransomware-aanval een MKB-bedrijf?
Een ransomware-aanval gaat zelden alleen over losgeld. De grootste schade ontstaat vaak doordat werk stilvalt, systemen niet beschikbaar zijn, klanten wachten en herstel langer duurt dan verwacht.
Dit artikel hoort bij het thema ICT-bedrijfscontinuïteit en uitval, onderdeel van ICT-beveiliging voor het MKB.
De echte kosten zitten vaak niet in het losgeld, maar in de stilstand.
De relevante vraag is daarom niet alleen: “Hebben we een back-up?” Maar vooral: “Hoe lang kunnen we zonder onze systemen werken — en kunnen we aantonen dat herstel ook echt lukt?”
De vier kostenposten van ransomware
1. Stilstand van het bedrijf
Wanneer medewerkers niet kunnen inloggen, orders niet verwerkt worden of systemen uitvallen, kan de dagelijkse bedrijfsvoering stagneren.
Een eenvoudige indicatie is:
Dagelijkse omzet = \frac{jaaromzet}{aantal werkdagen per jaar}
Niet iedere euro omzetverlies is definitief verlies. Sommige werkzaamheden kunnen later worden ingehaald; andere omzet verdwijnt mogelijk wel.
Fictief ICTklaar-rekenvoorbeeld
Een bedrijf heeft:
- € 3.500.000 jaaromzet;
- 250 werkdagen per jaar;
- zeven werkdagen ernstige verstoring;
- naar schatting 30% omzet uit die periode die niet meer wordt ingehaald.
Dan is de berekening:
€3.500.000 ÷ 250 = €14.000 omzet per werkdag
€14.000 × 7 = €98.000 omzet gedurende de verstoringsperiode
€98.000 × 30% = €29.400 indicatieve omzetderving
Dit is geen voorspelling en ook geen volledige schadeberekening. Het laat alleen zien dat enkele dagen verstoring al snel merkbare financiële gevolgen kunnen hebben.
2. Herstel van systemen en gegevens
Na een ernstig incident moet vaak worden onderzocht welke systemen geraakt zijn, welke toegang nog veilig is en welke gegevens betrouwbaar kunnen worden hersteld.
Bij ernstige incidenten kan specialistische incident-response-expertise noodzakelijk zijn. Ook interne tijd telt mee: medewerkers, directie, administratie en IT-partners besteden vaak veel uren aan herstel, communicatie en besluitvorming.
3. Extra kosten en vertraging
Denk bijvoorbeeld aan:
- tijdelijke noodvoorzieningen;
- handmatig verwerken van orders of administratie;
- extra inzet van medewerkers;
- uitgestelde projecten;
- communicatie met klanten en leveranciers;
- herstel of vervanging van apparatuur en software.
Welke kosten werkelijk ontstaan, verschilt per organisatie en per incident.
4. Privacy, contracten en vertrouwen
Wanneer persoonsgegevens betrokken zijn, moet de organisatie beoordelen of sprake is van een inbreuk in verband met persoonsgegevens en welke vervolgstappen nodig zijn.
Dat persoonsgegevens betrokken zijn, betekent niet automatisch dat een melding bij de Autoriteit Persoonsgegevens nodig is. Onder de AVG hangt dit onder meer af van de vraag of de inbreuk waarschijnlijk een risico inhoudt voor de rechten en vrijheden van betrokkenen.
Ook contractuele afspraken met klanten, leveranciers of opdrachtgevers kunnen relevant zijn. Vertraging, onzekerheid en reputatieschade zijn lastiger vooraf te becijferen, maar kunnen wel degelijk gevolgen hebben.
Wat zeggen erkende richtlijnen?
Betrouwbaar herstel vraagt om meer dan alleen het maken van een kopie van bestanden.
De CIS Controls v8 behandelen dit onder Control 11: Data Recovery:
- Safeguard 11.1: stel een proces voor gegevensherstel vast en onderhoud dit;
- Safeguard 11.4: richt een geïsoleerde herstelomgeving in en onderhoud deze;
- Safeguard 11.5: test gegevensherstel periodiek.
Deze richtlijnen geven geen garantie dat ieder incident zonder schade kan worden opgelost. Ze maken wel duidelijk dat herstel voorbereid, beschermd en getest moet zijn.
Ook het Nationaal Cyber Security Centrum benadrukt in zijn voorlichting het belang van incidentvoorbereiding, herstel en continuïteit. Welke maatregelen passend zijn, hangt altijd af van de systemen, risico’s en afhankelijkheden van de organisatie.
Primaire bronnen
- CIS Controls v8 — Control 11: Data Recovery
- NCSC — onderwerp ransomware
- Autoriteit Persoonsgegevens — datalek melden
Wat betekent dit praktisch voor het MKB?
Voor een MKB-bedrijf is de belangrijkste vraag niet of iedere technische term bekend is. Het gaat erom of de organisatie drie dingen weet:
- welke systemen en gegevens essentieel zijn;
- waar de herstelbare back-ups staan;
- of herstel in de praktijk al eens aantoonbaar is gelukt.
Een back-up die alleen bestaat op papier, in hetzelfde netwerk staat of nooit is getest, geeft minder zekerheid dan een aantoonbaar geteste herstelprocedure.
Praktische ICTklaar-richtlijn
ICTklaar adviseert om minimaal het volgende te regelen:
- zorg dat belangrijke back-ups niet alleen in hetzelfde netwerk beschikbaar zijn;
- leg vast welke systemen en gegevens voorrang krijgen bij herstel;
- test periodiek of herstel daadwerkelijk lukt;
- beperk beheeraccounts en toegangsrechten;
- leg vast wie beslist en handelt bij een ernstig incident.
Dit zijn praktische richtlijnen van ICTklaar, geen wettelijke norm of garantie op succesvol herstel.
Een afgeschermde of onveranderbare back-up kan helpen, maar garandeert geen volledig herstel. Ook de kwaliteit van de back-up, beschikbare herstelkennis en afhankelijkheden tussen systemen bepalen wat mogelijk is.
Wat moet je kunnen aantonen?
Een goede back-upregeling is meer dan een groen vinkje in een dashboard. Vraag bijvoorbeeld om:
- een overzicht van systemen en gegevens die worden geback-upt;
- een beschrijving van bewaartermijnen;
- bewijs van minimaal één uitgevoerde hersteltest;
- datum, scope en uitkomst van die hersteltest;
- eventuele verbeterpunten en opvolging;
- afspraken met de IT-partner over herstel, prioriteit en bereikbaarheid;
- een overzicht van wie toegang heeft tot back-ups en beheeraccounts.
Snelle controle: vijf vragen
- Kun je binnen een uur uitleggen welke systemen essentieel zijn voor je bedrijfsvoering?
- Weet je waar de belangrijkste back-ups staan?
- Is ten minste één hersteltest aantoonbaar uitgevoerd?
- Is duidelijk wie bij een ernstig incident de leiding neemt?
- Zijn afspraken over herstel en bereikbaarheid met je IT-partner vastgelegd?
Kun je meerdere vragen niet met bewijs beantwoorden? Dan is dat geen bewijs dat het misgaat, maar wel een signaal dat je herstelbaarheid nog onvoldoende inzichtelijk is.
Wat kun je nu doen?
Begin niet met een uitgebreid beleidsdocument. Vraag eerst je IT-partner om één concreet bewijsstuk: de meest recente hersteltest, inclusief datum, scope en uitkomst.
Daarmee wordt direct zichtbaar wat al geregeld is — en wat nog ontbreekt.
Veelgestelde vragen
Is een back-up genoeg tegen ransomware?
Nee. Een back-up is belangrijk, maar alleen waardevol als die veilig beschikbaar is en herstel daadwerkelijk lukt. Ook toegangsbeveiliging, monitoring en herstelafspraken spelen mee.
Moet ik na een cyberincident altijd een datalek melden?
Nee. De organisatie moet beoordelen of sprake is van een inbreuk in verband met persoonsgegevens en of die waarschijnlijk een risico inhoudt voor de rechten en vrijheden van betrokkenen. Bij twijfel kan deskundig privacy- of juridisch advies verstandig zijn.
Hoe snel ben ik weer operationeel na ransomware?
Dat hangt af van de getroffen systemen, beschikbare back-ups, technische afhankelijkheden, capaciteit en voorbereiding. Zonder geteste herstelprocedure is daar vooraf geen betrouwbare tijd aan te verbinden.