Vier verborgen kosten van een cyberincident die kmo’s vaak onderschatten

​Een cyberaanval kost een onderneming vaak meer dan het bedrag dat rechtstreeks verloren gaat of de systemen die getroffen zijn. Zodra medewerkers niet meer aan hun bestanden kunnen, bestellingen vertraging oplopen of klantgegevens op straat dreigen te belanden, stapelen de kosten zich op. Ook wanneer de aanval snel wordt gestopt, kunnen de gevolgen nog weken doorwerken.

Het Centrum voor Cybersecurity België (CCB) registreerde in 2025 635 incidentmeldingen, bijna 70% meer dan een jaar eerder. Die cijfers tonen hoe belangrijk cyberveiligheid wordt voor ondernemingen. Toch kijken bedrijven bij de financiële inschatting van een incident niet altijd naar de volledige rekening. Cyberverzekeringsspecialist Stoïk wijst op vier kostenposten die gemakkelijk uit beeld blijven: bedrijfsstilstand, onderzoek en herstel, reputatieschade en juridische opvolging.

1. Bedrijfsstilstand terwijl de vaste kosten doorlopen

Wanneer een cyberaanval bedrijfssystemen platlegt, kan de dagelijkse werking snel vastlopen. Medewerkers verliezen toegang tot belangrijke toepassingen, productieprocessen vallen stil of leveringen lopen vertraging op. De onderneming kan daardoor tijdelijk minder of helemaal geen omzet realiseren, terwijl lonen, huur en andere vaste kosten blijven doorlopen.

De financiële impact hangt onder meer af van de duur van de verstoring en van de processen die getroffen zijn. Een onderneming die haar facturatie, planning of klantendienst niet kan gebruiken, kan ook na het technische herstel nog achterstanden moeten wegwerken.

Volgens interne gegevens van Stoïk over 2025 bedraagt de gemiddelde schade voor bedrijven met een jaaromzet van 25 miljoen euro naar schatting 58.000 tot 92.000 euro, afhankelijk van de sector. Die raming geldt zelfs wanneer de incidentrespons binnen het eerste uur start.

Snel reageren blijft dus belangrijk, maar voorkomt niet noodzakelijk alle financiële schade.

2. Onderzoek en herstel vragen tijd en expertise

Na een aanval moeten bedrijven eerst begrijpen wat er precies is gebeurd. Hoe zijn de aanvallers binnengeraakt? Welke systemen en gegevens zijn getroffen? En is de IT-omgeving veilig genoeg om opnieuw op te starten?

Dat onderzoek vraagt gespecialiseerde kennis en kan de interne IT-afdeling zwaar belasten. Tegelijk moeten getroffen systemen worden hersteld, gegevens gecontroleerd en toepassingen opnieuw operationeel gemaakt. Vaak zijn ook externe experts nodig.

De cijfers van Stoïk over ransomware-incidenten die het bedrijf in 2025 behandelde, illustreren hoeveel tijd daarmee gemoeid kan zijn. Het onderzoek duurde gemiddeld 10,3 dagen en de heropbouw van systemen gemiddeld 18 dagen. De werklast voor systeemherstel steeg dat jaar met 23,4%, terwijl cyberexperts 49,5% meer tijd besteedden aan onderzoek.

Die extra inspanningen komen boven op het gewone werk. Daardoor kunnen ook andere IT-projecten vertraging oplopen en blijven interne medewerkers langer met het incident bezig dan vooraf verwacht.

3. Reputatieschade kan blijven duren na het herstel

Een cyberincident is niet altijd voorbij zodra de systemen opnieuw werken. Bij ransomwareaanvallen kunnen criminelen bijvoorbeeld gegevens stelen en dreigen die openbaar te maken. Soms benaderen ze ook klanten, leveranciers of medewerkers om de druk op te voeren.

De onderneming moet dan niet alleen de technische problemen oplossen, maar ook vragen beantwoorden en betrokkenen informeren. Klanten willen weten welke gegevens mogelijk zijn gelekt en welke maatregelen worden genomen om verdere schade te voorkomen.

Wanneer het vertrouwen afneemt, kan dat ook commerciële gevolgen hebben. Klanten kunnen hun samenwerking heroverwegen en nieuwe klanten kunnen terughoudender worden. Zulke gevolgen zijn moeilijker in cijfers te vatten dan herstelkosten, maar kunnen de onderneming nog lang na het incident parten spelen.

Duidelijke communicatie en een doordachte aanpak helpen om onzekerheid te beperken. Daarvoor is het belangrijk dat vooraf vastligt wie klanten en andere betrokkenen informeert en welke informatie intern beschikbaar moet zijn.

4. Juridische verplichtingen brengen extra werk mee

Wanneer bij een cyberincident persoonsgegevens betrokken zijn, moet een onderneming nagaan welke verplichtingen uit de GDPR voortvloeien. Afhankelijk van de omstandigheden kan het nodig zijn om het datalek te melden bij de Gegevensbeschermingsautoriteit en betrokken personen te informeren.

Ook voor organisaties die onder de NIS2-regelgeving vallen, kunnen specifieke verplichtingen gelden voor de behandeling en melding van incidenten. Welke regels precies van toepassing zijn, hangt af van de organisatie en de aard van het incident.

Juridische adviseurs en privacy-experts kunnen nodig zijn om te bepalen welke gegevens getroffen zijn, welke meldingen moeten gebeuren en welke stappen de onderneming moet documenteren. Dat werk loopt vaak parallel met het technische herstel, waardoor verschillende teams tegelijk onder druk staan.

Wie vooraf weet welke verantwoordelijkheden gelden en wie bij een incident moet worden ingeschakeld, kan sneller handelen en vermijdt dat belangrijke stappen pas tijdens de crisis worden uitgezocht.

Voorbereiding beperkt de schade

Cyberincidenten volledig uitsluiten is moeilijk. Ondernemingen kunnen zich wel voorbereiden op de gevolgen. Dat begint met het in kaart brengen van bedrijfskritische processen en het vastleggen van verantwoordelijkheden. Ook moet duidelijk zijn wie de incidentrespons coördineert en welke interne of externe specialisten kunnen helpen.

Daarnaast zijn regelmatige tests van back-ups en crisisplannen belangrijk. Een back-up is pas echt nuttig wanneer gegevens ook effectief kunnen worden teruggezet. Een crisisplan moet bovendien in de praktijk werken, niet alleen op papier bestaan.

Internationaal onderzoek van IBM naar datalekken wijst erop dat organisaties met een getraind incidentresponsteam en een regelmatig getest responsplan lagere kosten rapporteren na een datalek.

Voor kmo’s is de belangrijkste les dat de kost van een cyberaanval veel verder kan reiken dan de IT-afdeling. Stilstand, herstelwerk, reputatieschade en juridische opvolging kunnen elkaar versterken. Een goede voorbereiding neemt dat risico niet weg, maar helpt om sneller te reageren, de schade te beperken en de bedrijfscontinuïteit te beschermen.