Cyberrisico voor zelfstandigen: voorkom uitval en datalekken

Cyberrisico gaat niet alleen over een hacker die een groot bedrijf aanvalt. Ook een gestolen laptop, nep-betaalverzoek, verkeerd geadresseerde e-mail, besmette bijlage of uitgevallen cloudaccount kan je werk stilleggen en persoonsgegevens blootstellen. Begin daarom met eenvoudige beveiliging en een herstelplan; bekijk pas daarna welke resterende risico’s je eventueel wilt verzekeren.

Wat kan er bij een zelfstandige misgaan?

Je onderneming kan afhankelijk zijn van één laptop, mailbox, boekhoudpakket, webwinkel, cloudopslag of telefoon. Valt zo’n onderdeel uit, dan kun je opdrachten missen, geen facturen sturen of niet bij klantbestanden. Een aanvaller hoeft niet eens je hele systeem over te nemen: toegang tot e-mail kan voldoende zijn om wachtwoorden te herstellen of een klant een vervalste factuur te sturen.

Andere voorbeelden zijn ransomware, phishing, identiteitsmisbruik, een fout ingestelde gedeelde map, verlies van een apparaat en een leverancier met een beveiligingsincident. Niet elk incident is een datalek en niet ieder datalek ontstaat door een hack. Het gaat ook om gegevens die per ongeluk bij de verkeerde persoon terechtkomen, verloren raken of ongewenst worden gewijzigd.

Inventariseer wat je nodig hebt om te werken

Maak een korte lijst van apparaten, software, online accounts, domeinen, websites, betaalmiddelen en externe beheerders. Noteer per onderdeel wie toegang heeft, welke gegevens erin staan en hoelang je zonder kunt. Zo zie je sneller waar één storing je hele bedrijf raakt.

• Welke systemen zijn nodig om klanten te bedienen?
• Waar staan persoonsgegevens, contracten en financiële gegevens?
• Welke leverancier beheert hosting, e-mail of boekhouding?
• Wie kan wachtwoorden en domeininstellingen herstellen?
• Welke apparaten hebben beheerdersrechten?
• Welke oude accounts, plug-ins of koppelingen zijn niet meer nodig?

Verwijder wat je niet gebruikt en beperk opgeslagen gegevens tot wat nodig is. Minder accounts en minder kopieën betekenen minder plekken om te beveiligen. Houd wel rekening met wettelijke bewaarplichten; zomaar alles wissen is evenmin verstandig.

Bescherm accounts en apparaten

Gebruik voor ieder belangrijk account een uniek, lang wachtwoord en bewaar dat in een betrouwbare wachtwoordmanager. Schakel multifactorauthenticatie in, vooral voor e-mail, hosting, domeinbeheer, cloudopslag, boekhouding en sociale media. Een extra controle voorkomt niet iedere aanval, maar maakt misbruik van alleen een buitgemaakt wachtwoord veel moeilijker.

Installeer updates voor besturingssysteem, browser, telefoon, router, website en plug-ins. Werk dagelijks niet met een beheeraccount als dat niet nodig is. Versleutel draagbare apparaten, gebruik schermvergrendeling en zorg dat je een verloren toestel op afstand kunt blokkeren als je gekozen omgeving dat ondersteunt.

Back-up is pas bruikbaar na een hersteltest

Een back-up die altijd met je computer of cloudmap meeloopt, kan bij ransomware of een fout worden meegesleurd. Bewaar daarom meerdere versies en zorg dat ten minste één kopie niet voortdurend vanuit je gewone account te wijzigen is. Kies een frequentie die past bij hoeveel werk je maximaal kunt missen.

Test regelmatig een herstel op een veilige plek. Controleer of bestanden openen en of je website, mailboxconfiguratie, contacten en belangrijke instellingen terugkrijgt. Noteer wie toegang heeft tot herstelcodes en hoe je verder werkt wanneer je primaire leverancier tijdelijk onbereikbaar is.

Voorkom phishing en factuurfraude

Aanvallers spelen vaak in op haast, autoriteit en betaalverzoeken. Controleer een gewijzigd rekeningnummer via een bekend telefoonnummer, niet via de contactgegevens in het verdachte bericht. Gebruik een tweede controle voor grote betalingen en onverwachte verzoeken om inlogcodes, documenten of cadeaubonnen.

Open links niet automatisch vanuit een e-mail. Ga bij twijfel zelf naar de vertrouwde website of app. Spreek ook met opdrachtgevers af hoe je wijzigingen in betaalgegevens communiceert. Zo bescherm je niet alleen jezelf, maar verklein je de kans dat misbruik van jouw naam bij een klant slaagt.

Leveranciers nemen je verantwoordelijkheid niet volledig over

Cloudsoftware kan professioneel worden beveiligd, maar jij blijft verantwoordelijk voor je eigen instellingen, gebruikers en zorgvuldige omgang met persoonsgegevens. Controleer waar mogelijk beveiligingsopties, verwerkersafspraken, herstelmogelijkheden, export van gegevens en de meldroute bij een incident.

Leg vast wie hosting, updates en back-ups uitvoert. De zin “de websitebeheerder regelt dat” is pas nuttig als duidelijk is welke taken, termijnen en controles zijn afgesproken. Bewaar ook toegang tot domeinregistratie en andere bedrijfskritische accounts op naam van je onderneming.

Maak een eenvoudig incidentplan

Onder druk is improviseren moeilijk. Zet daarom vooraf contactgegevens en eerste acties op papier. Bewaar die informatie ook buiten het systeem dat kan uitvallen. Een praktisch plan bevat in ieder geval:

1. Stop verdere verspreiding zonder onnodig bewijs te wissen.
2. Koppel een verdacht apparaat zo nodig los van netwerk en synchronisatie.
3. Noteer tijdstip, meldingen, betrokken accounts en reeds genomen acties.
4. Neem contact op met je IT-beheerder, hostingpartij of incidenthulp.
5. Wijzig getroffen toegang en controleer doorstuurregels en herstelinformatie.
6. Bepaal welke dienstverlening en gegevens geraakt kunnen zijn.
7. Beoordeel of sprake is van een datalek en welke meldingen nodig zijn.
8. Herstel vanuit een betrouwbare bron en evalueer daarna de oorzaak.

Heb je een cyberverzekering, controleer dan direct de alarmcentrale en meldvoorwaarden. Zelf een dure specialist inschakelen kan gevolgen hebben voor vergoeding. Bij acute schade moet je tegelijk redelijk handelen om verdere schade te beperken.

Wanneer is een beveiligingsincident een datalek?

De Autoriteit Persoonsgegevens beschrijft een datalek als een inbreuk op de beveiliging van persoonsgegevens. Het kan gaan om verlies, ongeoorloofde toegang, vernietiging of ongewenste wijziging. Onderzoek een mogelijk lek meteen en leg de beoordeling vast.

Een melding aan de Autoriteit Persoonsgegevens kan verplicht zijn. Als een melding nodig is, geldt in beginsel een termijn van 72 uur nadat je kennis hebt genomen van het datalek. Niet ieder datalek hoeft bij de toezichthouder te worden gemeld, maar je moet datalekken en de afwegingen wel registreren. Bij een hoog risico kan het ook nodig zijn betrokken personen te informeren.

Laat een cloud- of IT-leverancier het incident hebben veroorzaakt, dan verdwijnt jouw rol als verwerkingsverantwoordelijke niet automatisch. Zorg voor een snelle meldafspraak met verwerkers, zodat je tijdig kunt onderzoeken en beslissen. Raadpleeg bij twijfel de actuele uitleg en hulpmiddelen van de Autoriteit Persoonsgegevens.

Wat kan een cyberverzekering doen?

Volgens KVK kan een cyberverzekering bestaan uit preventieve ondersteuning, hulp van specialisten na een incident en vergoeding van bepaalde schade. Denk afhankelijk van de polis aan IT-onderzoek, herstel, juridische hulp, communicatie, bedrijfsschade en aansprakelijkheid tegenover derden. De precieze combinatie en definities verschillen per aanbieder.

Een verzekering vervangt basisbeveiliging niet. De verzekeraar kan eisen stellen aan updates, back-ups, multifactorauthenticatie, toegangsbeheer en melding. Beantwoord aanvraagvragen volledig en houd beveiligingsmaatregelen aantoonbaar bij. Een onjuiste voorstelling of niet nageleefde voorwaarde kan gevolgen hebben voor dekking.

Lees ook onze algemene uitleg over verzekeringen voor zzp’ers. Daar staat hoe je risico, eigen draagkracht, overlap en polisvoorwaarden uit elkaar houdt.

Controleer definities, limieten en uitsluitingen

• Welke incidenten starten de dekking?
• Gelden sublimieten voor herstel, fraude, communicatie of externe experts?
• Hoe wordt omzetverlies berekend en welke wachttijd geldt?
• Zijn claims van klanten of privacytoezichthouders meeverzekerd?
• Welke beveiligingsmaatregelen zijn verplicht?
• Zijn oude software, bekende incidenten en opzettelijk handelen uitgesloten?
• Hoe vallen social engineering en vrijwillig overgemaakte betalingen onder de polis?
• Welke landen, gegevens en leveranciers vallen binnen dekking?

Let op het verschil tussen herstelkosten, bedrijfsschade, aansprakelijkheid en geld dat door fraude is overgemaakt. Eén brede term als “cyberschade” betekent niet dat al deze onderdelen zijn verzekerd. Vraag bij onduidelijkheid om een schriftelijk voorbeeld en lees polisblad én voorwaarden.

Vergelijken zonder persoonlijke productsturing

Vergelijk hulpverlening, bereikbaarheid, beveiligingseisen, eigen risico, verzekerde bedragen, wachttijd voor bedrijfsschade, externe leveranciers, landen en uitsluitingen. Kijk daarnaast of je al onderdelen hebt verzekerd via beroeps- of bedrijfsaansprakelijkheid en voorkom zowel gaten als onbegrepen overlap.

ZZP Informatie kan statische commerciële links tonen en daarvoor een vergoeding ontvangen. Dat wordt bij de link vermeld. Wij vragen geen persoonlijke financiële, technische of risicogegevens uit om één specifieke cyberverzekering aan te bevelen of producten persoonlijk te rangschikken. Persoonlijk advies, vergelijking op basis van jouw gegevens en afsluiting blijven bij een aanbieder of vergunninghoudende adviseur of bemiddelaar.

Veelgestelde vragen

Is een cyberverzekering verplicht voor zzp’ers?

Er is geen algemene verplichting voor iedere zzp’er. Een opdrachtgever of branche kan wel contractuele eisen stellen. Beoordeel eerst je afhankelijkheid, gegevens, preventie en herstelmogelijkheden.

Moet ieder datalek binnen 72 uur worden gemeld?

Nee. Onderzoek het lek en het risico. Als melding aan de Autoriteit Persoonsgegevens verplicht is, geldt in beginsel 72 uur na kennisname. Registreer datalekken en je afwegingen.

Dekt een gewone aansprakelijkheidsverzekering cyberincidenten?

Ga daar niet automatisch van uit. Sommige onderdelen kunnen overlappen, andere zijn uitgesloten of beperkt. Controleer definities en meld een mogelijke samenloop tijdig.

Is een back-up in dezelfde cloud voldoende?

Niet altijd. Een fout, aanvaller of synchronisatie kan meerdere versies raken. Zorg voor gescheiden versies en test het herstelproces.

Bronnen bekeken op 26 oktober 2026. Voor deze algemene uitleg zijn laagdrempelige informatie van KVK en openbare uitleg van de Autoriteit Persoonsgegevens en AFM gebruikt. Beveiligingsmaatregelen, meldplichten en polisdekking hangen af van je situatie, actuele techniek, feiten en voorwaarden. Dit is geen persoonlijk privacy-, juridisch, verzekerings-, financieel of IT-beveiligingsadvies en geen aanbeveling van een specifiek product.