Het is een dinsdagochtend. U zet uw computer aan, maar er verschijnt een rood scherm. Een medewerker belt in paniek: 'Ik kan nergens meer bij.' De boekhouder kan de facturen niet openen. De binnendienst staat stil. U heeft geen idee wat er is gebeurd, laat staan wat u nu moet doen.

Herkent u dit scenario? Voor veel MKB-ondernemers in Brabant is een cybercrisis iets wat 'bij grote bedrijven' hoort. Tot het bij henzelf gebeurt. En dan blijkt dat de eerste minuten en uren cruciaal zijn, en dat de meeste schade niet door de aanval zelf wordt veroorzaakt, maar door het ontbreken van een plan.

Wat is een cybercrisis eigenlijk?

Een cybercrisis is elk IT-incident dat uw bedrijfsvoering ernstig verstoort. Dat kan ransomware zijn, waarbij uw bestanden worden versleuteld en er losgeld wordt geëist. Het kan een datalek zijn, waarbij klant- of personeelsgegevens op straat komen te liggen. Of een CEO-fraude, waarbij een medewerker via een nep-e-mail wordt misleid om een grote betaling te doen.

Wat al deze situaties gemeen hebben: ze zijn tijdgevoelig, emotioneel belastend en technisch complex. Precies op het moment dat u helder moet denken, staat u onder maximale druk. Daarom is voorbereiding geen luxe maar een noodzaak.

De Ratho-driehoek als kompas tijdens een crisis

Bij Ratho kijken we naar IT altijd vanuit drie hoeken: Mens, Proces en Techniek. Deze drie zijn ook de sleutel tot effectief crisismanagement.

Techniek alleen is nooit genoeg. U kunt de beste firewalls hebben, maar als niemand weet wie er bij een incident de leiding neemt, loopt alles vast. Omgekeerd helpt een prachtig crisisplan ook niet als uw systemen geen logging bijhouden en u dus blind bent voor wat er precies is gebeurd. En als uw medewerkers niet weten hoe ze verdachte e-mails herkennen, is elke technische maatregel slechts een vertraging.

Mens: wie doet wat?

De eerste vraag die u moet kunnen beantwoorden op het moment van een incident is: wie is verantwoordelijk? Dat klinkt eenvoudig, maar in de praktijk zien we bij veel MKB-bedrijven dat dit niet is vastgelegd. Iedereen kijkt naar elkaar. De ondernemer belt de IT-leverancier. De IT-leverancier heeft geen crisisprotocol. Kostbare minuten gaan verloren.

Wijs daarom nu, voordat er iets gebeurt, één persoon aan als crisiscoördinator. Dat hoeft geen technicus te zijn. Het is de persoon die de communicatie regelt, beslissingen neemt en de externe partijen aanstuurt. In kleinere bedrijven is dat vaak de directeur of de office manager.

Proces: het Incident Response Plan

Een Incident Response Plan (IRP) is het document dat uw team vertelt wat te doen, in welke volgorde, en wie waarvoor verantwoordelijk is. Het Digital Trust Center, onderdeel van het Ministerie van Economische Zaken, adviseert MKB-ondernemers expliciet om dit plan op te stellen nog voordat er een incident plaatsvindt.

Een goed IRP bevat minimaal de volgende elementen:

Een overzicht van uw meest kritieke systemen, processen en gegevens.
De namen en contactgegevens van uw crisispartners, inclusief uw IT-leverancier, uw juridisch adviseur en eventueel uw cyberverzekering.
Een communicatieprotocol: wie informeert u wanneer, en wat zegt u wel en niet naar buiten?
Meldverplichtingen: bij een datalek heeft u op grond van de AVG 72 uur de tijd om dit te melden bij de Autoriteit Persoonsgegevens. Die klok begint te tikken zodra u op de hoogte bent.
Herstelstappen: hoe zet u systemen veilig terug? Waar staan uw back-ups? Zijn die back-ups ook daadwerkelijk getest?

Techniek: de basis moet kloppen

Tijdens een crisis heeft u informatie nodig. Welke systemen zijn geraakt? Wanneer is de aanval begonnen? Welke accounts zijn misbruikt? Zonder logging kunt u deze vragen niet beantwoorden. En toch blijkt logging bij veel MKB-bedrijven simpelweg afwezig te zijn.

Andere technische maatregelen die de impact van een crisis significant verlagen:

Twee-factor authenticatie (2FA) op alle accounts, zodat gestolen wachtwoorden niet direct toegang geven.
Netwerkscheiding, zodat een aanvaller die binnenkomt via de receptiebalie niet direct bij uw financiële administratie kan.
Beperkte software-installatiemogelijkheden voor medewerkers, om te voorkomen dat malware per ongeluk wordt binnengehaald.
Uitschakelen van macro's in Office-documenten, een van de meest gebruikte methodes om ransomware te verspreiden.

Een klant van ons: van paniek naar controle

Een klant van ons, een installatiebedrijf met zo'n 35 medewerkers in de regio, werd vorig jaar getroffen door een phishing-aanval. Een medewerker had op een link geklikt in een e-mail die er uitzag als een bericht van de Belastingdienst. Binnen enkele minuten waren zijn inloggegevens buitgemaakt en werd er geprobeerd vanuit zijn account betalingsopdrachten aan te passen.

Omdat we samen met dit bedrijf een jaar eerder een Incident Response Plan hadden opgesteld, wist de office manager precies wat te doen. Ze belde direct onze crisisnummer, blokkeerde het account via de stappen in het plan en informeerde de bank. De aanvaller had toegang gehad tot het account, maar er was geen geld verdwenen en er waren geen gegevens gelekt die meldplicht triggerde.

De schade bleef beperkt tot een halve dag productieverlies. Zonder dat plan hadden we te maken gehad met een situatie die uren tot dagen had kunnen duren, met alle juridische en financiële gevolgen van dien.

Stap voor stap door een cybercrisis

Wat doet u concreet op het moment dat een incident zich voordoet? Hier is een praktische volgorde:

Isoleer het probleem. Koppel getroffen systemen los van het netwerk. Niet uitschakelen, maar loskoppelen. Zo blijft het forensisch bewijs intact.
Bel uw crisispartner. Niet eerst googelen, niet zelf gaan repareren. Uw IT-leverancier moet als eerste aan de lijn zijn.
Breng intern de juiste mensen op de hoogte. Directie, financieel verantwoordelijke en HR als er personeelsgegevens zijn betrokken.
Documenteer alles. Schrijf op welke systemen zijn geraakt, wat u heeft gedaan en wanneer. Dit is essentieel voor eventuele meldplicht en voor de forensische analyse achteraf.
Beoordeel de meldplicht. Is er sprake van een datalek? Dan heeft u 72 uur om dit te melden bij de Autoriteit Persoonsgegevens. Twijfelt u? Schakel juridisch advies in.
Communiceer naar buiten op het juiste moment. Niet te vroeg, niet te laat. Klanten en leveranciers verdienen eerlijkheid, maar communiceer pas als u weet wat er is gebeurd.
Herstel gecontroleerd. Zet systemen pas terug als de oorzaak is gevonden en gedicht. Anders haalt u de aanvaller mee terug in uw netwerk.

Co-sourcing: de slimme keuze voor MKB

De meeste MKB-bedrijven hebben geen eigen IT-afdeling die 24 uur per dag beschikbaar is. Dat hoeft ook niet. Co-sourcing is het model waarbij u als ondernemer de regie houdt over uw bedrijf, terwijl een externe IT-partner de technische bewaking en crisisrespons voor zijn rekening neemt.

Bij Ratho bieden we dit aan als onderdeel van ons beheer. Uw medewerkers weten wie ze moeten bellen. Wij bewaken uw omgeving, detecteren afwijkingen vroeg en kunnen bij een incident direct handelen. U heeft altijd een aanspreekpunt, ook als het fout gaat.

Dat is heel wat anders dan een IT-partij bellen op het moment dat het al misgaat, en dan een uur in de wacht staan terwijl uw bedrijf stilligt.

Wat kunt u vandaag nog doen?

U hoeft niet alles tegelijk aan te pakken. Begin met drie concrete stappen:

Wijs vandaag een crisisverantwoordelijke aan. Leg dit vast, al is het maar in een e-mail naar het team.
Doe de DTC-zelfcheck via digitaltrustcenter.nl. Dit geeft u in 15 minuten een beeld van waar u staat.
Plan een gesprek met uw IT-partner over een Incident Response Plan. Als u dat nog niet heeft, is dit de hoogste prioriteit voor de komende maand.

Een cybercrisis kunt u niet altijd voorkomen. Maar u kunt wel bepalen hoe u eruit komt. En dat verschil zit in de voorbereiding.

Veelgestelde vragen

Moet ik een datalek altijd melden?

Niet elk datalek hoeft gemeld te worden, maar de drempel is lager dan de meeste ondernemers denken. Als persoonsgegevens zijn gelekt en dit risico oplevert voor de betrokkenen, bent u op grond van de AVG verplicht dit binnen 72 uur te melden bij de Autoriteit Persoonsgegevens. Bij twijfel is juridisch advies verstandig. Wacht in ieder geval niet af.

Moet ik losgeld betalen bij ransomware?

Het Nationaal Cyber Security Centrum (NCSC) adviseert om geen losgeld te betalen. Betalen geeft geen garantie op herstel van uw bestanden, stimuleert criminelen om door te gaan en maakt u mogelijk een herhaald doelwit. De beste bescherming is een recente, getest back-up die los staat van uw netwerk.

Wat is het verschil tussen een back-up en een echte herstelmogelijkheid?

Veel bedrijven denken dat ze een back-up hebben, maar weten niet of die ook werkt. Een back-up is pas waardevol als u hem heeft getest. Kunt u binnen een aanvaardbare tijd alles terugzetten? En staat de back-up volledig los van uw productieomgeving? Een back-up die gekoppeld is aan hetzelfde netwerk wordt bij ransomware vaak ook versleuteld.

Wat doet Ratho als wij te maken krijgen met een cyberincident?

Als u bij Ratho onder beheer zit, heeft u een direct aanspreekpunt dat weet hoe uw omgeving is ingericht. We handelen direct: isoleren van getroffen systemen, forensisch onderzoek naar de oorzaak, herstel vanuit back-up en begeleiding bij de communicatie en eventuele meldplicht. We stellen ook samen met u een Incident Response Plan op, zodat u nooit met lege handen staat. Wilt u weten hoe dit voor uw bedrijf zou werken? Neem dan vrijblijvend contact met ons op.

Hoe manage je een cybercrisis? Praktische gids voor MKB