Stel je voor: maandagochtend, kwart voor negen. Je wilt snel een offerte mailen voordat de klant om negen uur belt. Maar je e-mail werkt niet. Je website is ook offline. Je belt je contactpersoon bij de hostingprovider, maar je krijgt alleen een statusmelding te zien die zegt: "We zijn bezig met herstel. Er is op dit moment geen verwachte eindtijd." En dan wacht je. En wacht je. Ondertussen loopt de klant weg.

Dit is precies wat er deze week gebeurde bij klanten van mijn.host, een populaire Nederlandse webhostingprovider. Wat aanvankelijk klonk als een vervelende hardwarestoring, bleek later een beveiligingsincident te zijn. En dat onderscheid maakt alles anders.

Herken je dit scenario?

Herken je dat gevoel van totale afhankelijkheid van een externe partij, zonder enige invloed op wat er aan de andere kant gebeurt? Dan ben je zeker niet de enige. Veel MKB-bedrijven in Brabant draaien hun website, e-mail en soms zelfs hun administratie via een hostingpartij waar ze verder weinig contact mee hebben. Het werkt gewoon, dus waarom zou je erover nadenken?

Totdat het niet meer werkt.

Wat er precies gebeurde bij mijn.host

mijn.host meldde aanvankelijk dat de storing werd veroorzaakt door defecte opslag binnen het platform. Servers waren urenlang offline. Klanten kregen geen eindtijd te horen, alleen de mededeling dat men bezig was met herstel.

Later herzag het bedrijf zijn verklaring. De werkelijke oorzaak was een beveiligingsincident. De opslagstoring was het gevolg, niet de oorzaak. Dat is een cruciaal verschil. Bij een hardwarestoring is de vraag: wanneer werkt het weer? Bij een beveiligingsincident is de vraag: wat is er met mijn data gebeurd?

En die tweede vraag heeft mijn.host vooralsnog niet beantwoord.

Waarom dit voor jou als MKB-ondernemer relevant is

Je hoeft geen klant van mijn.host te zijn om hier iets van te leren. Dit incident legt drie kwetsbaarheden bloot die ik keer op keer tegenkom bij MKB-bedrijven in Brabant.

1. Eén punt van falen

Als je website, e-mail en klantgegevens allemaal bij dezelfde provider staan, zonder backup of alternatief, dan is één incident genoeg om je bedrijf stil te leggen. Niet voor een uur. Soms voor dagen.

2. AVG-verplichtingen die je misschien niet kent

Als er persoonsgegevens zijn blootgesteld bij een beveiligingsincident, heb je als verwerkingsverantwoordelijke een meldplicht bij de Autoriteit Persoonsgegevens. Die melding moet binnen 72 uur na ontdekking plaatsvinden. Niet de hostingprovider doet die melding, maar jij. Als jij klantdata, orderinformatie of contactgegevens verwerkt via die hostingomgeving, ben jij verantwoordelijk.

Weet je of jouw hostingpartij persoonsgegevens voor je verwerkt? En heb je daar een verwerkersovereenkomst voor afgesloten? Dat zijn geen overbodige vragen.

3. Niemand die kan schakelen

Bij veel MKB-bedrijven is IT de verantwoordelijkheid van "de handigste collega". Die persoon heeft de inloggegevens, weet hoe het systeem werkt en lost het op als er iets misgaat. Maar wat als die collega op vakantie is? Of als het probleem buiten zijn of haar kennis valt? Dan staat het bedrijf stil en is er niemand die weet wat te doen.

Een klant van ons die dit te dicht bij huis meemaakte

Een klant van ons, een administratiekantoor in de regio Tilburg, had een paar jaar geleden een vergelijkbare situatie. Hun website en e-mail draaiden bij een kleine hostingprovider. Op een dinsdagochtend was alles offline. De eigenaar belde ons in paniek: klanten konden geen berichten sturen, de medewerkers konden geen bestanden ophalen.

Wij konden snel schakelen omdat we toegang hadden tot de omgeving, de juiste contacten kenden en een noodscenario hadden uitgedacht. Binnen twee uur draaide e-mail via een tijdelijke route. Maar wat ons het meest raakte? De eigenaar wist niet eens bij welke provider zijn data stond. Hij had dat ooit door iemand laten regelen. Die persoon werkte er allang niet meer.

Dit is geen uitzondering. Dit is de norm.

De Ratho-driehoek: Mens, Proces, Techniek

Bij Ratho kijken we altijd door drie lenzen tegelijk. Techniek alleen lost niets op als de processen niet kloppen. En processen werken niet als de mensen er niet mee omweg kunnen. Het incident bij mijn.host is daar een perfecte illustratie van.

Techniek

Is je hostingomgeving ingericht met redundantie? Heb je backups die niet op dezelfde server staan als je productieomgeving? Worden die backups regelmatig getest? Dit zijn technische basisvragen die veel MKB-bedrijven nooit hebben gesteld, omdat alles altijd gewoon werkte.

Proces

Wat doe jij als je website offline gaat? Is er een stappenplan? Weet iemand in jouw organisatie wat de inloggegevens zijn, wie je moet bellen en hoe lang je maximaal wilt wachten voordat je naar een noodoplossing overstapt? Zonder dat plan verlies je kostbare uren met zoeken en bellen terwijl klanten afhaken.

Mens

Weten jouw medewerkers wat ze moeten doen bij een IT-uitval? Kunnen ze tijdelijk via een andere route werken? Weten ze wie ze moeten waarschuwen? De menselijke kant van IT-continuïteit wordt het vaakst vergeten, maar is in de praktijk het meest bepalend voor hoe snel een bedrijf herstelt.

Wat je nu concreet kunt doen

Je hoeft dit niet allemaal in één dag op te lossen. Maar begin ergens. Hier zijn vier stappen die je direct kunt zetten.

Weet waar je data staat. Noteer bij welke provider je website, e-mail en eventuele databases gehost worden. Wie heeft de inloggegevens? Waar staat dit gedocumenteerd?
Controleer je SLA. Wat heeft jouw hostingprovider beloofd over beschikbaarheid en herstel? Documenteer de downtime van nu, zodat je later eventueel claims kunt indienen.
Vraag om een incident report. Als jouw provider getroffen is door een beveiligingsincident, heb je het recht om te weten wat er is gebeurd en of jouw data betrokken was. Stel die vraag schriftelijk.
Denk na over een continuïteitsplan. Wat doet jouw bedrijf als de website twee dagen offline is? Als e-mail twee dagen niet werkt? Schrijf het op. Bespreek het. Dat gesprek is al waardevoller dan de meeste dure beveiligingstools.

Hoe Ratho hierbij helpt

Bij Ratho helpen we MKB-bedrijven in Brabant om IT van een knelpunt te maken naar een betrouwbare basis. Dat betekent niet alleen dat we servers beheren of software installeren. Het betekent dat we samen met je kijken naar je volledige IT-omgeving, inclusief de externe partijen waarvan je afhankelijk bent.

We helpen je bij cloudmigraties naar Microsoft 365 of Azure, zodat je minder afhankelijk bent van enkelvoudige hostingoplossingen. We zorgen voor back-upstrategieën die echt getest worden. En we begeleiden je medewerkers zodat ze weten wat ze moeten doen als het een keer misgaat.

Want de vraag is niet of het een keer misgaat. De vraag is of jij er klaar voor bent als het gebeurt.

Veelgestelde vragen

Mijn website draait bij mijn.host. Wat moet ik nu doen?

Controleer eerst of je website en e-mail bereikbaar zijn via status.mijn.host. Documenteer de downtime zorgvuldig voor je administratie. Vraag mijn.host schriftelijk om opheldering over de aard van het beveiligingsincident en of klantdata betrokken was. Als je persoonsgegevens verwerkt via de hostingomgeving, beoordeel dan of je een AVG-melding moet doen bij de Autoriteit Persoonsgegevens. Die termijn is 72 uur.

Ben ik als MKB-er verantwoordelijk voor een AVG-melding als mijn hostingprovider gehackt wordt?

Ja, in veel gevallen wel. Als jij persoonsgegevens verwerkt via de hostingomgeving, ben jij de verwerkingsverantwoordelijke. De hostingprovider is de verwerker. Bij een beveiligingsincident waarbij persoonsgegevens zijn blootgesteld, ben jij verplicht dit te melden bij de Autoriteit Persoonsgegevens, tenzij het incident waarschijnlijk geen risico vormt voor de rechten en vrijheden van betrokkenen. Twijfel je? Meld dan wel. De boetes voor niet-melden zijn aanzienlijk.

Hoe weet ik of mijn hostingprovider betrouwbaar genoeg is?

Let op een aantal zaken: Heeft de provider een duidelijke SLA met hersteltijden? Communiceert het bedrijf transparant bij storingen? Is er redundantie in de infrastructuur? Waar staan de servers fysiek? Heeft de provider een verwerkersovereenkomst die voldoet aan de AVG? En heeft de provider aantoonbare beveiligingscertificering, zoals ISO 27001? Als je op meerdere van deze vragen geen antwoord weet, is het tijd voor een gesprek.

Wij werken al met Microsoft 365. Hebben wij dit soort problemen dan niet?

Microsoft 365 biedt veel meer redundantie dan de gemiddelde webhostingprovider. E-mail via Exchange Online en bestanden via SharePoint zijn verdeeld over meerdere datacenters en hebben een hoge beschikbaarheidsgarantie. Maar ook Microsoft 365 kent storingen, en een cloudoplossing is geen excuus om niet na te denken over back-ups en continuïteitsplannen. Zorg dat je weet wat je hebt en wat de limieten zijn.

Storing mijn.host: wat MKB-bedrijven moeten weten