Gids · IT-support23 oktober 20264 min lezen
Cybersecurity voor KMO's: de gids voor zaakvoerders
Pieter Van Baekel · SUS Consult
Foto: Pexels
Je hoeft geen bank te zijn om gehackt te worden. Een overgenomen mailbox of versleutelde laptop legt een kleine zaak even hard plat. Met een eenvoudig plan voorkom je het meeste.
Cybersecurity klinkt als iets voor grote bedrijven met een eigen IT-afdeling. Maar de aanvallen die kleine bedrijven treffen, zijn zelden gericht. Ze zijn massaal en geautomatiseerd: miljoenen phishingmails, gestolen wachtwoorden die op duizenden diensten uitgeprobeerd worden, scans naar toestellen die niet bijgewerkt zijn. Wie kwetsbaar is, wordt gevonden.
In deze gids lees je waar de echte risico's zitten, hoe je met een eenvoudig plan het grootste deel afdekt, en wat je doet als het toch misgaat.
De vier grootste risico's voor een kleine zaak
1. Phishing en factuurfraude
Een mail die lijkt te komen van je bank, je leverancier of een collega. Een link naar een valse aanmeldpagina, of de vraag om voortaan op een ander rekeningnummer te betalen. Het volume is enorm: Safeonweb kreeg in 2022 alleen al zo'n 6 miljoen verdachte berichten doorgestuurd door Belgen.
2. Overgenomen accounts
Een gelekt of zwak wachtwoord, en iemand anders leest je mail. Van daaruit kan hij wachtwoorden van andere diensten resetten, of in jouw naam facturen sturen naar je klanten.
3. Ransomware
Software die je bestanden versleutelt en losgeld vraagt. Zonder een back-up die los staat van je netwerk, sta je voor de keuze tussen betalen en alles kwijt zijn.
4. Vergeten toestellen
Een oude laptop met een actieve mailbox, een router of camera met het standaardwachtwoord, een website die al jaren geen update kreeg. Elk van die toestellen is een open deur.
Een plan in vijf stappen
Het Centrum voor Cybersecurity België (CCB) heeft met CyberFundamentals een raamwerk gemaakt om een beveiligingsplan op te bouwen. Het volgt vijf functies. Vertaald naar je bedrijf:
| Functie | Wat het betekent voor jou |
|---|---|
| Identificeren | Weet welke toestellen, accounts en gegevens je hebt, en wat het belangrijkst is. |
| Beschermen | Tweestapsverificatie, sterke wachtwoorden, updates, een gescheiden netwerk. |
| Detecteren | Meldingen bij verdachte aanmeldingen, iemand die de waarschuwingen ook leest. |
| Reageren | Een korte afspraak over wie wat doet als er iets misloopt. |
| Herstellen | Back-ups die je kan terugzetten, en weten hoe lang dat duurt. |
CyberFundamentals heeft vier niveaus. Voor een kleine zaak is er "Small": een lijst met de belangrijkste basismaatregelen, zonder controle of attest. Lever je aan grotere bedrijven, dan vragen die steeds vaker het niveau "Basic", omdat ze door NIS2 ook hun leveranciers moeten controleren.
Beschermen: de maatregelen met het meeste effect
- Tweestapsverificatie op mail, bank, boekhouding, website en sociale media. Volgens Microsoft Research verlaagt het het risico op een overgenomen account met meer dan 99 procent.
- Een wachtwoordmanager voor iedereen, met een uniek wachtwoord per dienst.
- Automatische updates op laptops, gsm's, netwerk en website.
- Een gescheiden netwerk: gasten, camera's en slimme toestellen niet op hetzelfde netwerk als je pc's. Zie een betrouwbaar bedrijfsnetwerk met UniFi.
- SPF, DKIM en DMARC op je domein, zodat oplichters minder makkelijk mailen in jouw naam. Zie een mailadres op je eigen domein.
- Back-ups van mail en bestanden, met minstens één kopie die los staat van je netwerk.
Wil je weten waar je deze week begint? Lees de basis die je deze week regelt.
De mens is de belangrijkste laag
De meeste inbraken beginnen niet met een technisch hoogstandje, maar met een klik. Leg je team uit hoe phishing eruitziet, en maak een paar vaste afspraken:
- Een gewijzigd rekeningnummer controleer je altijd telefonisch, via een nummer dat je al had.
- Verdachte berichten stuur je door naar verdacht@safeonweb.be. Safeonweb laat valse links dan blokkeren in de browsers.
- Wie toch klikte, meldt het meteen. Zonder verwijten: hoe sneller je het weet, hoe kleiner de schade.
Zulke gewoontes blijven alleen hangen met opvolging. Zie change management in een kleine zaak.
NIS2: geldt het voor jou?
De Belgische NIS2-wet van 26 april 2024 is sinds 18 oktober 2024 van kracht. Ze geldt in principe voor middelgrote en grote organisaties in bepaalde sectoren, zoals energie, transport, gezondheid, digitale infrastructuur, voeding, afvalbeheer en bepaalde maakindustrie. Volgens het CCB ligt de grens bij minstens 50 voltijdse medewerkers of meer dan 10 miljoen euro omzet of balanstotaal.
Kleine en micro-ondernemingen vallen er meestal buiten. Maar lever je aan een organisatie die wel onder NIS2 valt, dan kan die via een contract eisen dat jij ook beveiligingsmaatregelen neemt. Het CCB raadt leveranciers in dat geval minstens CyberFundamentals Basic aan.
Twijfel je of je onder NIS2 valt? Het CCB heeft een snelstartgids en een uitgebreide uitleg op atwork.safeonweb.be. Dit artikel is uitleg, geen juridisch advies.
Als het toch misgaat
- Isoleer. Haal een besmet toestel van het netwerk (kabel uit, wifi uit). Zet het niet uit, dat kan sporen wissen.
- Wijzig wachtwoorden van getroffen accounts, vanaf een ander, schoon toestel.
- Verwittig je bank als er betalingen of betaalgegevens in het spel zijn. Elke minuut telt.
- Verwittig klanten als er vanuit jouw mailbox valse berichten vertrokken.
- Herstel vanuit je back-up.
- Doe aangifte bij de politie, en ga na of je een datalek moet melden bij de Gegevensbeschermingsautoriteit.
Schrijf deze stappen vooraf op één blad, met de telefoonnummers van je bank, je IT-contact en je verzekeraar. In paniek denk je er niet meer aan.
Gratis hulp en subsidie
Via Safeonweb@work biedt het CCB gratis hulpmiddelen: een self-assessment, korte stappenplannen (Quick Wins), sjablonen voor beleid en een gratis Quick Scan Report. VLAIO bundelt die hulpmiddelen en verwijst naar de cybersecurity verbetertrajecten. De KMO-portefeuille, die cybersecurity-advies gedeeltelijk terugbetaalde, wordt stopgezet: het budget voor 2026 is op en vanaf 2027 verdwijnt ze. Kijk de actuele voorwaarden na op de site van VLAIO.
Veelgestelde vragen
Valt mijn bedrijf onder NIS2?
Meestal niet rechtstreeks. NIS2 geldt in principe voor middelgrote en grote organisaties (vanaf 50 voltijdse medewerkers of meer dan 10 miljoen euro omzet of balanstotaal) in bepaalde sectoren. Lever je aan zo'n organisatie, dan kan die wel eisen dat jij ook maatregelen neemt. Het CCB raadt leveranciers dan minstens CyberFundamentals Basic aan.
Wat doe ik als ik op een phishinglink geklikt heb?
Wijzig meteen het wachtwoord van het account in kwestie vanaf een ander toestel, zet tweestapsverificatie aan, en verwittig je bank als je betaalgegevens ingaf. Stuur het bericht door naar verdacht@safeonweb.be zodat de link geblokkeerd kan worden.
Is een antivirusprogramma genoeg?
Nee. Antivirus is één laag. De meeste inbraken beginnen bij een gestolen wachtwoord of een misleide medewerker, en daar helpt antivirus niet tegen. Tweestapsverificatie, updates, back-ups en een alert team doen samen het meeste werk.
Bronnen
- NIS2: wat betekent het voor jouw organisatie? — Centrum voor Cybersecurity België
- Safeonweb at Work en CyberFundamentals — Centrum voor Cybersecurity België
- Maak jouw bedrijf cyberveilig — VLAIO
- How effective is multifactor authentication at deterring cyberattacks? — Microsoft Research
- De 5 meest gestelde vragen over verdacht@safeonweb.be — Forum for the Future / Safeonweb
- Cybersecurity verbetertrajecten — VLAIO
- Vlaamse Regering beslist om kmo-portefeuille stop te zetten — VLAIO
Gecontroleerd op 25 oktober 2026. Regels en prijzen veranderen; kijk bij twijfel de bron na.
