Terug naar de blog
1 november 2026

Datalek melden: de stappen voor je bedrijf, van ontdekking tot melding

Een medewerker registreert een datalek in het register

Een datalek meld je in vijf stappen. Eerst breng je in kaart wat er gebeurd is. Daarna stop je het lek en beperk je de schade. Vervolgens beoordeel je het risico voor de mensen van wie de gegevens zijn. Is dat risico er, dan meld je het lek binnen 72 uur bij de Autoriteit Persoonsgegevens (AP) via het digitale meldformulier. Tot slot leg je alles vast in je eigen datalekregister, ook als je niet hoeft te melden. Hieronder lees je per stap wat je doet, welke informatie je nodig hebt en hoe je ervoor zorgt dat je team de volgende keer meteen weet wat het moet doen.

Astia
Werk veilig verder na een datalek
Astia beheert werkplekken, netwerken en telefonie voor mkb-bedrijven, zodat teams zich minder met techniek hoeven bezig te houden.
Bekijk Astia

Kort samengevat

  • ⏱️ Je hebt 72 uur om een meldplichtig datalek te melden bij de AP. De klok begint te lopen zodra je redelijk zeker weet dat persoonsgegevens in gevaar zijn.
  • 🔍 Begin altijd met overzicht: wat is de oorzaak, welke gegevens zijn het en hoeveel mensen raakt het?
  • 📝 Melden doe je via het online meldformulier van de AP, niet per mail of telefoon. Ontbreekt er nog informatie, dan vul je die later aan.
  • 📢 Is het risico voor de betrokkenen hoog? Dan informeer je ook die mensen zelf.
  • 📂 Elk datalek komt in je interne datalekregister, ook als je het niet hoeft te melden.

Inhoudsopgave

Wanneer is iets een datalek?

Volgens de Europese privacytoezichthouders is een datalek een inbreuk op de beveiliging die leidt tot onopzettelijke of onrechtmatige vernietiging, verlies, wijziging of ongeoorloofde toegang tot persoonsgegevens. Dat is breder dan veel ondernemers denken. Een datalek gaat niet alleen over gegevens die “uitlekken”. Ook als gegevens onbruikbaar of onbereikbaar worden, of als iemand ze ongemerkt aanpast, is er sprake van een lek.

Een paar voorbeelden uit de praktijk van een gemiddeld mkb-bedrijf:

  • 📧 Een medewerker mailt een salarisoverzicht naar de verkeerde ontvanger.
  • 💻 Een onversleutelde laptop met klantgegevens blijft achter in de trein.
  • 🔒 Ransomware versleutelt je bestandsserver, waardoor je niet meer bij je klantdossiers kunt.
  • 🎣 Een collega vult na een phishingmail zijn Microsoft 365-wachtwoord in, en een onbekende leest zijn mailbox mee.
  • 🗑️ Een map met personeelsdossiers wordt per ongeluk verwijderd en er is geen werkende back-up.

Let op het verschil tussen een zwakke plek en een echt incident. Een verouderde server of een slecht wachtwoordbeleid is een beveiligingsrisico, maar nog geen datalek. Daarvan is pas sprake als er daadwerkelijk iets misgaat met persoonsgegevens. Het risico moet je natuurlijk wel zo snel mogelijk oplossen, juist om een datalek te voorkomen.

Het stappenplan bij een datalek

De AP beschrijft op haar pagina Datalek? Dit moet u doen welke stappen een organisatie zet. Wij hebben ze uitgewerkt in de volgorde waarin je ze in de praktijk doorloopt.

1. Breng in kaart wat er gebeurd is

Voordat je iets meldt, wil je weten waar je het over hebt. Zoek uit:

  • De oorzaak: een verkeerd verstuurde mail, een gehackt account, een gestolen apparaat, malware?
  • Het type gegevens: gaat het om namen en e-mailadressen, of ook om BSN’s, bankgegevens, medische informatie of inloggegevens?
  • De omvang: hoeveel personen raakt het en om hoeveel records gaat het?
  • Het tijdstip: wanneer is het gebeurd en wanneer werd het ontdekt?

Schrijf alles meteen op, met tijdstippen erbij. Die aantekeningen heb je straks nodig voor de melding en voor je register.

2. Stop het lek en beperk de schade

Tegelijk met het onderzoek neem je maatregelen om het lek te dichten. Wat dat betekent, hangt af van het incident:

  • Vraag de verkeerde ontvanger van een mail om het bericht te verwijderen en dat te bevestigen.
  • Wis een verloren laptop of telefoon op afstand en blokkeer het account.
  • Reset gelekte wachtwoorden en zet tweestapsverificatie aan.
  • Haal besmette systemen van het netwerk bij ransomware. Hoe je daarna herstelt zonder losgeld te betalen, lees je in ons ransomware herstelplan.
  • Zet verloren gegevens terug vanuit een back-up.

Wis geen sporen die je later nodig hebt. Logbestanden en bewijs helpen bij het onderzoek, bij de melding en eventueel bij je cyberverzekering.

3. Beoordeel het risico voor de betrokkenen

Nu de eerste brand geblust is, kijk je naar de mensen van wie de gegevens zijn. Wat kan er voor hen misgaan? Denk aan identiteitsfraude, financiële schade, reputatieschade of discriminatie. Hoe gevoeliger de gegevens en hoe groter de groep, hoe hoger het risico. Op basis van die inschatting beslis je of je moet melden. In de tabel verderop zie je hoe dat werkt.

4. Meld het lek binnen 72 uur bij de AP

Is het lek meldplichtig, dan meld je het binnen 72 uur na ontdekking bij de AP. De termijn start op het moment dat je redelijk zeker weet dat een beveiligingsincident persoonsgegevens in gevaar heeft gebracht. Een vaag vermoeden is dus nog niet het startpunt, maar wachten tot je alles tot op de bodem hebt uitgezocht ook niet.

Zo werkt de melding:

  • Je gebruikt het digitale Meldformulier datalekken van de AP. Een melding per e-mail of telefoon telt niet.
  • Je vult in wat je weet over de aard van het lek, de soorten gegevens, het aantal betrokkenen, de gevolgen en de maatregelen die je hebt genomen.
  • Heb je binnen 72 uur nog niet alle informatie? Dan mag je de melding in fasen doen. Meld op tijd wat je weet en vul later aan.
  • Blijkt na verder onderzoek dat er toch geen datalek was? Dan kun je dat volgens het NCSC aan je melding toevoegen.

Na je melding hoor je meestal niets inhoudelijks terug. Heeft de AP vragen, dan neemt zij binnen 2 weken contact op.

5. Informeer de betrokkenen als het risico hoog is

Bij een hoog risico voor de mensen zelf moet je hen ook persoonlijk inlichten. Dat werken we hieronder verder uit.

6. Leg alles vast in je datalekregister

Ook een lek dat je niet hoeft te melden, registreer je intern. Meer daarover lees je in de paragraaf over het register.

7. Evalueer en verbeter

Kijk na afloop samen terug. Hoe kon dit gebeuren? Was het lek eerder te ontdekken? Welke maatregel voorkomt herhaling? Een oplossing kan heel praktisch zijn: versleuteling op alle laptops, een waarschuwing in Outlook bij externe ontvangers of een korte training over phishing.

Een medewerker neemt deel aan een phishingtraining met zijn laptop

Melden of niet? Zo maak je de afweging

Het uitgangspunt is dat je een datalek meldt, tenzij het onwaarschijnlijk is dat het een risico oplevert voor de betrokkenen. Twijfel je, dan is melden de veilige keuze. De tabel geeft een eerste richting.

Situatie Melden bij de AP? Betrokkenen informeren?
Gegevens zijn goed versleuteld, je hebt een recente back-up en de sleutel is veilig Meestal niet Nee
Een mail met alleen zakelijke contactgegevens gaat naar één verkeerde, betrouwbare ontvanger die hem direct verwijdert Vaak niet, wel registreren Nee
Een onversleutelde laptop met klantgegevens is gestolen Ja Afhankelijk van het risico
Een hacker heeft toegang gehad tot een mailbox met BSN’s of bankgegevens Ja Ja, bij hoog risico
Ransomware maakt je klantdossiers onbereikbaar en er is geen back-up Ja Afhankelijk van het risico
Medische of andere bijzondere gegevens zijn bij onbevoegden terechtgekomen Ja Ja, bij hoog risico

De eerste regel verdient uitleg. De AP stelt dat je versleutelde of gehashte gegevens niet hoeft te melden als ze intact zijn, je ze volledig onder controle hebt met een recente back-up, en de sleutel veilig en onvindbaar blijft. Dat laat zien hoeveel goede versleuteling en back-ups waard zijn: een gestolen laptop is dan vervelend, maar geen meldplichtig lek.

De AP houdt risicogestuurd toezicht. Ze richt zich vooral op datalekken met de grootste risico’s voor slachtoffers. Een zorgvuldige melding en een goed bijgehouden register laten zien dat je je verantwoordelijkheid neemt.

Wanneer informeer je de betrokkenen?

Brengt het datalek waarschijnlijk een hoog risico voor de rechten en vrijheden van de betrokkenen mee? Dan informeer je ook hen. Denk aan gelekte inloggegevens, financiële gegevens, kopieën van identiteitsbewijzen of gezondheidsinformatie.

Een goed bericht aan betrokkenen is helder en zonder vakjargon. Neem in elk geval op:

  • wat er is gebeurd en wanneer;
  • welke gegevens van hen het betreft;
  • wat de mogelijke gevolgen zijn;
  • wat jij al hebt gedaan om de schade te beperken;
  • wat zij zelf kunnen doen, zoals hun wachtwoord wijzigen of alert zijn op phishing;
  • bij wie ze terechtkunnen met vragen.

💡 Tip: zet een conceptbericht klaar in je datalekprocedure. Onder tijdsdruk schrijf je geen goede tekst, en met een sjabloon hoef je alleen de details aan te vullen.

Het datalekregister: ook voor lekken die je niet meldt

De AP verwacht dat je elk datalek intern registreert, ook als je het niet bij de AP hoeft te melden. Zo kun je later laten zien wat er gebeurd is en waarom je een bepaalde keuze hebt gemaakt.

Leg per incident vast:

  • datum en tijdstip van het incident en van de ontdekking;
  • wat er is gebeurd en wat de oorzaak was;
  • welke gegevens en hoeveel personen het betreft;
  • je risicobeoordeling en de keuze om wel of niet te melden, met de reden;
  • de genomen maatregelen;
  • of en wanneer je de AP en de betrokkenen hebt geïnformeerd.

Het register werkt het best samen met je verwerkingsregister. Daarin staat welke persoonsgegevens je verwerkt en waar ze staan, zodat je bij een lek snel ziet wat er op het spel staat. In ons artikel over het AVG-verwerkingsregister lees je hoe je dat opzet.

Vergeet daarbij je website en webshop niet. Ook bezoekersgegevens die je verzamelt met analyse- en advertentietools zijn vaak persoonsgegevens. Wie zijn tracking en Consent Mode goed heeft ingericht, weet precies welke data er via de site binnenkomt. Dat maakt het overzicht en de registratie bij een incident een stuk eenvoudiger.

Zo richt je een interne datalekprocedure in

De 72 uur gaan snel voorbij als niemand weet wie wat doet. Daarom adviseert de AP om vooraf een intern werkproces vast te leggen en medewerkers uitleg of training te geven. Zo’n procedure hoeft geen dik document te zijn. Eén of twee pagina’s met deze onderdelen is genoeg:

  1. Eén aanspreekpunt. Wie meldt een medewerker een incident aan? Zet ook een vervanger op papier.
  2. Een interne meldtermijn. Spreek af dat medewerkers een vermoedelijk lek direct melden, bijvoorbeeld binnen een uur.
  3. Contactgegevens. Telefoonnummers van het aanspreekpunt, de directie, je IT-partner en eventueel je verzekeraar.
  4. Afspraken over vervolgstappen. Wie onderzoekt, wie beslist over de melding en wie informeert de betrokkenen?
  5. Interne registratie. Waar staat het datalekregister en wie houdt het bij?

Verwerk je gegevens in andere EU-landen, bijvoorbeeld via vestigingen of klanten over de grens? Bepaal dan vooraf welke toezichthouder de leidende autoriteit is, zodat je niet tijdens een incident hoeft uit te zoeken waar je moet melden.

De datalekprocedure past goed in een breder plan voor IT-incidenten. Hoe je zo’n plan opzet, lees je in onze gids over een incidentresponsplan opstellen. Heb je een cyberverzekering of overweeg je er een? Kijk dan ook welke eisen verzekeraars stellen aan je IT, want daar hoort de aanpak van incidenten vaak bij.

Onze kijk op datalekken in het mkb

Bij de meeste mkb-bedrijven begint een datalek niet met een geavanceerde hack. Het begint met iets kleins: een verkeerde ontvanger, een laptop zonder versleuteling of een wachtwoord dat via phishing is buitgemaakt. Juist daarom zien wij een datalek vooral als een IT-vraagstuk dat je grotendeels vooraf kunt regelen.

Als wij een werkplek beheren, zorgen we dat de basis klopt: versleutelde apparaten die je op afstand kunt wissen, tweestapsverificatie, actuele updates en back-ups die je echt kunt terugzetten. Dankzij 24/7 monitoring zien we afwijkingen vaak voordat een medewerker iets merkt. En gaat er toch iets mis, dan bel je ons direct. Geen ticket dat ergens in een wachtrij belandt, maar meteen iemand aan de lijn die je omgeving kent.

Dat scheelt kostbare uren in die eerste 72 uur. Je weet sneller wat er is gebeurd, het lek is sneller dicht en je hebt de feiten op een rij voor je melding. Omdat wij verantwoordelijk zijn voor het hele IT-fundament, van werkplek tot netwerk en telefonie, hoef je niet langs drie leveranciers om antwoorden bij elkaar te zoeken.

Mick

Hulp bij het voorkomen en afhandelen van datalekken

Wil je niet zelf hoeven uitzoeken of je laptops versleuteld zijn, je back-ups werken en je accounts goed beveiligd zijn? Met onze IT-beveiliging voor het mkb regelen we die basis voor je, met monitoring en direct telefonisch contact als er iets gebeurt.

Astia

We werken met een vast, transparant bedrag per werkplek. Wil je ook dat je herstel na een incident goed geregeld is? Bekijk dan onze aanpak voor back-up en disaster recovery.

Veelgestelde vragen

Bij wie moet ik een datalek melden?

Een meldplichtig datalek meld je bij de Autoriteit Persoonsgegevens, via het digitale meldformulier op haar website. Is het risico voor de betrokkenen hoog, dan informeer je ook die mensen zelf. Daarnaast registreer je elk lek in je eigen datalekregister.

Wat is de boete voor een datalek?

De AP kan een boete opleggen als een organisatie een meldplichtig lek niet of te laat meldt, of als de beveiliging niet op orde was. De hoogte hangt af van de ernst en de omstandigheden. De AP richt haar toezicht vooral op lekken met de grootste risico’s. Op tijd en zorgvuldig melden, en alles goed vastleggen, is dus de beste aanpak.

Wat als ik niet binnen 72 uur alle informatie heb?

Meld dan op tijd wat je wel weet en vul de melding later aan. Melden in fasen is toegestaan. Blijkt achteraf dat er geen datalek was, dan kun je dat aan je melding toevoegen.

Hoe weet ik of mijn bedrijf een datalek heeft?

Signalen zijn bijvoorbeeld onbekende inlogpogingen, mails die je niet zelf hebt verstuurd, bestanden die ineens versleuteld zijn of een melding van een medewerker over een verkeerd verstuurd bericht. Monitoring van je systemen en accounts helpt om dit snel te zien. Zorg ook dat medewerkers weten dat ze elk vermoeden direct moeten melden.

Bronnen

Astia
Praat over IT-beveiliging
Neem contact op met Astia om te bespreken hoe het beheer van werkplekken, netwerken en telefonie binnen uw bedrijf kan worden ondersteund.

Aanbevelingen