Wat kost een datalek
uw organisatie echt?
De rekening van een datalek reikt verder dan de eerste krantenkoppen. AVG-boetes, juridische procedures, reputatieschade en bestuurlijke aansprakelijkheid: de werkelijke kosten zijn vaak verwoestend. Dit is wat u vooraf moet weten.
IBM Cost of a Data Breach, 2025
in Nederland (2024)
na ontdekking van een datalek
De vier kostenposten die organisaties onderschatten
Wanneer een datalek zich voordoet, denken de meeste bestuurders direct aan de meldplicht en de IT-herstelkosten. Maar de daadwerkelijke schadepost is een veelvoud daarvan — en het grootste deel is onzichtbaar totdat het al te laat is.
AVG-boetes
De Autoriteit Persoonsgegevens kan bij onvoldoende beveiliging een boete opleggen. Niet melden binnen 72 uur, geen passende maatregelen nemen of bijzondere persoonsgegevens blootstellen zijn alle overtredingen die direct tot een sanctie leiden.
Tot €20 mln of 4% wereldwijde omzetReputatieschade & klantverloop
Klanten en partners die hun gegevens aan u hebben toevertrouwd, trekken hun conclusies. Onderzoek toont aan dat bijna de helft van de getroffen organisaties na een lek te maken kreeg met klantafname én de noodzaak de eigen prijzen te verhogen om de schade te dekken.
Langdurig omzetverliesJuridische kosten
Getroffen personen hebben recht op schadevergoeding. Naarmate class-action-procedures ook in Europa terrein winnen, neemt het risico op collectieve rechtszaken toe. Externe privacyjuristen, verweer bij de AP en eventuele civiele procedures maken juridische kosten tot een substantiële post.
Tienduizenden tot miljoenen €Bestuurlijke aansprakelijkheid
Bestuurders kunnen persoonlijk aansprakelijk worden gesteld als aantoonbaar is dat zij onvoldoende toezicht hebben gehouden op databescherming. Onder AVG, NIS2 en DORA is het bestuur nadrukkelijk verantwoordelijk — niet alleen de CISO of FG.
Persoonlijk risico bestuurdersHet ijsberg-effect van een datalek
Wat naar buiten komt is slechts het topje. De werkelijke kostenpost schuilt grotendeels in wat onzichtbaar blijft voor media en toezichthouder — maar des te zwaarder drukt op uw bedrijfsvoering.
Directe crisiskosten
De werkelijke schadepost
“Bijna de helft van de getroffen organisaties gaf aan de eigen prijzen te willen verhogen vanwege een datalek — waarvan bijna een derde met meer dan 15 procent.” — IBM Cost of a Data Breach Report 2025, Benelux
AVG-boetes: wat riskeert u concreet?
De Autoriteit Persoonsgegevens hanteert een gestructureerd boetebeleid. De hoogte hangt af van het type overtreding, de ernst, de duur en of er sprake is van opzet of nalatigheid. Hieronder de meest relevante categorieën voor organisaties die persoonsgegevens verwerken.
| Overtreding | Categorie | Maximum boete |
|---|---|---|
| Onvoldoende beveiligingsmaatregelen | Categorie II | €500.000 (basis: €310.000) |
| Datalek niet (tijdig) melden bij AP | Categorie III | €750.000 (basis: €525.000) |
| Schending grondslagen / rechten betrokkenen | Zwaar | €20.000.000 of 4% omzet |
| Geen verwerkingsregister bijgehouden | Categorie I–II | Tot €500.000 |
Concrete voorbeelden uit de Nederlandse praktijk: het HagaZiekenhuis kreeg €460.000 opgelegd voor onvoldoende beveiliging van patiëntendossiers. Transavia moest €400.000 betalen voor het onvoldoende beveiligen van klantgegevens. De Belastingdienst ontving €2,75 miljoen voor onrechtmatige gegevensverwerking.
Let op: de verplichting om een datalek te melden geldt niet alleen voor grote organisaties. Iedere verwerkingsverantwoordelijke — ook het mkb, een woningcorporatie of een zorginstelling — is verplicht een datalek met risico voor betrokkenen binnen 72 uur te melden bij de AP.
Wat betekent dit voor uw sector?
De financiële impact van een datalek verschilt per branche. Gevoeligheid van de data, toepasselijke regelgeving en reputatiegevoeligheid bepalen samen hoe hard een incident aankomt.
Overheid & gemeenten
Overheden verwerken de meest gevoelige persoonsgegevens denkbaar: BSN-nummers, uitkeringsdata, justitiële informatie en woonsituaties van burgers. De politieke en maatschappelijke impact van een lek is enorm — verlies van publiek vertrouwen laat zich amper in geld uitdrukken.
De AP houdt specifiek toezicht op overheden en beschikt over de bevoegdheid om ook overheidsorganisaties te beboeten. Woo-verzoeken vormen een extra risicomoment: bij het laks anonimiseren van documenten kunnen gevoelige gegevens onbedoeld openbaar worden.
Specifieke risico’s
AVG-boete overheid Woo-aansprakelijkheid Politiek vertrouwensverlies NIS2-verplichtingen Rijksaudit & toezichtdruk Datalekken bij Woo-verzoekenZorginstellingen & ziekenhuizen
Patiëntgegevens behoren tot de meest beschermde categorie onder de AVG: bijzondere persoonsgegevens. Dit betekent dat de AP bij een lek in de zorg strenger toetst én hogere boetes kan opleggen. Bovendien zijn zorginstellingen een populair doelwit voor ransomware-aanvallen.
Wereldwijd zijn de kosten van datalekken in de gezondheidszorg structureel het hoogst van alle sectoren — al meer dan tien jaar op rij.
Specifieke risico’s
Bijzondere persoonsgegevens Hoogste boetecategorie AP NIS2-meldplicht Ransomware kwetsbaarheid Patiëntvertrouwen Dossieroverdracht risico’sBanken, verzekeraars & pensioenfondsen
De financiële sector valt onder een driedubbel regelgevingskader: AVG, NIS2 én DORA. Dat laatste verplicht financiële instellingen aantoonbaar digitaal weerbaar te zijn en te bewijzen dat test- en analyseprocessen veilig verlopen. Een datalek kan leiden tot onderzoek door zowel de AP als de DNB en de AFM.
Naast regulatoire risico’s is reputatieschade in de financiële sector bijzonder kostbaar: klanten die hun financiële data blootgesteld zien, stappen over.
Specifieke risico’s
DORA-aansprakelijkheid DNB & AFM-toezicht NIS2-meldplicht Klantverloop & AUM-verlies Class action risico TransactiedatarisicoWoningcorporaties, ICT & dienstverleners
Woningcorporaties beheren dossiers met huurinformatie, inkomensgegevens, zorgdata en huurgeschillen — een combinatie van gewone én bijzondere persoonsgegevens. Fouten bij documentdeling, Woo-verzoeken of het gebruik van productiedata in testomgevingen zijn reële lekrisico’s.
ICT-bedrijven en softwareleveranciers lopen als verwerker bovendien risico voor datalekken bij hun klanten. Zij zijn medeverantwoordelijk en kunnen aansprakelijk worden gesteld wanneer hun systemen bijdragen aan een incident bij een opdrachtgever.
Specifieke risico’s
Testomgeving met echte data Verwerkersaansprakelijkheid AVG-verwerkersovereenkomst Huurdersdossier gevoeligheid NIS2-ketenaansprakelijkheid Ketenrisico via leveranciersDe tijdlijn na een datalek: uur per uur onder druk
Een datalek is geen rustige crisisbeheersing. Het is een race tegen de klok, waarbij u tegelijkertijd technisch, juridisch, communicatief en regulatoir moet handelen — en elke fout een nieuwe kostenpost oplevert.
Ontdekking & eerste crisisrespons
Het lek wordt ontdekt — intern of via een externe melding. Direct worden CISO, directie en juridisch adviseur ingeschakeld. Eerste digitaal forensisch onderzoek start. Elke minuut telt: de 72-uur klok begint te lopen.
Interne besluitvorming & documentatie
Bepalen of melding bij de AP verplicht is. Omvang van het lek vaststellen. Getroffen betrokkenen en datasets inventariseren. Digitaal forensisch onderzoeksbureau ingeschakeld; eerste kosten lopen al in de tienduizenden euro’s.
Verplichte melding bij de Autoriteit Persoonsgegevens
Uiterste termijn voor melding. Te laat melden is zelf een afzonderlijke overtreding van de AVG en resulteert in een extra boete. Indien betrokkenen risico lopen, moeten zij eveneens worden geïnformeerd.
AP-onderzoek & herstelmaatregelen
De AP start mogelijk een formeel onderzoek. Uw organisatie moet maatregelen aantonen. Intussen lopen de kosten op: juridisch advies, forensisch rapport, communicatie naar betrokkenen, PR-ondersteuning en begin van reputatieherstel.
Boetebesluit, claims & langetermijnschade
De AP neemt een besluit over de boete. Eventuele civiele procedures van gedupeerde betrokkenen starten. Klantverloop, hogere verzekeringspremies en aangescherpte toezichtrelaties bepalen de kosten voor de komende jaren.
Voorkom dat het zover komt.EntrD helpt uw organisatie gevoelige data structureel te beschermen — in databases én documenten.
Plan een gratis demoHoe verkleint u het risico structureel?
Datalekken zijn niet altijd te voorkomen. Wél kunt u de kans en de impact drastisch verkleinen door één fundamentele maatregel: zorg dat echte persoonsgegevens nooit terechtkomen waar ze niet horen te zijn.
De meest voorkomende oorzaak van datalekken in testomgevingen, bij documenten en bij IT-ontwikkeling is simpel: organisaties gebruiken productiedata buiten de productieomgeving. Dat is onnodig risico — en met de juiste tools ook volledig vermijdbaar.
DataFactory
Maskeer automatisch alle gevoelige gegevens in uw databases voor gebruik in test-, ontwikkel- en analyseomgevingen. Realistische data, zonder enig privacyrisico.
Meer over DataFactory →FileFactory
Detecteer en verwijder automatisch gevoelige informatie uit documenten, dossiers en e-mails. Geschikt voor zowel incidenteel gebruik als verwerking op grote schaal.
Meer over FileFactory →AVG & NIS2 compliant
Beide oplossingen zijn ontworpen om te voldoen aan de eisen van de AVG, NIS2 en DORA. U kunt aantoonbaar maken dat u state-of-the-art maatregelen heeft genomen.
Compliance-proofVeelgestelde vragen over de kosten van een datalek
Verder lezen
Bereken uw risico.
Elimineer het vervolgens.
Ontdek in een gratis demo hoe DataFactory en FileFactory uw organisatie beschermen tegen de financiële en juridische gevolgen van een datalek.