Wat te doen bij een cyberaanval? Het complete stappenplan

Een cyberaanval kan elke organisatie treffen , en hoe je reageert in de eerste minuten en uren maakt het verschil tussen een beheersbaar incident en een existentiële crisis. In dit artikel lees je precies wat je moet doen, in welke volgorde, en wat je zeker niet moet doen.

Wat is een cyberaanval?

Een cyberaanval is een gerichte aanval op computersystemen, netwerken of digitale data met als doel schade aan te richten, gegevens te stelen of systemen over te nemen. Voorbeelden zijn:

• Ransomware: bestanden worden versleuteld, toegang wordt geblokkeerd totdat losgeld betaald wordt
• Phishing: medewerkers worden misleid om inloggegevens of geld te overhandigen
• DDoS-aanval: een systeem wordt platgelegd door het te overspoelen met verzoeken
• Datalekken: gevoelige informatie wordt gestolen en soms openbaar gemaakt

Stap 1: Raadpleeg je incident response plan

Het allereerste wat je doet bij een vermoedelijke cyberaanval is je incident response plan erbij pakken. Dit document beschrijft wie je wanneer contacteert, hoe je de ernst inschat en welke stappen je neemt.

Heb je nog geen incident response plan? Dan is dit het moment om dat te prioriteren. Lees onze gids over het opstellen van een cyber incident response plan.

Stap 2: Raak niets aan , bewaar bewijsmateriaal

Dit klinkt contra-intuïtief, maar het is cruciaal: verwijder geen bestanden, wis geen e-mails en zet geen systemen zomaar uit. Digitaal bewijsmateriaal is essentieel voor forensisch onderzoek en voor aangifte.

Elke log, elk e-mailbericht en elke systeemstatus kan later van waarde zijn om te begrijpen wat er is gebeurd en wie verantwoordelijk is.

Stap 3: Schakel direct specialisten in

Bij een serieuze cyberaanval heb je cybersecurityspecialisten nodig , niet alleen de interne IT-afdeling. Een gespecialiseerd incident response team kan de omvang van de aanval bepalen, de aanvalsvector identificeren en gecontroleerd ingrijpen.

Hoe eerder je specialisten inschakelt, hoe kleiner de schade.

Stap 4: Isoleer getroffen systemen

Zodra duidelijk is welke systemen zijn getroffen, worden deze van het netwerk gehaald om verdere verspreiding te voorkomen. Dit geldt met name bij ransomware, die zich razendsnel door een netwerk kan verspreiden.

Koppel getroffen systemen los van het netwerk , maar zet ze niet zomaar volledig uit, tenzij je specialist dit adviseert.

Stap 5: Informeer de juiste instanties

NIS2-meldplicht

Valt jouw organisatie onder de NIS2-richtlijn? Dan geldt een meldplicht bij de toezichthouder binnen 24 uur na ontdekking van een significante cyberaanval. Niet tijdig melden kan leiden tot aanzienlijke boetes.

👉 Weet jij of jouw organisatie onder NIS2 valt? Lees meer over NIS2 en de meldplicht.

Politie

Bij financiële diefstal, identiteitsfraude of grootschalige datalekken: doe aangifte bij de politie.

Autoriteit Persoonsgegevens

Als er persoonsgegevens zijn gelekt, moet dit binnen 72 uur gemeld worden bij de AP (AVG-meldplicht).

Stap 6: Communiceer transparant met stakeholders

Een cyberaanval roept vragen op bij medewerkers, klanten en partners. Communiceer proactief en transparant:

• Informeer medewerkers over wat er is gebeurd en wat zij wel en niet moeten doen
• Informeer klanten als hun gegevens mogelijk zijn getroffen
• Houd het management en de directie continu op de hoogte

Stilzwijgen vergroot wantrouwen. Transparantie , ook als je nog niet alles weet , beschermt je reputatie.

Na de crisis: herstel en leren

Zodra de acute fase voorbij is, begin je aan het herstel:

1. Herstel systemen vanuit schone back-ups (niet vanuit de getroffen omgeving)
2. Patch de kwetsbaarheid die de aanval mogelijk maakte
3. Voer een post-mortem analyse uit , wat ging er mis, wat werkte goed?
4. Update je incident response plan op basis van de opgedane ervaringen
5. Train je medewerkers opnieuw, met de aanval als concreet leermoment

Veelgestelde vragen over cyberaanvallen

Hoe weet ik of mijn organisatie aangevallen wordt? Signalen zijn: systemen die opeens traag zijn, onverklaarbare wijzigingen in bestanden, medewerkers die geen toegang meer hebben tot accounts, of klanten die ongebruikelijke berichten ontvangen vanuit jouw domein.

Moet ik losgeld betalen bij ransomware? De algemene aanbeveling van autoriteiten is: betaal niet. Betalen garandeert niet dat je bestanden terugkrijgt, en het financiert criminelen. Herstel vanuit back-ups is de betere optie.

Wat is het verschil tussen een incident en een cyberaanval? Elk beveiligingsincident is een afwijking van de normale situatie. Een cyberaanval is een gerichte, kwaadaardige actie. Niet elk incident is een aanval, maar elke aanval is een incident.

Voorbereid zijn maakt het verschil

De organisaties die het best door een cyberaanval komen, zijn die welke vooraf hebben nagedacht over hoe te handelen. Een goed incident response plan, getrainde medewerkers en een solide back-upstrategie zijn geen luxe , ze zijn essentieel.

Bij Pronidus helpen we organisaties om zich voor te bereiden op het onverwachte. Van het opstellen van een incident response plan tot volledige NIS2-compliance.

👉 Neem contact op voor een vrijblijvend gesprek

‍