In de zomer publiceerde de Autoriteit Persoonsgegevens (AP) haar ransomware-rapportage over 2025. De AP zag dat jaar 136 ransomware-aanvallen, tegen 127 in 2024. Die aanvallen leidden tot minstens 283 gemelde datalekken. Het verschil is veelzeggend: één aanval op een leverancier raakt vaak meerdere organisaties tegelijk, en elke getroffen organisatie meldt dan haar eigen datalek.
Stille diefstal neemt toe
Wat het meest opviel: steeds vaker stelen aanvallers gegevens zonder iets te versleutelen. In 2025 gebeurde dat 32 keer, tegen 15 keer in 2024. De systemen blijven dan gewoon draaien, terwijl de gegevens al weg zijn. Wie ransomware vooral ziet als ‘alles ligt plat’, mist dus een groeiend deel van het risico. Bij ongeveer een derde van de datalekken door ransomware lekten bovendien burgerservicenummers en kopieën van identiteitsbewijzen, precies de gegevens waarmee identiteitsfraude mogelijk wordt.
Zorg en welzijn bovenaan
De meeste meldingen kwamen uit de sector gezondheid en welzijn, gevolgd door handel en autobranche en informatie en communicatie. Bij 69 gemelde datalekken waren gezondheidsgegevens betrokken. Als FG in de zorg herken ik het beeld: veel ketenpartners, veel leveranciers en gegevens die bij uitstek gevoelig zijn.
Organisaties schatten het risico te laag in
De AP moet regelmatig ingrijpen omdat organisaties de gevolgen voor betrokkenen onderschatten. Contactgegevens worden ‘niet gevoelig’ gevonden, terwijl criminelen ze juist gebruiken voor gerichte oplichting. En ‘geen spoor gezien’ wordt al snel ‘valt wel mee’. Het uitgangspunt van de AP is helder: ga er bij een cyberaanval van uit dat de aanvallers gegevens hebben ingezien en gestolen, totdat uw loggegevens het tegendeel bewijzen.
Drie lessen uit de praktijk
De AP sprak organisaties die in 2025 zelf getroffen werden. Hun ervaringen komen overeen met wat ik in de praktijk zie:
- Leg het plan op papier en oefen het. Bij een aanval is uw digitale draaiboek vaak net zo onbereikbaar als de rest. Wie belt wie, wie beslist, en wie meldt binnen 72 uur bij de AP?
- Vraag op tijd hulp van buiten. Een incident response partij, het NCSC of uw brancheorganisatie: wacht er niet mee tot de paniek is toegeslagen.
- Communiceer vroeg en open. Organisaties die snel en eerlijk informeerden, werden daar door klanten juist om gewaardeerd. Betrokkenen kunnen dan op tijd alert zijn op phishing.
En losgeld? Geen van de organisaties die de AP sprak, heeft betaald. Terecht: de AP zag gevallen waarin aanvallers na betaling méér eisten of de gegevens alsnog publiceerden.
Mijn suggestie voor de laatste weken van het jaar
Plan nog dit jaar een oefening van een uur met bestuur, IT, communicatie en FG. Eén scenario is genoeg: ‘Onze leverancier meldt op vrijdagmiddag dat onze gegevens zijn gestolen.’ Loop samen door wie wat doet. U ontdekt binnen een uur waar uw plan nog gaten heeft, en dat is precies de bedoeling.
Wilt u uw datalekprocedure laten toetsen of een oefening laten begeleiden? Plan een kennismaking, dan kijken we samen waar u staat.
