Gehackt of ransomware: wat u doet in de eerste 48 uur

Het begint zelden met een alarm. Een collega meldt dat bestanden niet meer openen, of de IT-partner belt over vreemd netwerkverkeer midden in de nacht. Een paar uur later staat op de server een bericht met een betaaladres en een deadline.

Wat u in de eerste uren doet, bepaalt hoeveel schade erbij komt en hoe snel u weer draait. Onder druk gaat juist daar veel mis: in paniek alles uitzetten, zelf opruimen waardoor sporen verdwijnen, of overleggen via een mailbox die de aanvaller meeleest. Hieronder staat de volgorde die NCSC, politie en Autoriteit Persoonsgegevens adviseren.

Herkennen wat er aan de hand is

Ransomware (gijzelsoftware die bestanden versleutelt en losgeld eist) is de bekendste vorm, maar niet elke hack ziet er zo uit. Signalen om serieus te nemen:

• Bestanden: een vreemde extensie, of een tekstbestand met betaalinstructies in de mappen.
• Inloggen: verzoeken voor MFA (de extra bevestiging op uw telefoon) die niemand zelf deed.
• Mail: berichten uit uw naam die u niet schreef, of nieuwe doorstuurregels.
• Beheer: onbekende beheeraccounts, een uitgeschakelde virusscanner of back-uptaken die ineens mislukken.

Ga er bij ransomware niet van uit dat de schade beperkt blijft tot wat u ziet. Volgens de Autoriteit Persoonsgegevens kan een besmetting het hele systeem en alle gekoppelde bestanden raken, en kunnen gegevens ook gekopieerd zijn (bron: Autoriteit Persoonsgegevens, november 2026). Na de deadline van de aanvaller kunnen gestolen gegevens bovendien openbaar worden gemaakt (bron: NCSC, november 2026).

Het eerste uur: loskoppelen, niet uitzetten

De eerste reflex is vaak: alles uitzetten. Het NCSC adviseert iets anders: koppel systemen waarvan u vermoedt dat ze besmet zijn direct los van het netwerk, via kabel, wifi en mobiele verbinding, desnoods met de vliegtuigmodus (bron: NCSC, mei 2022). Zet ze niet uit, maar breng ze in slaapstand. Zo blijft de toestand van het systeem intact, gaat eventueel aanwezig sleutelmateriaal niet verloren en blijven sporen voor onderzoek bewaard (bron: NCSC, mei 2022).

1. 01

   Isoleer

   Netwerkkabel eruit, wifi uit, ook bij thuiswerkers. Is het hele netwerk geraakt, dan zet de IT-partner de verbinding met internet dicht.

2. 02

   Laat systemen aan

   Slaapstand, niet uitzetten en niet herinstalleren. Dat wist precies de sporen die u later nodig heeft.

3. 03

   Stel de back-ups veilig

   Koppel de back-ups los en pauzeer in overleg met de IT-partner automatische back-uptaken, zodat versleutelde bestanden geen goede kopieën overschrijven.

4. 04

   Bewaar alle sporen

   Bewaar het losgeldbericht, mails, betaalverzoeken en cryptoadressen. Laat de IT-partner logbestanden van servers, mail en firewall veiligstellen.

5. 05

   Begin een logboek

   Op papier: tijdstip, wat er gebeurde, wie wat deed en besloot. Nodig voor aangifte, verzekeraar en datalekmelding.

6. 06

   Wissel van kanaal

   Ga ervan uit dat de aanvaller mail en chat meeleest. Bel, met de geprinte bellijst.

Wie u belt

Het Digital Trust Center is sinds 1 januari 2026 onderdeel van het NCSC, dus er is nu één aanspreekpunt (bron: NCSC, januari 2026). Zorg dat wie namens het bedrijf aangifte doet daartoe bevoegd is.

Datalek melden bij de Autoriteit Persoonsgegevens

Heeft ransomware bestanden met persoonsgegevens versleuteld, dan is er volgens de AP sprake van een datalek, want om bestanden te versleutelen moet de aanvaller er toegang toe hebben gehad (bron: Autoriteit Persoonsgegevens, november 2026).

U meldt het datalek binnen 72 uur nadat u ervan op de hoogte bent (bron: Autoriteit Persoonsgegevens, november 2026). Melden hoeft alleen niet als het lek waarschijnlijk geen risico oplevert voor de betrokkenen, en bij twijfel raadt de AP aan wel te melden (bron: Autoriteit Persoonsgegevens, november 2026). Mist u nog informatie, doe dan toch tijdig een eerste melding en vul die later aan. Bij een hoog risico voor betrokkenen informeert u hen ook zelf, zonder onnodige vertraging, en elk datalek, gemeld of niet, legt u vast in uw eigen register (bron: Autoriteit Persoonsgegevens, november 2026).

De organisatie die verantwoordelijk is voor de gegevens meldt, ook als een IT-partner het beheer doet (bron: Autoriteit Persoonsgegevens, november 2026). Leg vast dat die partner u direct informeert; zie AVG: verwerkingsregister en verwerkersovereenkomst.

Meldplicht onder de Cyberbeveiligingswet

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet voor organisaties die essentiële of belangrijke diensten leveren in achttien sectoren, van energie en drinkwater tot zorg en digitale infrastructuur (bron: Rijksoverheid, augustus 2026). Valt uw organisatie eronder, dan meldt u een significant incident binnen 24 uur met een vroege waarschuwing, binnen 72 uur met een incidentmelding en een maand daarna met een eindverslag, via MijnNCSC (bron: NCSC, november 2026). Levert u aan zo'n organisatie, kijk dan in uw contract of u incidenten moet doorgeven. Wie onder de wet valt, staat in de Cyberbeveiligingswet uitgelegd.

Losgeld betalen: wat politie en NCSC zeggen

Het NCSC is kort: "Het advies is om geen losgeld te betalen" (bron: NCSC, november 2026). Betalen garandeert niet dat u uw gegevens terugkrijgt, en slachtoffers kregen soms daarna een hoger bedrag gevraagd of werden opnieuw aangevallen (bron: NCSC, november 2026). De politie zegt: "Ons advies aan slachtoffers van ransomware is: niet betalen als criminelen losgeld eisen" (bron: politie, februari 2026). Ze voegt eraan toe dat de afweging uiteindelijk bij het slachtoffer ligt, maar dat betalen geen zekerheid geeft dat de gegevens veilig zijn.

Overweegt u toch te betalen, of heeft u al betaald, meld dat dan aan de politie; die informatie helpt het onderzoek (bron: politie, februari 2026). Spreek af wie contact mag hebben met de aanvallers, en laat onderhandelen over aan specialisten. Houd uw verzekeringspolis buiten het netwerk. Onderzoek naar ransomware bij het mkb liet zien dat bedrijven met een cyberverzekering gemiddeld 2,8 keer meer losgeld betalen, en dat criminelen na binnenkomst gericht zoeken naar documenten over de verzekering (bron: NCSC, april 2025).

Communicatie met medewerkers, klanten en leveranciers

Zwijgen lijkt veilig, maar werkt tegen u: medewerkers en klanten merken de gevolgen toch. Het NCSC adviseert medewerkers te informeren over de gevolgen en wat u van hen verwacht, klanten over de gevolgen voor de dienstverlening en leveranciers over wat het incident voor de samenwerking betekent (bron: NCSC, november 2026).

• Eén woordvoerder: alle vragen van buiten gaan naar één persoon, medewerkers verwijzen door.
• Feiten: zeg wat u weet, wat u nog niet weet en wanneer de volgende update komt.
• Een schoon kanaal: telefoon, sms of een vooraf afgesproken app, zolang niet vaststaat dat mail veilig is.
• Waarschuw voor phishing: met gestolen gegevens kunnen criminelen klanten overtuigende nepberichten sturen.

Herstel uit een schone back-up

Herstellen heeft pas zin als de aanvaller eruit is, anders zet u een schone back-up terug in een netwerk waar hij nog rondloopt. Laat de IT-partner of een incident-responsbedrijf (een bureau gespecialiseerd in onderzoek en herstel na aanvallen) uitzoeken hoe de aanvaller binnenkwam, en sluit die weg af. Wijzig wachtwoorden en zet waar mogelijk MFA aan.

Controleer daarna of de back-ups bruikbaar zijn en scan ze op malware voordat u ze terugzet (bron: NCSC, mei 2022). Kies een herstelpunt van vóór de besmetting; een aanvaller kan al langer binnen zijn geweest, dus het jongste punt is niet altijd het veiligste. Herstel in de volgorde uit uw continuïteitsplan. Hoe u back-ups inricht die een aanval overleven, leest u in back-up en uitwijk.

Evaluatie: de week erna

Als alles weer draait, is het werk niet klaar. Het NCSC adviseert kort na het incident te evalueren, verbeterpunten bij een eigenaar te beleggen en de voortgang te volgen (bron: NCSC, november 2026). Bespreek met alle betrokkenen wat werkte en wat niet, van de bellijst tot de back-up. Kijk ook naar de ingang: toegang wordt meestal verkregen via kwetsbaarheden en overgenomen accounts (bron: NCSC, februari 2026). De maatregelen daartegen staan in informatiebeveiliging: de basis, meer over dit thema in de kennisbank ICT en data.

Incidentdraaiboek, contactlijst en voorbeeldteksten

Hieronder vindt u een incidentdraaiboek met rollen en tijdlijn, een contactlijst om te printen, en voorbeeldteksten voor het eerste bericht aan medewerkers en aan klanten.