In de eerste uren na een cyberaanval weet niemand precies wat er gebeurd is. Toch bellen klanten, stellen medewerkers vragen en vraagt soms al een journalist om een reactie. Wat een bedrijf dan zegt, bepaalt mee of het vertrouwen overeind blijft. En een te snelle geruststelling kan later juridisch duur uitvallen.
Dit artikel legt uit wat u wanneer tegen wie zegt, welke communicatie de wet verplicht, en geeft drie sjablonen die u kunt overnemen. Voor het technische herstel en het incidentresponsplan zelf verwijzen we naar andere artikels.
In het kort
- Communiceer over wat u doet, niet over wat u nog niet weet. Dat heet procescommunicatie.
- Zeg nooit dat er “geen gegevens gestolen zijn” zolang het onderzoek dat niet bevestigt.
- Volgorde: eerst het crisisteam, dan personeel en verzekeraar, dan getroffen klanten, dan pas de pers.
- De AVG verplicht een melding aan de GBA binnen 72 uur en, bij hoog risico, het informeren van de betrokkenen. NIS2-entiteiten informeren hun afnemers over significante incidenten.
- Bereid een communicatiekanaal voor dat werkt als e-mail en telefonie platliggen.
Wat zegt u in de eerste uren na een cyberaanval?
In de eerste uren na een cyberaanval zegt u wat u doet, niet wat u denkt. Meld dat er een incident is, dat systemen uit voorzorg zijn losgekoppeld, dat externe specialisten onderzoek doen en dat de bevoegde instanties verwittigd worden. Doe geen uitspraken over oorzaak, daders of gestolen gegevens zolang het onderzoek die niet bevestigt.
Die aanpak heet procescommunicatie. U toont dat er regie is, zonder beweringen die het forensisch onderzoek later kan tegenspreken.
Wat u beter niet zegt, en wat wel
| Vermijd | Waarom | Zeg in de plaats |
|---|---|---|
| “Er zijn geen gegevens gestolen.” | Of gegevens zijn weggesluisd, blijkt vaak pas na dagen of weken onderzoek. | “We onderzoeken of er toegang was tot gegevens en informeren de betrokkenen zodra dat vaststaat.” |
| “Dit was een uiterst geavanceerde aanval.” | Een vroege inschatting van de dader kan later onjuist blijken en schaadt uw geloofwaardigheid. | “Over de toedracht doen we geen uitspraken zolang het onderzoek loopt.” |
| “We betalen onder geen beding losgeld.” | Een absolute belofte bindt u, ook als de situatie verandert. | “We richten ons op herstel via onze back-ups, in overleg met de bevoegde diensten.” |
| “Alles is opnieuw volledig veilig.” | Een te vroege garantie wordt een probleem als een systeem later toch opnieuw besmet blijkt. | “Systemen worden stap voor stap gecontroleerd en pas daarna opnieuw in gebruik genomen.” |
| “Een medewerker heeft een fout gemaakt.” | Het legt de schuld bij één persoon en ontmoedigt collega’s om later iets te melden. | “We versterken onze organisatie zodat dit niet opnieuw kan gebeuren.” |
Wie informeert u eerst, en wanneer?
Communicatie loopt gelijk op met het technische herstel. Hoe u dat herstel organiseert, staat in uw incidentresponsplan; hoe u zo’n plan opstelt, leest u in ons artikel over een incident response plan in zes stappen. De volgorde van de communicatie ziet er zo uit.
| Moment | Wie | Wat |
|---|---|---|
| Eerste uur | Crisisteam: directie, IT, juridisch advies, externe specialisten | Samenkomen via een kanaal buiten de eigen systemen, één woordvoerder aanduiden, nog niets naar buiten |
| Eerste dag | Personeel, cyberverzekeraar, klanten die hinder ondervinden | Interne mededeling met instructies, de verzekeraar verwittigen, een korte statusmelding voor getroffen klanten met een vast tijdstip voor de volgende update |
| Eerste week | GBA en eventueel CCB, betrokkenen, leveranciers met koppelingen, pers | Wettelijke meldingen binnen de termijnen, betrokkenen informeren als er een hoog risico is, leveranciers waarschuwen, pers schriftelijk antwoorden |
| Afsluiting | Medewerkers, klanten, partners | Een slotbericht over wat er hersteld en verbeterd is |
Die laatste stap hoort bij het herstel na het incident, dat we beschrijven in ons artikel over de zes fasen van herstel na een hack.
Communiceren als e-mail en telefonie platliggen
Bij een ernstige aanval vallen e-mail, telefonie en soms de website tegelijk uit. Leg daarom vooraf drie dingen vast. Een berichtengroep op privételefoons, bijvoorbeeld in Signal, voor het crisisteam. Een manier om alle medewerkers per sms te bereiken, los van de bedrijfssystemen. En een statuspagina die buiten uw eigen omgeving gehost wordt. Een afgedrukte lijst met noodnummers ligt op een plek die iedereen kent. Hoe u de rest van het bedrijf draaiende houdt, staat in ons artikel over een bedrijfscontinuïteitsplan bij een cyberaanval.
Welke communicatie verplicht de wet in België?
| Kader | Aan wie | Wanneer en wat |
|---|---|---|
| AVG, artikel 33 | Gegevensbeschermingsautoriteit | Binnen 72 uur na ontdekking, tenzij een risico voor de betrokkenen onwaarschijnlijk is |
| AVG, artikel 34 | Betrokkenen: klanten, medewerkers | Zonder onnodige vertraging bij een waarschijnlijk hoog risico, met de aard van het lek en wat zij zelf kunnen doen |
| NIS2-wet van 26 april 2024 | Afnemers van uw diensten | Waar passend onverwijld over significante incidenten die de dienstverlening kunnen raken |
| NIS2-wet van 26 april 2024 | CCB | Vroege waarschuwing binnen 24 uur, melding binnen 72 uur, eindverslag binnen een maand |
| DORA, artikel 19, lid 3 | Klanten van financiële entiteiten | Onverwijld bij een ernstig ICT-incident dat hun financiële belangen raakt |
Hoe de melding bij de GBA zelf verloopt, staat in ons artikel over een datalek melden binnen 72 uur. Hier gaat het om de communicatie naar de mensen van wie de gegevens zijn: zeg welke gegevens betrokken zijn, wat het risico is en wat ze concreet kunnen doen, zoals extra alert zijn voor phishing in uw naam.
Drie sjablonen die u kunt overnemen
De sjablonen bevatten alleen procesinformatie. Vul tussen haakjes in wat bij uw situatie past, en voeg niets toe wat u nog niet zeker weet.
Sjabloon 1: eerste mededeling aan het personeel
Onderwerp: ICT-storing en instructies voor vandaag
Beste collega’s,
Sinds [tijdstip] hebben we te maken met een ernstige storing op onze ICT-systemen door een cyberincident. Uit voorzorg hebben we systemen en verbindingen losgekoppeld.
We vragen iedereen om: (1) bedrijfstoestellen en -toepassingen niet te gebruiken tot u een seintje krijgt van [naam IT-verantwoordelijke]; (2) geen USB-sticks of andere dragers aan te sluiten; (3) niet zelf te communiceren over dit incident, ook niet op sociale media, en alle vragen van klanten, leveranciers of pers door te verwijzen naar [naam woordvoerder, noodnummer].
Ons crisisteam werkt samen met externe specialisten. We beseffen dat dit uw werk vandaag moeilijk maakt en danken u voor uw medewerking. De volgende update volgt om [tijdstip] via [sms, berichtengroep of bijeenkomst].
Waarom zo: de mededeling benoemt de situatie zonder paniek, geeft drie duidelijke instructies die bewijs en reputatie beschermen, en een vast tijdstip voor de volgende update.
Sjabloon 2: eerste mededeling aan klanten met hinder
Onderwerp: Tijdelijke verstoring van onze dienstverlening
Geachte klant,
Door een ICT-storing ondervindt onze dienstverlening momenteel vertraging. We hebben onze systemen uit voorzorg uitgeschakeld voor een grondige controle, met ondersteuning van externe specialisten, en we hebben de bevoegde instanties verwittigd zoals de regels het voorschrijven. Waar mogelijk werken we met noodprocedures verder.
Het onderzoek naar de precieze impact loopt. Onze excuses voor het ongemak. U krijgt een volgende update zodra er nieuwe, gecontroleerde informatie is, en uiterlijk op [datum en tijdstip], via [URL van de externe statuspagina]. Voor dringende vragen kunt u terecht op [noodnummer of tijdelijk e-mailadres].
Waarom zo: het excuus gaat over de hinder, niet over schuld, en het bericht noemt een uiterste tijdstip voor de volgende update. Kijk vooraf in uw polis of uw verzekeraar vraagt om aansprakelijkheid pas na overleg te erkennen.
Sjabloon 3: korte verklaring voor de pers
Verklaring over een cyberincident bij [bedrijfsnaam]
[Plaats, datum]. [Bedrijfsnaam] heeft vastgesteld dat een cyberincident een deel van haar informatiesystemen treft. Onmiddellijk na de vaststelling zijn onze incidentprocedures opgestart en zijn de betrokken systemen uit voorzorg losgekoppeld. Een extern team van specialisten onderzoekt de omvang. De bevoegde instanties worden geïnformeerd zoals de wet voorschrijft.
Onze prioriteit is de veiligheid van gegevens en de continuïteit voor onze klanten. Omdat het onderzoek loopt, doen we nu geen uitspraken over technische details. Zodra er bevestigde informatie is, volgt een update via [officieel kanaal].
Waarom zo: de verklaring bevestigt de feiten die u kent en gebruikt het lopende onderzoek als reden om niet te speculeren. Een persbericht is enkel nodig als het incident publiek zichtbaar is of al in de media circuleert.
Wat als criminelen uw klanten of personeel rechtstreeks benaderen?
Steeds vaker contacteren afpersers zelf klanten, medewerkers of partners, of misbruiken oplichters een incident om zich voor te doen als het getroffen bedrijf. Na het datalek bij Orange Belgium in 2025 belden oplichters bijvoorbeeld klanten op in naam van Orange. Waarschuw daarom zelf, via een publiek kanaal, zodra er een kans is dat contactgegevens in verkeerde handen zijn. Vraag mensen om zulke berichten niet te beantwoorden, niet te betalen en een gewijzigd rekeningnummer altijd telefonisch na te gaan via een gekend nummer. Richt een meldadres in voor verdachte berichten en geef wat binnenkomt door aan de politie en aan verdacht@safeonweb.be. De afweging rond losgeld zelf behandelen we in onze gids over ransomware in België.
Wat voorbeelden leren
Orange Belgium, 2025. Orange verwittigde de getroffen klanten per e-mail en sms en zei precies welke gegevens betrokken waren: namen, telefoonnummers, SIM-kaartnummers, PUK-codes en tariefplannen, en geen wachtwoorden of bankgegevens. Zulke specifieke informatie laat klanten gericht handelen. Experts wezen erop dat net SIM-kaartnummers en PUK-codes het risico verhogen dat iemand een telefoonnummer overneemt. De les: benoem ook welk risico de gelekte gegevens meebrengen, niet alleen welke gegevens veilig bleven.
AZ Monica, 2026. Het ziekenhuis communiceerde op de dag van de aanval zelf en zette een noodwebsite op. De eerste verklaring stelde dat er geen gegevens gestolen waren omdat de servers proactief waren uitgeschakeld. Een maand later luidde het voorzichtiger: voor zover bekend werden geen patiëntgegevens gestolen. Die tweede formulering is de sterkste, omdat ze vastlegt wat men weet zonder meer te beloven.
Norsk Hydro, 2019. Na een ransomware-aanval hield het Noorse bedrijf dagelijks persconferenties en webcasts, toonde het hoe het met de hand verder werkte en betaalde het geen losgeld. Die openheid over het herstelproces wordt nog altijd als voorbeeld aangehaald.
“Zeg zo weinig mogelijk”
Dat advies hoort u van juristen en risicoadviseurs, en het heeft grond. Een verzekeraar kan moeilijk doen als u zonder overleg aansprakelijkheid erkent, een uitspraak over nalatigheid kan in een schadeclaim opduiken, en details over uitgevallen systemen helpen een aanvaller. Toch werkt volledig zwijgen niet. De AVG en de NIS2-wet verplichten tot communicatie met betrokkenen en afnemers. En waar een bedrijf zwijgt, vullen geruchten, ongeruste klanten en leksites het verhaal in. Procescommunicatie lost dat op: open over de stappen, terughoudend over oorzaken, schuld en garanties.
Zit u nu midden in een incident?
Moet u vandaag communiceren over een cyberaanval en twijfelt u wat u kunt zeggen? Cyberplan ondersteunt bij de technische afhandeling en helpt de communicatie af te stemmen op wat het onderzoek bevestigt. Neem contact op via onze pagina voor bedrijven die gehackt zijn.
Veelgestelde vragen
Wat is de eerste communicatiestap na een cyberaanval?
De eerste stap is het crisisteam samenbrengen via een kanaal dat losstaat van de eigen systemen, zoals een berichtengroep op privételefoons. Daarna volgt een korte interne mededeling aan het personeel met instructies en de naam van de woordvoerder. Naar buiten communiceert u pas als die basis er is.
Wanneer moet een bedrijf klanten informeren over een datalek?
Volgens artikel 34 van de AVG informeert een bedrijf de betrokkenen zonder onnodige vertraging als een datalek waarschijnlijk een hoog risico voor hen inhoudt, bijvoorbeeld op identiteitsfraude of gerichte oplichting. Klanten die hinder ondervinden van een storing, informeert u los daarvan al op de eerste dag.
Wie is de woordvoerder tijdens een cyberaanval?
Duid één woordvoerder aan, bij voorkeur de zaakvoerder of de communicatieverantwoordelijke, ondersteund door juridisch advies. Technische specialisten spreken niet zelf met de pers, zodat details niet verkeerd geïnterpreteerd worden. Alle andere medewerkers verwijzen vragen van buitenaf door naar die woordvoerder, ook als ze het antwoord denken te kennen.
Is een persbericht na een cyberaanval verplicht?
Nee, een persbericht is niet verplicht. Het is nuttig als het incident publiek zichtbaar is, bijvoorbeeld door uitgevallen dienstverlening, of als er al berichten in de media verschijnen. Bij een incident zonder externe impact volstaat gerichte communicatie naar wie betrokken is.
Hoe communiceert u als nog niet bekend is welke gegevens gestolen zijn?
Met procescommunicatie: u meldt dat systemen uit voorzorg zijn losgekoppeld, dat specialisten onderzoek doen en dat u de betrokkenen informeert zodra er zekerheid is. U zegt niet dat er geen gegevens gestolen zijn, want dat kan het onderzoek later tegenspreken.
Hoe vaak informeert u klanten tijdens een storing?
Spreek een vast ritme af, bijvoorbeeld om de vier uur of op vaste tijdstippen per dag, en hou u daaraan, ook als er inhoudelijk weinig nieuws is. Een update op het beloofde tijdstip toont dat het herstel opgevolgd wordt en vermindert het aantal ongeruste telefoontjes.
