TL;DR: Cybersecurity voor een boekhoudkantoor draait om drie dingen: u beheert de gevoeligste financiële data van honderden cliënten, u hebt directe toegang tot betaalstromen, en u draagt sinds 2026 verzwaarde beroepsaansprakelijkheid. Volgens Acerta (2025) maakte al 20% van de Belgische accountantskantoren een cyberincident mee. De zes maatregelen uit het CyberFundamentals Basic-kader weren volgens het CCB (2025) 82% van de meest voorkomende aanvallen af, en VLAIO subsidieert tot 50% van een begeleid verbetertraject.
U herkent het waarschijnlijk: tijdens de drukste aangifteperiode komt er een mail binnen die net iets te dringend klinkt. Een leverancier die zijn rekeningnummer wijzigt, een cliënt die snel een betaling bevestigd wil zien. In een kantoor dat dagelijks met geld en vertrouwelijke dossiers werkt, is één verkeerde klik genoeg. In dit artikel leest u waarom boekhoud- en fiduciaire kantoren een gewild doelwit zijn, welke regels sinds 2026 op u van toepassing zijn, en welke maatregelen écht het verschil maken. Geen doemscenario’s, wel een concreet vertrekpunt.
Waarom een boekhoudkantoor een gewild doelwit is
Een boekhoudkantoor is voor cybercriminelen geen klein bedrijf, maar een centrale databank. U consolideert de meest kritieke gegevens van honderden kmo-cliënten: bankgegevens, btw-nummers, loonfiches, sociale zekerheidsgegevens en jaarrekeningen. Daarbovenop hebt u vaak rechtstreekse toegang tot de betaalsystemen van uw cliënten. Dat maakt u tot een ideaal startpunt voor een aanval.
De cijfers onderbouwen die kwetsbaarheid. Volgens een bevraging van Acerta bij 566 Belgische accountantskantoren (2025) maakte al één op de vijf kantoren een reëel cyberincident mee, en verwacht een kwart van de respondenten op korte termijn een aanval. De sector “professionele diensten”, waartoe boekhoudkantoren behoren, staat consistent in de top drie van meest getroffen sectoren.
Het gevaar zit niet alleen in uw eigen schade. Een aanvaller die uw systemen binnendringt, krijgt een opstap naar de financiële middelen en data van al uw cliënten. Dat heet een toeleveringsketenaanval, en het is precies waarom uw grotere cliënten steeds vaker contractueel naar uw beveiliging vragen.
De vier dreigingen die accountantskantoren het hardst raken
De meest schadelijke aanvallen op fiduciaire kantoren mikken bewust op het snijpunt van geld, vertrouwen en tijdsdruk. Vier vormen springen eruit, en ze werken vaker via misleiding dan via pure techniek.
Factuurfraude en business email compromise (BEC). Criminelen onderscheppen e-mailverkeer tussen u, uw cliënt of uw leverancier en wijzigen ongemerkt het rekeningnummer op een factuur. De betaling vertrekt naar een rekening van een geldezel. Microsoft signaleert dat een volledige BEC-aanval, van eerste login tot frauduleuze overschrijving, soms binnen twee uur plaatsvindt. Hoe deze aanvalsvorm precies werkt en hoe u zich erop instelt, leest u in ons aparte artikel over factuurfraude (BEC).
CEO-fraude. Een aanvaller doet zich voor als vennoot of zaakvoerder en zet, via een dringende mail of zelfs een met AI nagemaakte spraakoproep, een medewerker onder druk om snel een groot bedrag over te schrijven.
Ransomware op cliëntendossiers. Gijzelsoftware versleutelt uw lokale infrastructuur of back-ups. Steeds vaker hanteren criminelen dubbele afpersing: ze eisen losgeld voor de ontsleuteling én dreigen de buitgemaakte dossiers op het dark web te publiceren.
Phishing tijdens de aangifteperiodes. Tijdens de drukke btw- en vennootschapsbelastingperiodes ligt de werkdruk hoog en de alertheid laag. Aanvallers sturen geloofwaardige mails die lijken te komen van de FOD Financiën, MyMinfin of het sociaal secretariaat, met links naar valse inlogportalen of bijlagen met malware.
Een recent voorbeeld toont hoe hardnekkig dit risico is. De Nederlandse koepelorganisatie SRA werd in april 2026 getroffen door een gerichte hack waarbij aanvallers binnendrongen op buiten gebruik gestelde bestandsservers. Die servers bevatten nog historische cliëntgegevens uit 2023 tot 2025. Het toont een blinde vlek die veel kantoren delen: inactieve, vergeten systemen blijven een datalekrisico zolang er gevoelige data op staat.
Wat een incident een boekhoudkantoor kost
De schade van een cyberincident bij een fiduciair kantoor reikt verder dan losgeld. Wanneer uw systemen uitvallen tijdens kritieke aangiftes, mist u wettelijke deadlines, met boetes voor uw cliënten en mogelijke aansprakelijkheid voor uw kantoor. Het verlies of de publicatie van vertrouwelijke dossiers leidt tot reputatieschade en cliëntenverloop dat moeilijk te herstellen is.
Ook de directe kosten lopen op. Volgens het Cost of a Data Breach-rapport van IBM Security en het Ponemon Institute (2025) bedragen de gemiddelde kosten van een datalek in de Benelux ongeveer 6,24 miljoen dollar over alle sectoren heen, en is de financiële sector wereldwijd de op één na duurste sector. Dat zijn cijfers over alle bedrijfsgroottes, dus niet één-op-één toepasbaar op een klein kantoor, maar ze illustreren de richting.
In België komt daar een juridische verzwaring bij. In een arrest van 19 februari 2025 oordeelde het Marktenhof dat een beroep tegen een administratieve geldboete van de Gegevensbeschermingsautoriteit (GBA) de betalingsverplichting niet opschort. Een GBA-boete is met andere woorden onmiddellijk opeisbaar, ook als u in beroep gaat. Voor uw cashflow betekent dat: een boete moet u meteen budgetteren, niet pas na een eventuele procedure.
NIS2 en de toeleveringsketen: valt uw kantoor eronder?
Of NIS2 rechtstreeks op u van toepassing is, hangt af van uw omvang. Direct onder de wet vallen middelgrote en grote ondernemingen in aangeduide sectoren met minstens 50 werknemers en/of meer dan 10 miljoen euro jaaromzet of balanstotaal. Een groter fiduciair kantoor kan zo als belangrijke entiteit kwalificeren. De Belgische NIS2-wet (Wet van 26 april 2024) is van kracht sinds 18 oktober 2024.
Kleinere kantoren ontsnappen niet zomaar. Onder NIS2 zijn direct onderworpen organisaties zoals banken en grotere bedrijven verplicht de cyberveiligheid van hun volledige toeleveringsketen te bewaken. Omdat u toegang hebt tot hun financiële systemen en data, zullen zij contractueel beveiligingsgaranties van u eisen. Een kantoor dat geen extern gevalideerd CyFun-bewijs kan voorleggen, riskeert zo zijn grootste cliënten te verliezen. Wilt u eerst nagaan of valt uw sector onder NIS2, dan vindt u daar een overzicht per sector.
Daarnaast wegen de GDPR-verplichtingen onverminderd zwaar. U treedt op als verwerker van persoonsgegevens en moet daarom sluitende verwerkersovereenkomsten hebben met elke cliënt en elk cloud- of boekhoudpakket. Elk datalek met risico voor betrokkenen meldt u binnen 72 uur na ontdekking aan de GBA. En u moet de wettelijke fiscale bewaartermijnen (vaak 7 tot 10 jaar) verzoenen met het recht op gegevenswissing.
De ITAA-deontologie: aansprakelijkheid tot bij het bestuur
Naast de wet weegt de beroepsdeontologie. Op 26 maart 2026 publiceerde het ITAA het geactualiseerde Handboek KMS klein kantoor v2.0, dat informatiebeveiliging tuchtrechtelijk verankert. De eindverantwoordelijkheid voor het kwaliteitsbeheersysteem en de databeveiliging ligt rechtstreeks bij de bestuurders-professionals van het kantoor.
Het handboek gaat verder dan een aanbeveling. Het schrijft voor dat elke samenwerking met een externe IT-dienstverlener, cloud-leverancier of software-partner vooraf grondig wordt geanalyseerd, zodat het beroepsgeheim niet in het gedrang komt. Beschikt het kantoor of de cliënt niet over de nodige beveiligingsmaatregelen, dan moet de opdracht volgens het handboek worden geweigerd of stopgezet.
Het ITAA verwoordt het zo: “Elke samenwerking met externe partners of dienstverleners wordt vooraf geanalyseerd om te waarborgen dat deze geen afbreuk doet aan de deontologische regels, de onafhankelijkheid van het kantoor of de kwaliteit van de dienstverlening aan cliënten. Bij gebrek aan voldoende maatregelen wordt de opdracht niet aanvaard of wordt zij stopgezet.” (ITAA, Handboek KMS klein kantoor v2.0, 2026). Voor een zaakvoerder is dat een directe persoonlijke verantwoordelijkheid, geen abstract risico.
Zes maatregelen die het verschil maken voor een fiduciair kantoor
De goede boodschap: u hebt geen complexe of dure setup nodig om aanzienlijk veiliger te worden. Het CyberFundamentals Basic-kader van het CCB telt 34 concrete controls en weert volgens het CCB (2025) bij correcte implementatie 82% van de meest voorkomende cyberaanvallen af. Voor een boekhoudkantoor zijn dit de zes maatregelen met de grootste impact.
- Multifactorauthenticatie (MFA) overal. Verplicht MFA op alle e-mailaccounts (Microsoft 365 of Google Workspace), lokale netwerken en cloud-boekhoudsoftware. Gestolen inloggegevens zijn een hoofdoorzaak van grote datalekken in de financiële sector. MFA elimineert nagenoeg alle aanvallen op basis van gestolen wachtwoorden. Let wel: ook MFA is niet onfeilbaar. Hoe aanvallers ze soms omzeilen, leest u in ons artikel over MFA omzeilen.
- Beveilig uw cliëntportalen. Fase het versturen van loonfiches, aangiften en balansen via onbeveiligde e-mail volledig uit. Volgens de GBA ontstaat een groot deel van de gemelde datalekken door menselijke verzendfouten. Een beveiligd portaal met end-to-end encryptie sluit dat lek.
- Strikt beleid rond betalingsgegevens. Voer een vier-ogenprincipe in: elke wijziging van een IBAN-nummer van een cliënt of leverancier wordt via een tweede kanaal geverifieerd, bijvoorbeeld telefonisch. Dit is de directste barrière tegen factuurfraude en BEC.
- Onbeschrijfbare en geteste back-ups. Bewaar back-ups offline of onbeschrijfbaar (immutable) en test het herstel periodiek met een uitgewerkt disaster recovery-plan. Moderne ransomware zoekt actief naar online back-ups om ze te vernietigen. Geteste back-ups laten u herstellen zonder losgeld te betalen.
- Doorlopende security awareness. Eenmalige trainingen volstaan niet, omdat de alertheid onder tijdsdruk daalt. Voer continue awareness-trainingen en phishing-simulaties uit, met extra intensiteit vlak voor btw- en belastingdeadlines.
- Toegangs- en machtigingsbeleid. Pas het principe van minimale rechten toe en scheid persoonlijke van administratieve accounts. Zo voorkomt u dat één gecompromitteerd account toegang geeft tot de volledige database van het kantoor.
VLAIO-subsidies: tot 50% van een begeleid traject
Wie deze maatregelen structureel wil aanpakken, kan in Vlaanderen rekenen op stevige financiële steun. Voor een diepgaand, begeleid traject is het VLAIO Cybersecurity Verbetertraject het meest interessante kanaal. Een door VLAIO erkende specialist begeleidt de implementatie, en de subsidie bedraagt 50% voor kmo’s op projecten tot 60.000 euro.
Het traject kent drie pakketten. START (7.100 tot 11.900 euro) omvat een maturiteitsanalyse, technische audits en een meerjarig actieplan. MEDIUM voegt tien mandagen praktische remediëring toe. PLUS breidt verder uit met asset inventory, risicoanalyse en twintig mandagen technische implementatie (26.500 tot 39.900 euro). Voor een kleine kmo betekent het START-pakket na subsidie een eigen bijdrage van ongeveer 3.550 tot 5.950 euro.
Daarnaast bestaat de kmo-portefeuille. Sinds de hervorming van 1 februari 2026 komt binnen de pijler advies uitsluitend cybersecurity-advies nog in aanmerking, met een verhoogd steunpercentage van 45% voor kleine en 35% voor middelgrote ondernemingen, tot een plafond van 7.500 euro per jaar. Let op de uitsluitingen bij het Verbetertraject: standalone hardware, losse softwarelicenties, lopende MSP-contracten en de kosten van de formele certificeringsaudit komen nooit in aanmerking. De subsidie dekt de begeleiding en analyse, niet de aankopen.
Veelgestelde vragen over cybersecurity voor boekhoudkantoren
Is een boekhoudkantoor met minder dan 50 werknemers verplicht aan NIS2 te voldoen?
Direct niet, want de drempel ligt op 50 werknemers en/of 10 miljoen euro omzet. Indirect vaak wel: grotere NIS2-plichtige cliënten moeten contractueel aantonen dat hun toeleveranciers veilig werken. Zonder beveiligingsbewijs riskeert u uw grootste cliënten te verliezen.
Wat is het verschil tussen de kmo-portefeuille en de Verbetertrajecten?
De kmo-portefeuille is bedoeld voor laagdrempelig, ad-hoc cybersecurity-advies of -opleiding, met maximaal 7.500 euro steun per jaar. De Cybersecurity Verbetertrajecten zijn diepgaande, begeleide implementatietrajecten waarbij een erkende expert u bijstaat, met 50% subsidie op projecten tot 60.000 euro.
Kan ik een nieuwe firewall of antiviruslicenties subsidiëren via VLAIO?
Nee. Standalone hardware-aankopen en doorlopende softwarelicenties zijn uitgesloten van VLAIO-subsidies. De steun geldt uitsluitend voor externe uren, analyses, audits en implementatiebegeleiding door geregistreerde dienstverleners.
Welke tuchtrechtelijke risico’s loopt een zaakvoerder bij een datalek?
Volgens het Handboek KMS v2.0 van het ITAA (2026) ligt de tuchtrechtelijke verantwoordelijkheid voor kwaliteitsbeheersing en vertrouwelijkheid rechtstreeks bij de bestuurders. Ontstaat een datalek door grove nalatigheid of het niet screenen van IT-partners, dan kan de zaakvoerder persoonlijk worden gesanctioneerd wegens schending van het beroepsgeheim.
Binnen welke termijn moet ik een datalek melden?
Onder de GDPR meldt u elk datalek met risico voor betrokkenen binnen 72 uur na ontdekking aan de GBA. Bij laattijdige melding of ernstige nalatigheid kan de GBA zware boetes opleggen die, na het Marktenhof-arrest van februari 2025, onmiddellijk betaald moeten worden, ook bij beroep.
Waarom zijn aangifteperiodes extra risicovol voor phishing?
Tijdens btw- en belastingperiodes werken dossierbeheerders onder hoge tijdsdruk, waardoor hun alertheid daalt. Criminelen spelen daarop in met geraffineerde mails die lijken op dringende berichten van MyMinfin of de belastingdienst, wetende dat medewerkers dan sneller ondoordacht klikken.
Conclusie
Een boekhoudkantoor beschermen is geen kwestie van angst, maar van enkele goed gekozen prioriteiten. U weet nu waarom uw kantoor een doelwit is, welke verplichtingen sinds 2026 op u rusten via NIS2, GDPR en de ITAA-deontologie, en welke zes maatregelen de meeste impact hebben. Het vertrekpunt is bijna altijd hetzelfde: weten waar u staat. Een cybersecurity audit brengt uw kwetsbaarheden in kaart en levert een concrete routekaart met prioriteiten, afgestemd op uw kantoor en uw cliënten.
Wilt u weten waar uw kantoor vandaag staat en welke maatregelen voor u het meest opleveren? Boek een kennismaking en we bekijken het samen, met aandacht voor de subsidies waar u recht op hebt.
