Cybersecurity voor uitzend- en HR-kantoren: identiteitsdata beschermen

Rekruteren draait om vertrouwen geven. U opent cv’s van wildvreemden, u klikt op bijlagen van kandidaten die u nog nooit ontmoette, u verwerkt rijksregisternummers, rekeningnummers en identiteitskaarten. Elke andere afdeling leert net het omgekeerde af: wees op uw hoede voor onbekende afzenders. Die spanning tussen uw dagelijkse werk en gezonde IT-reflexen is precies wat cybercriminelen uitbuiten. In dit artikel leest u waarom HR-data zo gegeerd is, wat de Belgische wetgeving van u eist, en welke concrete stappen loonfraude en datalekken bij uw kantoor voorkomen.

Wat betekent cybersecurity voor HR concreet?

Cybersecurity voor HR is het geheel van technische en organisatorische maatregelen die identiteitsdata, sollicitantengegevens en loonbetalingen beschermen tegen diefstal, fraude en datalekken. Voor uitzend- en HR-kantoren draait het om drie kwetsbaarheden: gevoelige persoonsdata, financiële transacties via payroll, en het dagelijks openen van externe bijlagen tijdens werving.

In het kort

• HR is een geliefd doelwit omdat rekruteringskantoren enorme volumes identiteitsdata bewaren en rekruteerders per definitie bijlagen van onbekenden openen.
• Loonfraude gebeurt via nagemaakte e-maildomeinen en gespoofte oproepen die net vóór de loonrun toeslaan, wanneer de tijdsdruk het hoogst is.
• De GBA is streng: het rijksregisternummer mag niet in de eerste selectieronde, en cv’s van afgewezen kandidaten wist u standaard na vier weken.
• NIS2 raakt u indirect: uw grote B2B-klanten eisen in 2026 dat u uw cyberbeveiliging kunt aantonen, anders valt u uit aanbestedingen.
• De kmo-portefeuille subsidieert cybersecurity-advies nog steeds tot 45 procent, ook na de hervorming van februari 2026.

Waarom is HR-data het favoriete doelwit van cybercriminelen?

HR-data is aantrekkelijk omdat het alles combineert wat een crimineel nodig heeft: identiteitsgegevens om fraude mee te plegen, financiële data om betalingen te kapen, en een werkproces waarin het openen van vreemde bestanden de norm is. Een uitzendkantoor bewaart bovendien dossiers van duizenden mensen tegelijk.

De schaal is niet abstract. Volgens de sectorcijfers van Federgon realiseerde het rekruteringssegment in 2024 een omzet van 224,1 miljoen euro met 12.216 geplaatste kandidaten, verdeeld over 306 actieve leden. Achter elke plaatsing zit een berg persoonsdata die van kantoor naar sociaal secretariaat naar klant reist.

De waarde van het rijksregisternummer en identiteitsdocumenten

Het rijksregisternummer is de sleutel tot iemands volledige administratieve identiteit. Wie het combineert met een kopie van de identiteitskaart, kan leningen aangaan, valse contracten opstellen of zich voordoen als het slachtoffer bij overheidsdiensten. Voor een crimineel is een dossier vol identiteitsdata daarom direct te gelde te maken op het darkweb.

De zaak rond DaJobs (het vroegere Daoust) toont hoe dat in de praktijk gaat. Criminelen deden zich op sociale media voor als rekruteurs, benaderden werkzoekenden met aantrekkelijke jobaanbiedingen en vroegen vervolgens om een kopie van de identiteitskaart en bankgegevens “om het contract op te stellen”. De slachtoffers liepen identiteitsdiefstal op, terwijl het uitzendkantoor zware reputatieschade opliep door misbruik van zijn naam.

Loonfraude: hoe criminelen payroll-betalingen onderscheppen

Payroll phishing is een gerichte aanval waarbij criminelen een loonbetaling omleiden door een medewerker een vals rekeningnummer te laten invoeren. Ze imiteren daarvoor het e-maildomein van uw eigen organisatie of dat van een sociaal secretariaat, en slaan bij voorkeur toe kort vóór de loonrun.

Die timing is geen toeval. Loonadministratie kent harde, niet-onderhandelbare deadlines. Onder die druk slaat een gehaaste medewerker sneller de verificatie over en past het rekeningnummer aan zonder na te bellen. De cijfers bevestigen de effectiviteit: volgens de Phished Academy klikt 31,5 procent van de werknemers op een malafide link in een bericht over een loonwijziging. Bij berichten over interne beleidswijzigingen, zoals een nieuwe thuiswerkregeling, is dat nog altijd 24,7 procent.

Het risico wordt vergroot door een structureel gebrek aan e-mailbeveiliging in ons land. Uit het Belgium DMARC Report van Isabel (2025) blijkt dat 75 procent van de Belgische bedrijven geen actieve DMARC-bescherming heeft. Zonder die bescherming kan een fraudeur relatief eenvoudig een legitiem e-mailadres nabootsen.

De verborgen dreiging in de sollicitatie-bijlage

Rekruteren draait om het openen van externe documenten, en net daar zit de val. Waar andere medewerkers leren om bijlagen van onbekenden te wantrouwen, is het openen van cv’s, diploma’s en motivatiebrieven van vreemden voor een rekruteerder de kerntaak. Dat maakt HR de ideale toegangspoort voor malware.

Criminelen verstoppen kwaadaardige software, zoals Remote Access Trojans van het type Remcos, in ogenschijnlijk onschuldige PDF- of Word-bestanden. Een veelgehoorde misvatting is dat PDF’s inherent veilig zijn. Dat klopt niet: een PDF kan links bevatten naar nagemaakte inlogpagina’s (credential harvesting) of QR-codes (quishing) die medewerkers naar hun telefoon lokken om bedrijfsinloggegevens te ontfutselen.

Wetgeving onder de loep: de AVG en NIS2-ketenverplichtingen

De verantwoordelijkheden van Vlaamse HR-actoren liggen vast in een strikt Belgisch kader dat in 2026 nauwlettend wordt gehandhaafd. Twee wetten springen eruit: de AVG (via de Gegevensbeschermingsautoriteit) bepaalt hoe u met persoonsdata omgaat, en de NIS2-wet van 26 april 2024 raakt u via uw klanten.

Dat toezicht is geen papieren tijger. Uit het jaarverslag 2024 van de GBA blijkt dat de autoriteit 1.455 datalekmeldingen ontving, een stijging tegenover het jaar voordien. In 40 procent van die incidenten was de oorzaak een menselijke vergissing, geen geraffineerde hack. Dat cijfer legt precies de vinger op de wonde: procesmatige barrières en awareness bij medewerkers doen er meer toe dan welke firewall ook.

De strenge regels van de GBA rond het rijksregisternummer

Het rijksregisternummer hoort niet thuis in de eerste selectieronde. Uit Advies nr. 52/2025 van de GBA blijkt dat het opvragen ervan in die fase niet noodzakelijk is en dus verboden. Het nummer geniet in België bijzondere bescherming onder artikel 87 van de AVG en mag pas worden verwerkt zodra er een effectieve arbeidsovereenkomst wordt opgesteld, ter voorbereiding van de wettelijke Dimona-aangifte.

Ook gezondheidsgegevens vallen buiten uw bereik tijdens de selectie. Vragen over de gezondheidstoestand van een kandidaat of het opvragen van medische attesten mag uitsluitend gebeuren door een erkende preventieadviseur-arbeidsarts, in het kader van het verplichte gezondheidstoezicht.

Bewaartermijnen: 4 weken versus 1 jaar voor de wervingsreserve

De wettelijke standaardtermijn om een cv van een niet-geselecteerde kandidaat te bewaren is maximaal vier weken na afronding van de procedure. Wilt u het dossier langer houden voor een wervingsreserve, dan hebt u de uitdrukkelijke en actieve toestemming van de sollicitant nodig. Met die toestemming mag u het maximaal één jaar bewaren.

Een veelgemaakte fout is denken dat een algemeen akkoord met uw privacybeleid volstaat. De AVG verbiedt het bundelen van toestemmingen. Wie akkoord gaat met de algemene voorwaarden van een vacatureplatform, geeft daarmee geen rechtsgeldige toestemming voor langdurige bewaring. De toestemming moet specifiek, geïnformeerd en intrekbaar zijn. Een expliciet verwijderverzoek negeren leidt rechtstreeks tot sancties.

NIS2 en de B2B-toeleveringsketen

Ook al valt uw kantoor formeel buiten NIS2, uw klanten trekken u er wel in. De meeste kmo-uitzendkantoren met minder dan 50 werknemers of een omzet onder 10 miljoen euro vallen niet onder het directe toepassingsgebied. Maar essentiële en belangrijke entiteiten (ziekenhuizen, transport, energie) moeten wettelijk aantonen dat hun toeleveranciers veilig werken.

Dat betekent concreet: levert u medisch of technisch personeel aan een grote klant, dan zal die klant bewijs van uw cyberbeveiliging vragen. Kunt u dat niet leveren, dan riskeert u uitgesloten te worden van toekomstige samenwerkingen. Het Centrum voor Cybersecurity België (CCB) raadt kmo’s aan het CyberFundamentals-framework (CyFun) te gebruiken. Het Basic-niveau, met 34 basiscontroles, is een geschikte opstap om aan die ketenverplichtingen te voldoen.

Stappenplan: hoe voorkomt u loonfraude en datalekken?

Effectieve HR-cybersecurity combineert techniek met proces. Onderstaand stappenplan richt zich op de drie grootste risicozones: kwetsbare bijlagen, gespoofte e-mail en frauduleuze loonwijzigingen. De meeste maatregelen zijn organisatorisch en dus betaalbaar.

1. Technische filters aanscherpen en e-mail authenticeren

Begin bij de bijlage en het domein. Stel e-mailfilters in die dubbele bestandsextensies (zoals cv.pdf.exe) en gecomprimeerde archieven (.zip, .rar) van onbekende externe afzenders automatisch blokkeren of in quarantaine plaatsen. Beoordeel binnenkomende documenten waar mogelijk in een beveiligde online viewer, zodat schadelijke code niet op uw netwerk terechtkomt.

Implementeer daarnaast SPF, DKIM en DMARC op al uw actieve én inactieve e-maildomeinen. Een strikt DMARC-beleid (p=reject) zorgt dat ontvangende servers, zoals die van sociale secretariaten en klanten, automatisch elke e-mail blokkeren die frauduleus uit naam van uw domein wordt verstuurd. Gezien 75 procent van de Belgische bedrijven dit mist, is het een van de meest onderschatte quick wins.

2. Het out-of-band verificatieprotocol voor loonwijzigingen

Voer één harde regel in: een verzoek om een bankrekeningnummer aan te passen wordt nooit louter op basis van een e-mail doorgevoerd. Uw medewerker neemt telefonisch contact op met de betrokkene, via een telefoonnummer dat al in het systeem staat, niet het nummer uit de e-mail of de aanvraag. Die callback-procedure neutraliseert het gros van de loonfraude.

Een sterker alternatief is wijzigingen uitsluitend toe te laten via een beveiligd self-serviceportaal met meervoudige verificatie (MFA). Zo verschuift de verantwoordelijkheid van een gehaaste e-mailbeoordeling naar een geverifieerd systeem.

3. Vroegtijdige begunstigdenscreening vóór de loonrun

Sinds oktober 2025 is de Verification of Payee (VoP) een standaardonderdeel van Europese betalingssystemen: banken controleren of de naam van de begunstigde overeenstemt met het IBAN. Wacht u tot het sociaal secretariaat de verzamelbetaling ondertekent, dan leidt een “no match” tot operationele frictie en mogelijke blokkades van de volledige payroll.

Beter is om anti-fraudeverificatie al in uw eigen HR- en payrollsystemen te integreren. Zo detecteert en corrigeert u discrepanties vóór de gegevens naar het secretariaat vertrekken.

4. Data-minimalisatie automatiseren in het ATS

Wat u niet bewaart, kan niet lekken. Richt uw sollicitatieportaal zo in dat kandidaten in de eerste ronde geen documenten met een rijksregisternummer kunnen uploaden. Configureer uw Applicant Tracking System (ATS) om cv’s van niet-geselecteerde kandidaten na exact vier weken automatisch te verwijderen, tenzij er via een actieve double opt-in toestemming is gegeven voor de wervingsreserve, met een harde limiet van één jaar.

Subsidietip: tot 45% op cybersecurity-advies via de kmo-portefeuille

Een cybersecurity-audit hoeft uw budget niet te breken. Sinds 1 februari 2026 heeft VLAIO het toepassingsgebied van de dienst ‘advies’ binnen de kmo-portefeuille sterk ingeperkt: strategisch, financieel en marketingadvies komt niet langer in aanmerking. Cybersecurity-advies en -opleiding blijven wél onbeperkt subsidiabel, net om de cyberweerbaarheid van Vlaamse ondernemingen te stimuleren.

Om van het verhoogde percentage te genieten, werkt u samen met een geregistreerde dienstverlener. Het minimale projectbedrag voor advies is 500 euro, en u dient de aanvraag uiterlijk 14 kalenderdagen na aanvang van de prestaties in. Zo laat u een formeel cybersecuritybeleid en een risicoanalyse opstellen tegen een gericht budget, en voldoet u meteen aan de eisen die uw grote B2B-klanten opleggen.

Weet u nog niet waar te beginnen? Onze gids over cybersecurity voor kmo’s met een beperkt budget geeft een pragmatische leidraad om de eerste stappen te zetten zonder meteen zwaar te investeren.

Waarom “wij zijn te klein” een gevaarlijke misvatting is

De gedachte dat een klein kantoor te onbeduidend is voor hackers klopt niet. Cyberaanvallen verlopen in 2026 grotendeels geautomatiseerd: botnets speuren het internet continu af naar ongepatchte systemen, ongeacht bedrijfsgrootte. Juist kleine rekruteringskantoren bezitten een schat aan identiteitsdata die snel te gelde te maken is.

Daar komt de ketenlogica bij. Kleine kmo’s fungeren vaak als laagdrempelig startpunt voor een aanval op een grotere partner. Dat de GBA in mei 2025 een boete van 200.000 euro oplegde aan een organisatie die zélf slachtoffer was van ransomware, onderstreept het punt: de toezichthouder bestrafte het ontbreken van digitale basishygiëne, geen risicoanalyse, geen beleid, ongepatchte servers en geen awareness-training. Slachtoffer zijn ontslaat u niet van uw zorgplicht.

Veelgestelde vragen over HR-cybersecurity

Mag ik een sollicitant naar zijn rijksregisternummer vragen op ons online sollicitatieformulier?

Nee. Volgens Advies nr. 52/2025 van de GBA is het rijksregisternummer niet noodzakelijk in de selectiefase en dus verboden om op te vragen. Het nummer geniet bijzondere bescherming onder artikel 87 van de AVG en mag pas worden verwerkt zodra er een arbeidsovereenkomst wordt opgesteld, ter voorbereiding van de Dimona-aangifte.

Wat is de wettelijke bewaartermijn voor een cv in België?

De standaardtermijn is maximaal vier weken na afronding van de selectieprocedure. Wilt u het cv langer bewaren voor een wervingsreserve, dan is de uitdrukkelijke en actieve toestemming van de kandidaat vereist, met een maximum van één jaar. Fiscale en sociale documenten van medewerkers bewaart u daarentegen verplicht zeven jaar.

Hoe herkent mijn HR-team het verschil tussen een legitieme loonwijziging en phishing?

Behandel elk verzoek om een rekeningnummer te wijzigen per e-mail als verdacht. De veiligste controle is een callback: bel de betrokkene via een telefoonnummer dat al in uw systeem staat, nooit het nummer uit de aanvraag. Voer de wijziging pas door na mondelinge bevestiging, of laat ze uitsluitend toe via een portaal met meervoudige verificatie.

Welke NIS2-verplichtingen gelden er indirect voor HR-toeleveranciers?

Vallen uw grote klanten onder NIS2, dan moeten zij aantonen dat hun toeleveranciers veilig werken. Als uitzendkantoor krijgt u daardoor vragen om uw cyberbeveiliging te bewijzen, zelfs als u zelf buiten het directe toepassingsgebied valt. Het CyberFundamentals-framework op Basic-niveau (34 controles) is een geschikte opstap om aan die keteneis te voldoen.

Hoeveel subsidie kan een Vlaamse kmo krijgen voor een cybersecurity-audit?

Via de kmo-portefeuille recupereert een kleine onderneming tot 45 procent van de advieskosten voor cybersecurity, een middelgrote onderneming tot 35 procent. Het jaarlijkse plafond bedraagt 7.500 euro. U werkt daarvoor samen met een geregistreerde dienstverlener en het minimale projectbedrag is 500 euro.

Wilt u weten hoe stevig uw kantoor er vandaag voorstaat? Een vrijblijvende security-check bij Cyberplan brengt uw zwakke plekken in kaart en levert een concrete routekaart op, afgestemd op de realiteit van een HR- of uitzendkantoor. U weet daarna precies waar u staat, en welke stappen het meeste verschil maken.