In mei 2026 werd het Vlaams-Brabantse bureau C2O Architects getroffen door ransomware. De aanvallers stalen eerst gevoelige project- en bedrijfsdata en versleutelden daarna de werkstations. Het toont wat er op het spel staat bij cybersecurity voor architecten- en ingenieursbureaus: uw BIM-modellen, plannen en berekeningen zijn jarenlang concurrentievoordeel, en net dat maakt u een doelwit. Voor een ontwerpbureau is beveiliging dan ook geen IT-detail, maar de bescherming van uw intellectuele eigendom en uw beroepsaansprakelijkheid.
In het kort
- BIM-modellen, CAD-tekeningen en berekeningsnota’s zijn waardevolle intellectuele eigendom en een geliefd doelwit voor ransomware.
- Cloudplatformen als Autodesk Construction Cloud en BIM 360 werken met gedeelde verantwoordelijkheid: back-ups blijven uw taak.
- Klein of niet, via de keten leggen hoofdaannemers en overheden u steeds vaker beveiligingseisen op onder NIS2.
- De tienjarige aansprakelijkheid verplicht u dossiers minstens tien jaar veilig en raadpleegbaar te bewaren.
- Via de kmo-portefeuille recupereert u tot 45% van cybersecurity-advies en -opleiding.
Waarom ontwerpbureaus in het vizier liggen
Architecten- en ingenieursbureaus zijn een aantrekkelijk doelwit omdat ze digitale activa met een hoge marktwaarde beheren, terwijl het IT-beheer vaak bij een drukke vennoot of een lokale partner ligt. Diefstal van ontwerpdata leidt tot direct verlies van voorsprong, en uitval legt lopende projecten stil.
De kern van uw bureau is intellectuele eigendom: driedimensionale Revit-modellen, parametrische ontwerpscripts en eigen berekeningsmodules die jaren werk vertegenwoordigen. Daarbovenop beheert u vertrouwelijke aanbestedings- en projectdossiers voor gevoelige gebouwen zoals ziekenhuizen, datacenters en overheidsgebouwen. Lekt een veiligheidsarchitectuur of een toegangsplan uit, dan ontstaat een reëel risico voor de eindgebruiker en een claim voor uw bureau. De C2O-aanval bevestigt dat ook middelgrote Vlaamse bureaus die met geavanceerde BIM-software werken, op de radar van internationale ransomwaregroepen staan.
De juridische en deontologische inzet
Een datalek raakt bij een architect meer dan de bedrijfsvoering. Het onbeveiligd bewaren of laten uitlekken van plannen en klantgegevens kan een schending zijn van de deontologische geheimhoudingsplicht, gehandhaafd door de Orde van Architecten, met tuchtsancties tot een tijdelijke schorsing.
Daarnaast geldt de wettelijke tienjarige aansprakelijkheid voor gebreken die de stevigheid van een bouwwerk aantasten (artikel 1792 en 2270 Oud Burgerlijk Wetboek). Dat betekent dat berekeningen, revisies en plannen minstens tien jaar na oplevering ongewijzigd en raadpleegbaar moeten blijven. Een ransomware-aanval die historische projectarchieven vernietigt, maakt uw bureau juridisch kwetsbaar bij een latere claim. En let op uw verzekering: een klassieke beroepsaansprakelijkheidspolis dekt doorgaans bouwfouten, maar sluit directe cyberverliezen, afpersingskosten en AVG-boetes uit.
Waar het misgaat in het bouwproces
De grootste blinde vlek is het misverstand rond de cloud. In platformen als Autodesk Construction Cloud, BIM 360 en Trimble Connect deelt u modellen met tientallen externe partijen. Die contracten werken met een gedeelde verantwoordelijkheid: de leverancier garandeert de beschikbaarheid van het platform, maar het maken van back-ups en het herstellen van projectdata blijft uw verantwoordelijkheid. Te ruime toegangsrechten zorgen er bovendien voor dat een lek bij een onderaannemer het centrale projectmodel kan raken.
Een tweede risico is puur financieel. In de bouwsector onderscheppen fraudeurs regelmatig de e-mailcommunicatie tussen bouwheer, architect en aannemer. Zodra u een vorderingsstaat of ereloonnota goedkeurt en doorstuurt, passen zij het IBAN-nummer op het document aan. Het gevolg is een betaling naar de verkeerde rekening en een langdurig geschil over wie de schade draagt. Hoe aannemers en projectontwikkelaars in hetzelfde vizier liggen, leest u in onze analyse over cybersecurity voor de bouwsector.
Uw bureau en ontwerpen beveiligen in vijf stappen
- Inventariseer en classificeer uw intellectuele eigendom. Breng alle CAD- en BIM-bestanden, berekeningsnota’s en projectdossiers in kaart en werk met minimale rechten: medewerkers en partners krijgen enkel toegang tot de projecten waaraan ze werken.
- Beheer uw cloudomgeving bewust. Zet multifactorauthenticatie verplicht op alle accounts van uw ontwerpplatformen en stem uw back-upbeleid af op de gedeelde verantwoordelijkheid.
- Versterk de menselijke verdediging. Train uw team tegen phishing en voer een vast controleprotocol in voor elke wijziging van een rekeningnummer: een dubbele goedkeuring en een telefonische verificatie via een vooraf gekend nummer, buiten e-mail om.
- Stem af op de keten. Leg beveiligingsafspraken vast met onderaannemers en consultants, en richt uw processen op de CyberFundamentals-richtlijnen van het CCB zodat u een externe audit doorstaat.
- Regel back-ups en incident response. Pas de 3-2-1-regel toe, met minstens één kopie fysiek of logisch geïsoleerd buiten de cloudomgeving, en houd een incidentplan klaar met de contactgegevens van uw jurist, verzekeraar en incident-responsepartner.
Financier uw beveiliging met Vlaamse steun
De Vlaamse overheid ondersteunt preventie stevig. Sinds 1 februari 2026 is het advies binnen de kmo-portefeuille voorbehouden voor cybersecurity: kleine ondernemingen recupereren 45%, middelgrote 35%, tot 7.500 euro per jaar. Voor een doorgedreven begeleiding vergoedt een VLAIO Cybersecurity Verbetertraject 50% van de kosten. Dat maakt een audit of awarenesstraject een stuk toegankelijker.
Uw plannen in vertrouwde handen met Cyberplan
Cyberplan begeleidt ontwerpbureaus zonder in te grijpen op uw netwerkinfrastructuur. We brengen uw BIM- en projectdata in kaart, toetsen uw cloudinstellingen en back-upbeleid, trainen uw team tegen phishing en factuurfraude, en helpen u aantoonbaar te voldoen aan de keteneisen van uw opdrachtgevers. Als het toch misgaat, staan we klaar met incident response. Zo beschermt u uw intellectuele eigendom en uw toegang tot grote opdrachten. Vraag een vrijblijvende kennismaking aan en benut meteen tot 45% VLAIO-steun.
Veelgestelde vragen
Is een klein architectenbureau verplicht om aan NIS2 te voldoen?
Meestal niet rechtstreeks, want de omvangsdrempels liggen hoger. Maar grote opdrachtgevers, overheden en NIS2-plichtige hoofdaannemers leggen die eisen wel contractueel op aan hun toeleveringsketen. Aantoonbare beveiliging wordt zo een voorwaarde om aan projecten te mogen deelnemen.
Maakt Autodesk automatisch back-ups van onze BIM 360- en Revit-bestanden?
Nee. Autodesk garandeert de beschikbaarheid van de cloudinfrastructuur, maar het maken van back-ups van uw projectdata en het herstel bij versleuteling of verwijdering blijft de verantwoordelijkheid van uw bureau.
Kan een bureau VLAIO-subsidie krijgen voor een cybersecurity-audit?
Ja. Via de kmo-portefeuille recupereert u tot 45% voor kleine en 35% voor middelgrote ondernemingen op erkend cybersecurity-advies en -opleiding. Een VLAIO Cybersecurity Verbetertraject dekt 50% van een doorgedreven begeleiding.
Dekt onze beroepsaansprakelijkheidsverzekering de schade van een cyberaanval?
Doorgaans niet. Die polissen dekken bouwfouten, maar sluiten cyberverliezen, afpersingskosten, forensisch onderzoek en AVG-boetes vaak uit. Controleer uw voorwaarden en overweeg een specifieke dekking naast preventieve maatregelen.
