Shadow IT in uw kmo: in kaart brengen zonder extra tools

Shadow IT is software, clouddiensten of toestellen die medewerkers voor hun werk gebruiken zonder dat de IT-verantwoordelijke ervan weet, zoals een persoonlijke Dropbox, een gratis planningstool of een app die toegang kreeg tot de mailbox. Het ontstaat bijna altijd uit goede bedoelingen, omdat de goedgekeurde weg te traag of te beperkt is.

Voor een Belgische kmo is het risico vooral dat bedrijfs- en klantgegevens buiten uw beheer belanden, zonder verwerkersovereenkomst en zonder dat iemand de toegang afsluit wanneer een medewerker vertrekt. Met facturen en de beheerconsoles van Microsoft 365 of Google Workspace brengt u het in kaart zonder extra tools.

In het kort

• Shadow IT is zelden kwade wil. Volgens het Britse National Cyber Security Centre (2023, herzien in augustus 2026) is het meestal een teken dat medewerkers met de goedgekeurde tools hun werk niet gedaan krijgen.
• Het grootste risico voor een kmo: gegevens in diensten zonder contract, en accounts die blijven bestaan na een vertrek.
• U vindt shadow IT in uw facturen, in de lijst met toepassingen en toestemmingen van Microsoft 365 of Google Workspace, en door het gewoon te vragen.
• CyberFundamentals vraagt al op het niveau Basic een actuele inventaris van alle software en digitale diensten (control ID.AM-02.1).
• Verbieden werkt niet. Een korte lijst met toegestane tools, een snel aanvraagproces en een eigenaar per tool wel.

Wat is shadow IT?

Het NCSC omschrijft shadow IT als de onbekende middelen die binnen een organisatie voor zakelijke doeleinden gebruikt worden: alles wat IT niet kent en dus niet kan beheren of beveiligen.

Twee afbakeningen helpen. Werken op een eigen toestel binnen een afgesproken BYOD-beleid is volgens het NCSC geen shadow IT; een privé-gsm met werkmail zonder enige afspraak is het wel. En shadow AI, het gebruik van AI-tools zonder goedkeuring, is een deel van shadow IT met eigen risico’s. Daarover leest u meer in ons artikel over shadow AI en het datalekrisico van ChatGPT en Copilot.

Welke vormen van shadow IT komen in een kmo voor?

Hoe groot het fenomeen is, valt moeilijk te meten. Gartner voorspelde in maart 2023 dat tegen 2027 75 procent van de werknemers technologie zal aanschaffen, aanpassen of maken buiten het zicht van IT, tegenover 41 procent in 2022. Dat is een voorspelling, geen meting. Betrouwbare cijfers voor Belgische kmo’s bestaan niet.

Hoe ontdekt u shadow IT zonder extra tools?

Voor een kmo van dertig medewerkers is er geen dure software nodig. De sporen liggen al in uw boekhouding en in de beheerconsoles van Microsoft 365 of Google Workspace.

1. Kijk waar het geld naartoe gaat. Overloop twaalf maanden kredietkaartafschriften en onkostennota’s op terugkerende softwareabonnementen.
2. Kijk in Microsoft 365 waar medewerkers zich aanmelden. In het Microsoft Entra-beheercentrum staat onder Entra ID > Enterprise apps > All applications elke toepassing waarin iemand zich met zijn werkaccount aanmeldde of die toestemming kreeg; het tabblad Permissions toont welke rechten ze kreeg. De aanmeldlogs (Monitoring & health > Sign-in logs) blijven met de gratis versie van Entra ID maar zeven dagen bewaard, dus download ze regelmatig.
3. Kijk in Google Workspace welke apps toegang hebben. In de beheerconsole toont Security > Access and data control > API controls > Accessed apps per app hoeveel gebruikers ze toegang gaven en tot welke gegevens, in alle edities.
4. Kijk wat op de toestellen staat. Wie Intune gebruikt, vindt onder Apps > Monitor > Discovered apps de geïnstalleerde software. Voor browserextensies in Chrome is er in de Google-beheerconsole een rapport over het gebruik van apps en extensies.
5. Vraag het, zonder schuldvraag. Een korte bevraging per team: welke tools gebruikt u die u niet van IT kreeg, en waarvoor? Volgens het NCSC ontdekt u veel minder in een cultuur waarin medewerkers straf vrezen.
6. Zet alles in één lijst. Per tool: wat het doet, wie het gebruikt, welke gegevens erin staan, wie de eigenaar is en of er een verwerkersovereenkomst is. Voor een kleine organisatie volstaat een spreadsheet.

Welke andere instellingen u in diezelfde beheerconsole nakijkt, leest u in ons artikel over de Microsoft 365 security audit. Wat u als werkgever mag nakijken, staat in de veelgestelde vragen onderaan.

Waarom is shadow IT een risico voor een Belgische kmo?

De GDPR vraagt een contract met elke verwerker

Verwerkt een tool persoonsgegevens van klanten of medewerkers, dan vraagt artikel 28 van de GDPR een verwerkersovereenkomst met de leverancier. Een gratis account dat een medewerker zelf aanmaakte, heeft die meestal niet. Staan de gegevens bij een Amerikaanse dienst, dan geldt bovendien dat het EU-US Data Privacy Framework alleen leveranciers dekt die zich daarvoor certificeerden. Welke gegevens het gevoeligst zijn, bepaalt u met dataclassificatie.

De werkgever blijft verantwoordelijk, ook als een medewerker het kanaal koos. In januari 2026 gaf de Gegevensbeschermingsautoriteit een waarschuwing aan een werkgever omdat een leidinggevende privéberichten van een medewerker deelde in een werkgerelateerde WhatsApp-groep, en wees daarbij op het ontbreken van interne richtlijnen (beslissing 10/2026).

CyberFundamentals en NIS2 vragen een inventaris

In CyberFundamentals 2025 van het Centrum voor Cybersecurity België vraagt control ID.AM-02.1 al op het niveau Basic een gedocumenteerde inventaris van alle software, digitale diensten en bedrijfssystemen, die bij elke wijziging wordt bijgewerkt. Op het niveau Important komt daar ID.AM-04.1 bij: externe diensten worden vóór gebruik beoordeeld en goedgekeurd. Valt uw organisatie onder de Belgische NIS2-wet van 26 april 2024, dan vraagt artikel 30 §3 maatregelen voor de toeleveringsketen en het beheer van activa. Shadow IT is dan een lacune in de inventaris die een auditor vraagt.

Accounts die blijven bestaan na een vertrek

Wie de Microsoft- of Google-account van een vertrekkende medewerker afsluit, sluit niet automatisch de tools af waarvoor hij zich met een eigen wachtwoord registreerde. Zonder lijst weet niemand dat die accounts bestaan. Hoe u toegangen bij een personeelswissel volledig afsluit, staat in ons artikel over offboarding en toegangsrechten.

Wat doet u met een tool die iedereen gebruikt, maar die niemand goedkeurde?

Na elke inventaris komt deze vraag, en er zijn drie antwoorden.

• Opnemen, als de tool doet wat nodig is en de leverancier een zakelijke versie met verwerkersovereenkomst biedt. Dan stapt u over naar een bedrijfsaccount, duidt u een eigenaar aan en zet u de tool op de lijst.
• Vervangen, als u al een goedgekeurde tool heeft die hetzelfde kan, of als de leverancier geen contract biedt. Verhuis de gegevens eerst, sluit daarna de oude accounts.
• Afbouwen, als niemand de tool echt nodig heeft. Haal de gegevens eruit en trek de toestemmingen in.

Waarom verbieden niet werkt

Het sterkste argument tegen strenge regels komt uit de praktijk zelf: shadow IT is vaak gewoon innovatie. De goedgekeurde tool kan iets niet of een aanvraag duurt weken, en in dertig seconden vindt een medewerker iets dat werkt. Gartner noemde het al in 2015 zinloos om shadow IT te willen uitroeien. Het NCSC waarschuwt dat strenge blokkades, zoals extern delen volledig afsluiten, medewerkers naar onbeheerde alternatieven duwen die nog minder zichtbaar zijn.

Dat klopt, en daarom vertrekt een goede aanpak van zichtbaarheid in plaats van verboden. Maar innovatie vraagt geen privé-account zonder contract. Behandel shadow IT als een gratis behoefteanalyse: het toont welke noden de officiële tools niet invullen.

Een aanpak die werkt: lijst, aanvraag, eigenaar

1. Een korte lijst met toegestane tools per taak: bestanden delen, plannen, vergaderen, formulieren.
2. Een aanvraagproces dat snel antwoordt. Het NCSC noemt een traag of onduidelijk aanvraagproces als een van de oorzaken van shadow IT. Spreek een korte termijn af en leg uit waarom iets wel of niet goedgekeurd wordt.
3. Een eigenaar per tool, die weet welke gegevens erin staan en wie er toegang heeft.
4. Toestemmingen in de hand houden. Zet in Microsoft 365 de aanvraagprocedure voor beheerderstoestemming aan, zodat een medewerker goedkeuring vraagt voor een app in plaats van vast te lopen. In Google Workspace kiest u per afdeling of niet-gekeurde apps toegelaten zijn.
5. De lijst in de offboarding: bij elk vertrek overloopt u welke tools de persoon gebruikte.
6. Een jaarlijkse ronde door facturen, toestemmingen en de bevraging, als onderdeel van uw risicoanalyse.

Weet u welke diensten uw organisatie echt gebruikt?

Cyberplan brengt in een cybersecurity-audit de software en clouddiensten van uw organisatie in kaart, toetst ze aan CyberFundamentals en de GDPR, en geeft per tool een advies. Cyberplan staat op de VLAIO-lijst van dienstverleners voor de cybersecurity verbetertrajecten, waarmee kmo’s 50 procent steun kunnen krijgen. Wilt u eerst zien wat van buitenaf zichtbaar is? Vraag de gratis scan aan.

Veelgestelde vragen

Wat zijn voorbeelden van shadow IT?

Typische voorbeelden zijn een persoonlijke Dropbox of WeTransfer om bestanden te delen, een planningstool die een afdeling zelf afsloot, een WhatsApp-groep voor het team, een browserextensie en een app die via “aanmelden met Microsoft of Google” toegang kreeg tot mailbox of bestanden. Gemeenschappelijk is dat IT er niet van weet.

Is shadow IT verboden?

Nee, shadow IT is op zich niet verboden, maar de gevolgen kunnen wel een overtreding zijn. Verwerkt een niet-goedgekeurde tool persoonsgegevens zonder verwerkersovereenkomst, dan schendt u artikel 28 van de GDPR. Voor organisaties die CyberFundamentals volgen, vraagt control ID.AM-02.1 een actuele inventaris van alle software en digitale diensten.

Wat is het verschil tussen shadow IT en shadow AI?

Shadow AI is het deel van shadow IT dat over AI-tools gaat, zoals een publieke chatbot waarin een medewerker een klantdossier plakt. Shadow IT is breder en omvat ook opslagdiensten, planningstools, berichtenapps en browserextensies. Het Britse NCSC rekent niet-beheerde AI-chatbots uitdrukkelijk tot shadow IT.

Valt BYOD onder shadow IT?

Niet als er een afgesproken BYOD-beleid is. Het NCSC maakt dat onderscheid uitdrukkelijk: werken op een eigen toestel binnen afspraken en beheer is geen shadow IT. Een privétoestel dat zonder afspraken voor werk gebruikt wordt, is dat wel. Het verschil zit in de zichtbaarheid, niet in wie het toestel betaalde.

Mag ik als werkgever nakijken welke tools medewerkers gebruiken?

Ja, binnen grenzen. Een inventaris uit licenties, facturen en een bevraging van de medewerkers kan zonder meer. Wie individuele aanmeldingen opvolgt, volgt de regels van cao nr. 81: een duidelijk doel, eerst algemeen toezicht en voorafgaande informatie aan de medewerkers, bij voorkeur in het arbeidsreglement.