Op basis van de cijfers van Hiscox blijkt de mediaan per cyberincident op ongeveer 17.017 euro te liggen voor het mkb in Nederland. Dit is fors lager dan de gemiddelden die we eerder noemden. Dit komt omdat bij cyberaanvallen soms extreme schadeposten ontstaan, waardoor een handvol incidenten het gemiddelde fors kan beïnvloeden.
Wat kost een datalek het mkb in 2026 gemiddeld?
Voor de Benelux rapporteert het IBM Cost of a Data Breach Report 2026 een gemiddelde van 7,37 miljoen dollar per datalek, een stijging van 16% ten opzichte van 2025 (6,24 miljoen dollar). Deze cijfers gaan over alle organisatiegroottes en zijn in dollars, dus niet direct vergelijkbaar met Hiscox-cijfers voor het mkb. Vooral mkb-organisaties met 50 tot 200 medewerkers zijn kwetsbaar. Ze hebben vaak beperkte IT capaciteit, maar verwerken wel grote hoeveelheden klantgegevens.
Die combinatie maakt hen een aantrekkelijk doelwit. De schade stijgt al snel. Denk aan forensisch onderzoek, juridisch advies, klantcommunicatie en verloren productiviteit. Daarnaast kunnen toezichthouders boetes opleggen onder de AVG en onder de nieuwe cybersecuritywet.
Wat betekent dit voor jou als ondernemer? Een gemiddeld datalek kan al snel een flinke deuk in je bedrijfsresultaat slaan. Zeker als je geen cybersecurity verzekering hebt of je interne processen niet op orde zijn. De kosten komen boven op reputatieschade en klanten die weglopen. In de volgende sectie kijken we naar de specifieke kostenposten die je kunt verwachten na een incident. Zo krijg je een helder beeld van waar het geld precies naartoe gaat.
Directe schade: onderzoek, herstel en communicatie
Een datalek brengt direct na ontdekking een reeks verplichte kosten met zich mee. Voor veel mkb’ers komt dit als een verrassing, omdat de aandacht eerst uitgaat naar het stoppen van het lek. Als je weet dat er data is gelekt, dan starten wettelijke verplichtingen. De kosten van een datalek voor het mkb lopen dan al snel op. Zie ook NIS2 compliance voor het mkb.
Eerst begin je met het inschakelen van een bureau dat Incident Response doet, zoals bijvoorbeeld CyberAnt. Zij begeleiden je in het proces en helpen je bepalen wanneer je meldingen moet doen bij de AP en / of klanten en of er aanvullend forensisch onderzoek nodig is. Volgens het NCSC variëren deze kosten tussen de 15.000 en 60.000 euro voor een volledig onderzoek, afhankelijk van de complexiteit van de aanval. Het is dus zinvol om te bepalen of dit überhaupt nodig is. Vaak is het weten wat hoe de aanvaller binnen is gekomen en waartoe de aanvaller maximaal toegang had voldoende.
Daarna volgt het herstel of de herbouw van getroffen systemen, servers en back-ups. Dit traject varieert in kosten. In het beste geval kan er een back-up teruggezet worden en zijn de kosten beperkt tot de manuren. Ontbreken er back-ups of zijn die besmet, dan schiet de prijs omhoog. Denk aan het opnieuw inrichten van netwerken, de inzet van IT-consultants en de kosten van de downtime.
Bedrijfsonderbreking: de verborgen kostenpost na een datalek
Wanneer een datalek je systemen platlegt, begint de klok direct te tikken. Veel mkb-bedrijven in Nederland zien een uitval van zeven tot eenentwintig dagen wanneer de systemen opnieuw gebouwd moeten worden. Dat klinkt misschien als een verre uitschieter. De praktijk leert dat dit eerder regel dan uitzondering is. Elke dag dat je systemen niet werken, verlies je omzet. Reken op een verlies tussen driehonderd en vijfentwintigduizend euro per dag. Dat hangt af van je sector en orderportefeuille. Voor een webshop met duizenden bestellingen per dag tikt dat hard aan. Voor een productiebedrijf met een volle orderportefeuille kan het nog veel pijnlijker zijn.
De stilstand raakt meer dan alleen je factuur. Productielijnen vallen stil, logistieke processen komen tot stilstand en klanten krijgen hun bestellingen te laat. Dat leidt direct tot gemiste deadlines en SLA boetes. Leveranciers en afnemers rekenen op continuïteit. Wanneer je die niet kunt bieden, volgen er naheffingen en in het ergste geval verlies van klanten. De schade gaat dan verder dan de directe kosten van het datalek zelf.
Wat veel ondernemers onderschatten, is de doorlooptijd van herstel. Back-ups terugzetten kost vaak niet zoveel tijd, maar kan pas nadat bekend is hoe de aanvallers zijn binnengekomen én dit lek is gedicht. Ook kan een trage IT- of SaaS-leverancier ervoor zorgen dat herstel langer duurt dan nodig.
Boetes en toezicht: wat de AP en NIS2 in 2026 doen
Datalekken kosten meer dan directe schade. In 2026 kijken toezichthouders steeds strenger mee, en de financiële risico’s lopen flink op. Onder de AVG kan de maximale boete oplopen tot 4% van je wereldwijde jaaromzet of 20 miljoen euro, afhankelijk van wat hoger is. Voor een mkb lijkt dat bedrag ver weg. In de praktijk hanteert de Autoriteit Persoonsgegevens een lagere bandbreedte, afgestemd op je omzet en de ernst van het lek. Boetes van enkele honderden tot tienduizenden euro’s zijn heel reëel. De AP treedt de laatste jaren vaker op tegen kleinere organisaties, hoewel de werkelijke aantallen vooralsnog meevallen.
Daarnaast is er NIS2. Deze Europese richtlijn is sinds de ingang van de cyberbeveiligingswet (CBW) ook in Nederland volledig van toepassing op een veel breder scala aan sectoren. Het grote verschil met de oude situatie is de persoonlijke aansprakelijkheid van bestuurders. Bij grove nalatigheid kun je als directeur of bestuurder persoonlijk aansprakelijk worden gesteld voor de schade. Tot voor kort lag die verantwoordelijkheid vooral bij de rechtspersoon zelf. Dat betekent dat je niet langer alleen op je IT-leverancier kunt leunen. Jij bent degene die moet aantonen dat je de juiste maatregelen hebt genomen, van toegangsbeheer tot versleuteling van klantgegevens. Lees meer in de Cyberbeveiligingswet en aantoonbare grip op digitale risicos.
Verzekering: wat je cyberpolis wel en niet dekt
Een standaard cyberpolis dekt meestal drie belangrijke kostenposten. Eerst het Incident Response en forensisch onderzoek, want je wilt weten hoe het lek is ontstaan en of er data is gestolen. Daarnaast het herstel van systemen en data, inclusief het opschonen van gehackte servers. En tot slot de bedrijfsonderbreking, dus de omzet die je misloopt terwijl je offline bent. Volgens het Verbond van Verzekeraars keren de meeste polissen binnen enkele weken uit na een gedegen onderzoek.
Let op met boetes van toezichthouders. Die zijn in veel polissen uitgesloten of alleen onder strikte voorwaarden verzekerd. Een AVG-boete van de Autoriteit Persoonsgegevens kan flink oplopen en daar sta je dan zonder vangnet. Lees daarom altijd de kleine lettertjes of vraag je verzekeraar expliciet of sancties zijn meeverzekerd.
Houd ook rekening met je eigen risico. Volgens de Hiscox en Aon polisvoorwaarden kun je rekenen op een eigen risico tussen 2.500 en 25.000 euro per incident. Dat is een flinke smak geld voor een mkb, zeker net na een datalek.
Zo beperk je de kosten van een datalek
Begin met techniek die je vandaag al hebt. Zet tweefactorauthenticatie aan op alle accounts met toegang tot klantdata, administratie of mail. Eén extra stap bij het inloggen voorkomt dat een gestolen wachtwoord een ramp veroorzaakt. Combineer dat met een strak patchbeleid, want de meeste aanvallen misbruiken bekende lekken in software die al maanden een update heeft. Hierbij kan het Vulnerability Management van NetCaptain je helpen. Daarnaast helpt het segmenteren van systemen de impact beperken. Een gehackte website sleurt dan bijvoorbeeld niet je boekhouding mee in.
Een plan dat alleen op papier bestaat is geen plan. Vaak lopen de kosten op door het gebrek van logging of back-ups. Test daarom minstens één keer per jaar je back-ups (volgens de 3-2-1 regel) en controleer regelmatig je logging. Hierbij is het belangrijk dat de logging minimaal een maand bewaard wordt (maar liever langer) en dat deze op een veilige plek bewaard wordt. Wanneer een hacker toegang heeft tot een server is de logging op die server niet meer betrouwbaar.
Als je afhankelijk bent van een ICT-leverancier of SaaS-oplossing, controleer dan hun beschikbaarheid en maak vooraf duidelijke afspraken. Tijdens een incident wil je niet dat jouw incident slechts een ticket-nummer op de backlog van je leverancier is.
Wil je structurele monitoring, dan voert NetCaptain dagelijkse scans uit op je interne en externe assets en geeft je real-time inzicht. Specifiek ontworpen voor het Nederlandse mkb, met persoonlijke begeleiding bij installatie inbegrepen. Met de gratis CyberScan ontdek je snel hoe voorbereid je al bent.
Veelgestelde vragen
Wat kost een datalek gemiddeld voor een mkb in Nederland in 2026?
Voor een mkb in Nederland liggen de gemiddelde kosten van een datalek op ongeveer 270.000 euro per incident, volgens ESET. De mediaan ligt fors lager op 17.017 euro per cyberincident, op basis van Hiscox-cijfers over 2022. Kleinere bedrijven met minder dan 25 medewerkers betalen gemiddeld vaak rond de 20.000 euro aan directe kosten, terwijl grotere mkb’ers tot ver boven de 100.000 euro kunnen oplopen bij een ernstig incident. Naast directe kosten voor forensisch onderzoek, juridische hulp en meldingen bij de Autoriteit Persoonsgegevens krijg je ook te maken met indirecte schade door verloren klanten, productiviteitsuitval en reputatieverlies. Hoe meer klantgegevens je bewaart en hoe langer je nalatig bent geweest met beveiliging, hoe hoger het eindbedrag uitvalt. Zie de cijfers van de Autoriteit Persoonsgegevens: AP datalekken en boetes.
Welke kosten dekt een cyberverzekering wel en niet voor het mkb?
Goed om te weten: een cyberverzekering dekt meestal forensisch onderzoek, klantnotificaties volgens de AVG, juridische bijstand, crisismanagement, bedrijfsschade door uitval en soms losgeld. Niet verzekerd zijn doorgaans boetes van toezichthouders, opzettelijke fouten van bestuurders, schade door niet-gepatchte bekende kwetsbaarheden, reputatieschade op de lange termijn en kosten om je systemen structureel te verbeteren na een incident. Lees altijd de polisvoorwaarden goed, want de dekking verschilt sterk per aanbieder en vereist soms aanvullende modules voor zaken als social engineering of CEO-fraude. Een goede eerste stap is de Hiscox cyberverzekering voor het mkb naast je bestaande risico-inventarisatie.
Hoe hoog kan de boete van de Autoriteit Persoonsgegevens oplopen?
De Autoriteit Persoonsgegevens kan een boete opleggen tot maximaal 20 miljoen euro of 4 procent van je wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor minder ernstige overtredingen geldt een lager maximum van 10 miljoen euro of 2 procent van de omzet. Lees meer op de site van de Autoriteit Persoonsgegevens: boetes en cijfers datalekken.
Hoe lang duurt een bedrijfsonderbreking na een datalek bij een mkb?
Bij een mkb duurt een bedrijfsonderbreking na een datalek gemiddeld twee tot vier weken, afhankelijk van de ernst van het incident. Volledig herstel van systemen, processen en data kan echter drie tot zes maanden in beslag nemen, zeker als reservekopieën ontbreken of verouderd zijn. Hoe sneller je reageert en een goed herstelplan klaar hebt liggen, hoe korter de onderbreking meestal uitvalt. Het Digital Trust Center deelt hierover regelmatig actuele cijfers: DTC cyberincidenten voor het mkb.
Wat is het verschil tussen directe schade en indirecte schade bij een datalek?
Bij directe schade gaat het om kosten die je direct moet maken na een datalek, zoals forensisch onderzoek, het informeren van getroffenen en eventuele boetes van de Autoriteit Persoonsgegevens. Indirecte schade is minder tastbaar en komt later: reputatieverlies, klanten die opzeggen, omzetverlies en hogere verzekeringspremies. Vooral voor mkb-bedrijven kan die combinatie van directe en indirecte kosten flink oplopen, omdat de financiële buffer vaak kleiner is dan bij grote organisaties. Zie verder de publicatie van het Digital Trust Center: risicos en kosten cyberincidenten voor mkb.
Tot slot
Wil je weten waar jouw risico’s liggen en hoe je ze slim afdekt? Start met de gratis CyberScan of plan een vrijblijvend kennismakingsgesprek met NetCaptain.
