Een volledige uitsplitsing van directe en indirecte kosten na een datalek vind je in ons achtergrondartikel, maar loopt al snel op naar enkele duizenden tot tienduizenden euro’s. Phishing is nog steeds de meest voorkomende aanvalsvector waarmee ransomware binnenkomt (Zeta, 2025; Rijksoverheid, 2024). In dit artikel combineren we die cijfers met de richtlijnen van het NCSC voor incidentrespons bij ransomware en onze eigen ervaring bij NetCaptain met het mkb.
Wat gebeurt er precies bij een ransomware-aanval op een mkb?
Ransomware versleutelt bestanden op je systemen. De aanvaller eist losgeld in ruil voor de decoderingssleutel. In de praktijk begint het bijna nooit met een geavanceerde hack. De meeste mkb-incidenten die wij bij NetCaptain voorbij zien komen, starten met een phishingmail of een zwakke plek in een extern systeem, denk aan een verouderde VPN-concentrator, een openstaande RDP-poort of een kwetsbare WordPress-plugin.
De aanvaller plaatst zich eerst stil in je netwerk. Vaak gebeurt dat dagen of weken voordat de versleuteling start. In die tussentijd worden inloggegevens verzameld, back-ups verwijderd of ontoegankelijk gemaakt, en wordt gezocht naar de bedrijfskritieke data. Pas daarna slaat de aanvaller toe, meestal buiten kantooruren, zodat de ontdekking zo lang mogelijk uitblijft.
Daarom is de eerste reactie belangrijker dan je denkt. Wie in de eerste 60 minuten de juiste dingen doet, kan het verschil maken tussen een verstoring van een paar uur en een wekenlange uitval. De rest van dit artikel legt uit hoe je in die eerste 24 uur moet reageren.
De eerste 15 minuten: stabiliseer en isoleer
Het belangrijkste advies van het NCSC luidt: blijf kalm en begin meteen met isoleren. Ransomware verspreidt zich via het netwerk. Zolang besmette systemen verbonden zijn, loopt ook de rest van je omgeving risico. Trek de stekker eruit, letterlijk en figuurlijk, maar doe dat doelgericht.
De eerste concrete stappen die je nu kunt zetten zijn: haal besmette servers en werkstations van het netwerk door de netwerkkabel te ontkoppelen, zet de wifi uit voor de getroffen afdeling, schakel gedeelde netwerkschijven en cloud-back-ups in alleen-lezen modus als dat snel kan, en wijzig direct de wachtwoorden van alle beheeraccounts. Blokkeer daarnaast de externe toegang tot je systemen, dus VPN, RDP en andere remote access, totdat je weet welke inloggegevens zijn gelekt.
Belangrijk: zet besmette machines niet uit. De forensische data op een draaiende machine is vaak de sleutel tot het incidentonderzoek. Een incident respons traject begint met het veiligstellen van bewijslast, en die gaat verloren zodra je uitschakelt. Documenteer ondertussen wat je ziet: schermafbeeldingen van de losgeldbrief, timestamps van de eerste melding, en een lijst van systemen die je hebt geïsoleerd.
Uur 1 tot 4: zet het crisisteam bij elkaar
Een ransomware-incident is geen klus voor de IT-afdeling alleen. Vanaf het eerste uur heb je een klein crisisgroep nodig met de juiste mensen aan tafel. Dat zijn de IT-manager of technisch lead, de directie of een tekenbevoegd persoon, een juridisch of compliance contactpunt, en een communicatieverantwoordelijke. Afhankelijk van de impact voeg je een externe partij toe voor incident respons en forensisch onderzoek.
De directie moet nu drie beslissingen nemen. Betaal je wel of niet het losgeld, hoe communiceer je naar medewerkers, klanten en leveranciers, en zet je de bedrijfsvoering door of ga je in lockdown. Wacht niet met die beslissingen tot het team een complete inventarisatie heeft; neem een voorlopige lijn en stuur die bij zodra je meer weet. Nederlandse politiek en justitie raden af om te betalen, omdat betalen geen garantie biedt op herstel en bovendien criminele netwerken in stand houdt.
Stel in dit blok ook meteen een communicatiekanaal in dat buiten de getroffen infrastructuur valt. Veel aanvallers lezen mee in e-mail en chat. Gebruik een ander kanaal, bijvoorbeeld een persoonlijk mobiel nummer, een WhatsApp-groep op privénummers, of een versleutelde tool die niet aan je reguliere IT hangt. Alleen zo voorkom je dat de aanvaller hoort wat je van plan bent.
Uur 4 tot 12: beoordeel de schade en start herstel
Nu het netwerk geïsoleerd is en het team draait, begint de feitelijke inventarisatie. Welke systemen zijn versleuteld, welke data is bereikbaar, en vooral: welke back-ups heb je nog. Zonder betrouwbare back-up ben je aangewezen op de decoderingssleutel van de aanvaller, en dat wil je vermijden. Werk daarom met de 3-2-1-regel voor back-ups, drie kopieën, op twee verschillende media, waarvan één offline of immutable. Een mkb dat deze regel consequent toepast, kan doorgaans binnen 24 tot 72 uur weer operationeel zijn, zo leert de praktijk.
Begin het herstel nooit op de productieomgeving zelf. Bouw een schone, geïsoleerde testomgeving op en controleer daar of de back-up daadwerkelijk schoon is. Ransomware schrijft zich soms al weken voor de feitelijke versleuteling in bestanden, dus een recente back-up is niet automatisch veilig. Scan de back-up met een actuele antivirus- en EDR-tool voordat je terugzet. Pas als de back-up schoon is bevonden, zet je stap voor stap systemen terug, beginnend met de meest kritieke bedrijfsprocessen.
Loop in dit blok ook alle toegangsrechten na. Welke accounts zijn mogelijk gelekt, welke MFA-instellingen kloppen nog, en zijn er nieuwe admin-accounts aangemaakt. Veel aanvatters creëren een achterdeur, een extra beheeraccount dat pas actief wordt als je denkt dat alles weer veilig is. Door nu grondig te resetten, sluit je die deur.
Uur 12 tot 24: melden en communiceren
Vanaf 2026 valt een grotere groep mkb-bedrijven onder de meldplicht van de Cyberbeveiligingswet, de Nederlandse implementatie van NIS2. Een incident response mkb Nederland is dus niet meer alleen een interne aangelegenheid. Je moet ernstige digitale incidenten melden bij het NCSC of via de NCTV-procedure (NCTV, 2026). Doe dit vroeg in het proces, ook als je nog niet alle details hebt. Een vroege melding kan je later helpen bij het bewijzen dat je zorgvuldig hebt gehandeld, en het NCSC kan in sommige gevallen technische assistentie verlenen.
Daarnaast geldt voor datalekken met persoonsgegevens een meldplicht bij de Autoriteit Persoonsgegevens, uiterlijk 72 uur na ontdekking. Die klok begint te tikken zodra je weet dat er persoonsgegevens betrokken zijn, dus stel die vraag meteen in dit blok. Twijfel je of er sprake is van een datalek, behandel het dan als datalek tot het tegendeel is bewezen.
En dan is er de communicatie naar medewerkers, klanten en leveranciers. Wees open over wat er is gebeurd, ook al weet je nog niet alles. Medewerkers hebben recht op duidelijkheid, en klanten vertrouwen een organisatie die het verhaal zelf vertelt meer dan een organisatie die het via een gerucht ontdekken. Een korte, feitelijke update op je website of in een directe e-mail aan klanten is vaak voldoende. Belangrijk is dat je belooft wat je kunt waarmaken, dus geen “we hebben alles opgelost” als je dat nog niet zeker weet.
Hoe voorkom je dat het nog een keer gebeurt?
De echte les van een ransomware-aanval zit in wat je erna doet. Vijf maatregelen die bij mkb-bedrijven het meeste verschil maken, in volgorde van effectiviteit. Eerst het toepassen van de 3-2-1 back-upregel, met minstens één offline of immutable kopie die niet vanaf het netwerk bereikbaar is. Ten tweede multi-factor authenticatie op alle externe toegang, dus VPN, RDP, Microsoft 365, en alle cloud-platformen. Ten derde tijdige patch-toepassing, met een aparte focus op VPN-concentratoren, firewalls en extern bereikbare applicaties. Ten vierde e-mailsecurity met anti-phishing en sandboxing, want phishingcampagnes blijven de belangrijkste toegangspoort. En ten vijfde een getoetst incident response plan, dat je minimaal één keer per jaar oefent met een tabletop-sessie.
Continue monitoring op kwetsbaarheden maakt dit plaatje compleet. Met een vulnerability management platform zoals NetCaptain krijg je dagelijkse scans van je externe assets, zie je direct wanneer er een kritieke CVE bekend wordt, en ontvang je meldingen via Slack of Teams. Dat verkort de tijd tussen bekendheid van een kwetsbaarheid en jouw reactie van weken naar uren. Voor mkb-organisaties die snelheid willen zonder een eigen SOC, werkt dat in de praktijk beter dan ad-hoc scannen na een incident.
Voer na elk incident een korte post-mortem uit, schriftelijk, met een lijst van lessen en eigenaren. Het doel is niet om schuldigen aan te wijzen, maar om te zorgen dat dezelfde fout niet twee keer voorkomt. Deel deze lessen met de directie, zodat security een vast onderdeel wordt van de bestuursagenda in plaats van een IT-bijzaak.
Veelgestelde vragen over een ransomware aanval bij mkb Nederland
Wat moet ik als eerste doen als ik ontdek dat onze systemen versleuteld zijn?
Isoleer direct de besmette systemen door ze van het netwerk te halen, wijzig alle beheerderswachtwoorden, en zet de externe toegang uit. Zet systemen niet uit, want dan verlies je forensische data. Stel meteen een crisisgroep samen met directie, IT, juridisch en communicatie.
Moet ik losgeld betalen aan de aanvaller?
Nederlands politie en justitie raden betalen af. Je hebt geen zekerheid dat je de sleutel krijgt, je houdt criminele netwerken in stand, en je kunt daarna opnieuw doelwit worden omdat je als betaler bekend staat. Investeer in een schone back-up en professioneel incident respons.
Ben ik verplicht om een ransomware-aanval te melden?
Ja, in veel gevallen. Vanaf 2026 vallen meer mkb-bedrijven onder de Cyberbeveiligingswet, met meldplicht bij het NCSC voor ernstige incidenten. Bij een datalek met persoonsgegevens geldt een meldplicht bij de Autoriteit Persoonsgegevens binnen 72 uur. Meld altijd vroeg, ook als je nog niet alle details hebt.
Hoe lang duurt het herstel na een ransomware-aanval?
Met een schone, geïsoleerde back-up en een goed getest herstelplan kun je doorgaans binnen 24 tot 72 uur de kernprocessen weer opstarten. Volledig herstel, inclusief alle nevenprocessen en forensische analyse, duurt vaak twee tot vier weken.
Hoe voorkom ik dat een phishingmail binnenkomt als startpunt van een aanval?
Combineer technische maatregelen, zoals e-mailsecurity met anti-phishing, sandboxing en DMARC, met bewustzijnstraining voor medewerkers. Een phishingcampagne als oefening helpt om medewerkers alert te houden zonder dat het een eenmalige training blijft.
Tot slot
Een ransomware aanval bij mkb Nederland is iets dat je liever voorkomt dan oplost. Maar als het toch gebeurt, dan is een helder 24-uurs actieplan het verschil tussen een gecontroleerde verstoring en een langdurige crisis. De kern zit in vijf dingen: snel isoleren, een crisisgroep formeren, schone back-ups veiligstellen, tijdig melden bij NCSC en AP, en daarna structureel je beveiliging versterken. Met continue monitoring op kwetsbaarheden en een getoetst incidentplan maak je van een scenario een oefening, niet meer.
Wil je weten waar jouw organisatie vandaag staat? Plan dan een vrijblijvend kennismakingsgesprek met een NetCaptain-expert.
