Een versleuteld bestand op één laptop lijkt misschien een lokaal probleem. Tot medewerkers geen e-mail meer kunnen openen, klanten niet meer worden geholpen en de planning stilvalt. Met dit voorbeeld van een cyberaanval-herstelplan voor je bedrijf leg je vooraf vast wie handelt, welke systemen voorrang krijgen en wanneer je weer veilig kunt opstarten. Dat geeft rust op het moment dat iedere minuut telt.
Een herstelplan is geen dik document dat in een map verdwijnt. Het is een praktisch draaiboek voor de eerste uren, dagen en weken na een incident. Voor mkb-bedrijven is dat extra relevant: vaak zijn er weinig mensen die zowel de bedrijfsprocessen als de techniek volledig overzien.
Wat moet een herstelplan na een cyberaanval bevatten?
Een bruikbaar plan beantwoordt steeds dezelfde vragen: wat is er gebeurd, wie neemt beslissingen, hoe beperken we de schade, welke dienstverlening moet als eerste terugkomen en hoe informeren we betrokkenen? Leg ook contactgegevens vast die je zonder je normale systemen kunt bereiken, zoals telefoonnummers van directie, ICT-partner, verzekeraar, juridisch adviseur en belangrijke leveranciers.
Maak daarnaast onderscheid tussen een beveiligingsincident en een bedrijfscrisis. Een verdachte e-mail die op tijd wordt gemeld, vraagt een andere aanpak dan ransomware die bestanden op een server versleutelt. Toch begint elk scenario met dezelfde discipline: niet gokken, bewijs bewaren en eerst de verspreiding stoppen.
Wijs vooraf duidelijke rollen toe
Bij een klein bedrijf kan één persoon meerdere rollen hebben. Dat is geen probleem, zolang iedereen weet wie waarvoor verantwoordelijk is. Benoem minimaal een incidentcoördinator die beslissingen vastlegt, een technisch aanspreekpunt dat systemen veiligstelt en een communicatieverantwoordelijke voor medewerkers en klanten.
De eigenaar of directie beslist over grote zakelijke keuzes, zoals het tijdelijk stopzetten van een dienst of het inschakelen van externe experts. Laat technische maatregelen niet afhangen van een groepsapp waarin iedereen tegelijk reageert. Een duidelijke commandolijn voorkomt vertraging en tegenstrijdige acties.
Voorbeeld cyberaanval-herstelplan bedrijf: de eerste uren
Onderstaand scenario kun je aanpassen aan je eigen omgeving. Het gaat uit van een medewerker die melding krijgt dat gedeelde bestanden niet meer openen en er een losgeldmelding verschijnt.
1. Isoleer, maar wis niets
Koppel de getroffen computer direct los van netwerk en wifi. Zet hem niet zomaar uit, tenzij een specialist dat adviseert. Informatie in het werkgeheugen en logbestanden kan later helpen om de oorzaak en de omvang van het incident vast te stellen.
Blokkeer waar nodig getroffen gebruikersaccounts, verwijder actieve sessies en schakel koppelingen met andere systemen tijdelijk uit. Denk daarbij aan externe toegang, synchronisaties en gedeelde netwerkschijven. Het doel is niet om meteen alles te repareren, maar om te voorkomen dat de aanval zich verder verspreidt.
Meld het incident direct bij de aangewezen incidentcoördinator en noteer tijdstippen, foutmeldingen, betrokken apparaten en waarnemingen van medewerkers. Maak foto’s van schermmeldingen als dat veilig kan. Een eenvoudig incidentlog is later van grote waarde.
2. Bepaal welke bedrijfsprocessen geraakt zijn
Breng vervolgens in kaart wat nog werkt. Kunnen medewerkers nog bellen? Zijn klantgegevens beschikbaar? Werkt de website, de digitale werkplek, de boekhouding of het kassasysteem? Kijk niet alleen naar techniek, maar ook naar de praktische gevolgen voor klanten en medewerkers.
Werk met prioriteiten. Voor een installatiebedrijf kan bereikbaarheid en toegang tot de planning het belangrijkst zijn. Voor een zorg- of administratieorganisatie wegen beschikbaarheid van dossiers en vertrouwelijkheid zwaarder. Een webshop zal vooral orders, betalingen en klantcommunicatie snel willen herstellen.
Noteer per cruciaal proces hoeveel uitval acceptabel is. Soms is vier uur zonder een systeem vervelend maar beheersbaar, terwijl een dag zonder telefonie of toegang tot klantafspraken directe schade oplevert. Zo voorkom je dat herstelwerk wordt gestuurd door wie het hardst roept.
3. Schakel deskundige hulp in
Ransomware, accountmisbruik en mogelijke datalekken vragen om technische analyse. Een ICT-partner kan logbestanden onderzoeken, toegang beveiligen, de aanvalsvector opsporen en beoordelen of andere systemen zijn geraakt. Ook kan die partij helpen met een gecontroleerd herstel vanaf een schone omgeving.
Neem contact op met je cyberverzekeraar voordat je grote herstelacties uitvoert, als je een polis hebt. Veel verzekeraars hebben vaste procedures en specialisten. Bij een vermoedelijk datalek moet je bovendien beoordelen of melding bij de Autoriteit Persoonsgegevens nodig is. Dat hangt af van de betrokken persoonsgegevens, de risico’s voor personen en de genomen maatregelen.
Herstellen zonder de aanval terug te zetten
De grootste fout na een incident is te snel terugzetten. Een back-up is pas bruikbaar wanneer je weet dat deze schoon, volledig en bereikbaar is. Controleer daarom eerst wanneer de aanval vermoedelijk begon. Een back-up van gisteren kan alsnog besmette bestanden of een al misbruikte configuratie bevatten.
Herstel bij voorkeur in deze volgorde: eerst identiteit en toegangsbeheer, daarna de netwerkbasis en vervolgens de meest kritieke applicaties en gegevens. Verander wachtwoorden van beheerdersaccounts, controleer extra toegangsbeveiliging en verwijder onbekende gebruikers, apparaten en doorstuurregels. Pas daarna heeft het zin om medewerkers weer toegang te geven.
Test herstelde systemen eerst beperkt. Controleer of bestanden openen, toepassingen correct werken en gegevens volledig zijn. Kijk ook naar koppelingen met printers, telefonie, websites, boekhoudsoftware en externe leveranciers. Een technisch online systeem is nog niet automatisch bruikbaar voor je dagelijkse werk.
Communiceer eerlijk en praktisch
Medewerkers hebben tijdens een incident duidelijke instructies nodig. Vertel welke systemen niet gebruikt mogen worden, waar zij vragen kunnen stellen en hoe zij verdachte berichten melden. Vraag hen niet om zelf bestanden terug te zetten of wachtwoorden via e-mail te delen.
Klanten hoeven niet alle technische details te kennen, maar wel wat de storing voor hen betekent. Licht toe welke dienst tijdelijk beperkt beschikbaar is, welke alternatieve contactmogelijkheid er is en wanneer je een volgende update geeft. Beloftes over hersteltijden doe je alleen als je die kunt onderbouwen.
Bij een mogelijk datalek is zorgvuldigheid essentieel. Communiceer feitelijk: welke gegevens kunnen zijn betrokken, wat doe je om risico’s te beperken en welke stappen kunnen betrokkenen zelf zetten? Vul onbekende feiten niet in. Transparantie werkt alleen als informatie juist is.
Na herstel: onderzoek, verbeter en oefen
Als alle systemen weer draaien, is de druk vaak weg. Juist dan moet je tijd reserveren voor evaluatie. Onderzoek hoe de aanval binnenkwam: via een gestolen wachtwoord, een verkeerd ingestelde externe toegang, een kwetsbare toepassing of menselijk handelen. Zonder oorzaak pak je vooral de gevolgen aan.
Leg verbeteracties vast met een eigenaar en deadline. Denk aan beter toegangsbeheer, beveiligingsupdates, gescheiden beheerdersaccounts, aanvullende monitoring, training voor medewerkers en een back-upstrategie die je aantoonbaar kunt herstellen. Bewaar back-ups gescheiden van je dagelijkse omgeving en test regelmatig of herstel echt lukt.
Een herstelplan moet je ook oefenen. Dat hoeft niet altijd met een uitgebreide crisisoefening. Bespreek bijvoorbeeld elk kwartaal een scenario: wat doen we als een medewerker zijn Microsoft 365-account kwijtraakt, de internetverbinding uitvalt of een server niet meer beschikbaar is? Zo ontdek je ontbrekende contactgegevens, onduidelijke verantwoordelijkheden en afhankelijkheden voordat er schade ontstaat.
Voor veel mkb-organisaties is externe begeleiding hierbij verstandig. Cloudformatie kan helpen om je werkplekken, netwerk, e-mail en back-ups beheersbaar in te richten, zodat je niet tijdens een incident hoeft uit te zoeken waar je digitale afhankelijkheden liggen.
Een goed herstelplan belooft niet dat er nooit iets misgaat. Het zorgt er wel voor dat je na een aanval kalm, aantoonbaar en met de juiste prioriteiten handelt. Plan daarom een uur in met de mensen die je nodig hebt, loop dit voorbeeld langs en leg vandaag de eerste afspraken vast.