Gepubliceerd op 4 november 2025 · Laatst bijgewerkt op 29 oktober 2026
Een onderneming moet persoonsgegevens passend beveiligen, met technische maatregelen én duidelijke regels en training voor werknemers (art. 32 AVG). Gaat het toch mis, dan meldt u een datalek binnen 72 uur bij de Autoriteit Persoonsgegevens, tenzij het lek waarschijnlijk geen risico voor personen oplevert (art. 33 AVG).
Werknemers zijn vaak de ingang voor een aanval op de cyberveiligheid van een bedrijf. Eén klik op een nepbericht kan criminelen toegang geven tot het netwerk. Dit artikel legt uit welke risico’s er zijn, welke maatregelen de wet van u vraagt, en wat er arbeidsrechtelijk gebeurt als een werknemer een fout maakt.
Inhoudsopgave
Via welke aanvallen raken criminelen uw werknemers?
De meeste aanvallen draaien om misleiding, niet om techniek. Phishing, CEO-fraude en social engineering spelen in op tijdsdruk, vertrouwen en gewoontes. Een aanval kan leiden tot een datalek, stilstand en juridische gevolgen.
| Aanval | Hoe het werkt | Juridisch gevolg voor de onderneming |
|---|---|---|
| Phishing | Nepbericht dat lijkt op bekende mail; de werknemer geeft inloggegevens prijs of klikt op een link | Mogelijk datalek met meldplicht (art. 33 AVG) |
| CEO-fraude | Een crimineel doet zich voor als bestuurder en laat met spoed geld overmaken | Financiële schade; vraag naar verwijtbaarheid van de werknemer |
| Ransomware | Systemen en bestanden worden versleuteld; criminelen eisen losgeld | Stilstand en vaak ook een datalek als gegevens zijn gekopieerd |
| Social engineering | Telefoon of chat waarin iemand zich voordoet als collega of klant | Ongeoorloofde verstrekking van persoonsgegevens |
| Malware via bijlage of download | Software die gegevens steelt of toegang geeft tot het netwerk | Inbreuk op de beveiligingsplicht (art. 32 AVG) als maatregelen ontbraken |
Waarom juist werknemers?
Werknemers hebben inlogcodes, contact met leveranciers en soms de bevoegdheid om betalingen goed te keuren. Criminelen verzamelen namen en functies via sociale media en maken daarmee overtuigende nepberichten. Een bericht dat urgentie of angst oproept, leidt tot een snelle reactie zonder controle.
Thuiswerken vergroot de risico’s. Een thuisrouter met een standaardwachtwoord, openbare wifi en een laptop die ook door gezinsleden wordt gebruikt, zijn zwakke plekken. Privéapparaten missen vaak beveiligingssoftware en updates, en zakelijke en persoonlijke gegevens lopen door elkaar.
Wat gaat er mis bij wachtwoorden?
Hergebruik is het grootste probleem. Lekt één wachtwoord bij een externe dienst, dan proberen criminelen het ook op uw bedrijfssystemen. Zwakke wachtwoorden, wachtwoorden op een briefje en het ontbreken van tweestapsverificatie maken het hen makkelijk.
Welke beveiliging vraagt de AVG van u?
Artikel 32 AVG verplicht u tot “passende technische en organisatorische maatregelen”. Wat passend is, hangt af van de stand van de techniek, de kosten en het risico voor de mensen van wie u gegevens verwerkt. De wet noemt geen vaste lijst. De Nederlandse uitvoering staat in de Uitvoeringswet AVG.
Een beveiligingsincident is niet automatisch een overtreding. Wel moet u kunnen laten zien welke maatregelen u had genomen en waarom die passend waren. Leg die afweging daarom schriftelijk vast.
Technische maatregelen
- Firewall en antivirussoftware op alle werkapparaten, met automatische updates en centraal beheer.
- Tweestapsverificatie voor e-mail en alle systemen met persoonsgegevens. Een app of fysieke sleutel is veiliger dan een sms-code.
- VPN voor werken buiten kantoor, zodat verkeer over thuis- of openbare netwerken versleuteld is.
- Updates van besturingssystemen en software zo snel mogelijk installeren; verouderde software bevat bekende lekken.
- Toegangsrechten per functie: niet iedereen hoeft bij alle systemen.
- Back-ups die los van het netwerk staan en die u regelmatig terugzet bij wijze van test.
Controleer ook de beveiliging van uw e-maildomein. De overheidsdienst internet.nl test gratis of uw domein moderne standaarden gebruikt die vervalste afzenders tegenhouden.
Organisatorische maatregelen
Techniek helpt niet als werknemers niet weten wat ze moeten doen. Leg de regels vast in een ICT- en privacyprotocol. Daarin staat in elk geval:
- welke apparaten werknemers voor hun werk mogen gebruiken en onder welke voorwaarden een privéapparaat is toegestaan;
- hoe zij omgaan met privacygevoelige gegevens: geen opslag op privé-apparaten, geen persoonsgegevens in een onderwerpregel, BCC bij groepsmail naar externen;
- dat een betaling op een afwijkend rekeningnummer of op een spoedverzoek per mail altijd telefonisch wordt gecontroleerd via een bekend nummer;
- waar en hoe snel een werknemer een verdacht bericht of mogelijk datalek meldt;
- welke gevolgen een overtreding van de regels kan hebben, zodat een waarschuwing of andere sanctie later onderbouwd is.
Heeft uw onderneming een ondernemingsraad, dan heeft die instemmingsrecht over een regeling voor de bescherming van persoonsgegevens van werknemers (art. 27 lid 1 sub k WOR) en over voorzieningen voor controle op aanwezigheid, gedrag of prestaties (sub l). Voert u een protocol in zonder die instemming, dan kan de ondernemingsraad de nietigheid daarvan inroepen (art. 27 lid 5 WOR).
Mag u werknemers monitoren om aanvallen te ontdekken?
Monitoring van netwerkverkeer kan, maar het raakt de privacy van werknemers. U heeft een gerechtvaardigd doel nodig, u kiest de minst ingrijpende methode en u informeert werknemers vooraf. Bij stelselmatige monitoring voert u eerst een gegevensbeschermingseffectbeoordeling (DPIA) uit (art. 35 AVG). Meer over de grenzen leest u in ons artikel over privacy op het werk.
Training die werkt
Geef nieuwe werknemers bij hun start een basistraining en herhaal die jaarlijks. Behandel het herkennen van phishing, het controleren van betaalverzoeken en het melden van incidenten. Een geoefende phishingmail laat zien wie extra uitleg nodig heeft. Werknemers die een fout melden, moeten daar niet voor worden gestraft; anders blijven meldingen uit en loopt de termijn van 72 uur weg.
Een incidentenplan met vaste rollen
| Rol | Taak bij een incident |
|---|---|
| ICT (intern of extern) | Systemen isoleren, sporen veiligstellen, herstel |
| Privacy officer of functionaris gegevensbescherming | Beoordelen of er een datalek is en of melding nodig is |
| Communicatie | Berichten aan betrokkenen, klanten en pers |
| Directie | Besluiten over melding, aangifte en inschakelen van externe hulp |
Oefen het plan minstens eens per jaar en houd contactgegevens actueel. Of uw organisatie een functionaris gegevensbescherming moet aanstellen, volgt uit art. 37 AVG.
Een datalek melden: termijnen en stappen
Bij een datalek lopen meerdere verplichtingen naast elkaar. De termijn van 72 uur begint zodra u van het lek op de hoogte bent, niet pas als het onderzoek klaar is. U kunt een melding later aanvullen. Meer daarover leest u in ons artikel over de meldplicht datalekken.
| Verplichting | Wanneer | Grondslag |
|---|---|---|
| Melden bij de Autoriteit Persoonsgegevens | Zonder onnodige vertraging, zo mogelijk binnen 72 uur na ontdekking; niet als het lek waarschijnlijk geen risico oplevert | Art. 33 lid 1 AVG |
| Een te late melding motiveren | Bij melding na 72 uur | Art. 33 lid 1 AVG |
| Elk datalek intern documenteren | Altijd, ook als u niet meldt | Art. 33 lid 5 AVG |
| Betrokkenen informeren | Zonder onnodige vertraging, als het lek waarschijnlijk een hoog risico oplevert | Art. 34 AVG |
| Verwerker informeert u | Zonder onnodige vertraging na ontdekking | Art. 33 lid 2 AVG |
De meldplicht geldt voor iedere verwerkingsverantwoordelijke, ook voor een klein bedrijf. Doe bij criminele activiteit daarnaast aangifte bij de politie.
Welke sancties en claims kunnen volgen?
Boetes van de Autoriteit Persoonsgegevens
De AP kan een waarschuwing, berisping, verwerkingsverbod of bestuurlijke boete opleggen (art. 58 AVG). Voor overtreding van de beveiligings- en meldplicht is de boete maximaal € 10 miljoen of 2% van de wereldwijde jaaromzet als dat hoger is (art. 83 lid 4 AVG). Voor zwaardere overtredingen, zoals verwerking zonder grondslag, is dat € 20 miljoen of 4% (art. 83 lid 5 AVG). De AVG kent geen celstraf. De AP weegt onder meer de ernst van de overtreding en de maatregelen die u had genomen.
Schadevergoeding aan betrokkenen
Iemand die schade lijdt door een inbreuk op de AVG, kan schadevergoeding eisen (art. 82 AVG). Dat kunnen klanten zijn, maar ook uw eigen werknemers. Een inbreuk alleen is niet genoeg. De Raad van State oordeelde op 5 juni 2024 dat er drie voorwaarden zijn: een schending van de AVG, schade en een causaal verband. De benadeelde moet de negatieve gevolgen met concrete gegevens onderbouwen. In die zaak waren dossiers met medische gegevens zoekgeraakt bij een postbedrijf; de gevraagde € 2.000 werd niet toegekend omdat de stress en angst onvoldoende waren onderbouwd (ECLI:NL:RVS:2024:2311).
Persoonlijke aansprakelijkheid van bestuurders
Een bestuurder is in beginsel niet zelf aansprakelijk voor de gevolgen van een cyberaanval. Dat kan anders zijn bij een ernstig verwijt, bijvoorbeeld als de bestuurder bewust geen enkele beveiliging liet treffen. Lees meer over wanneer een bestuurder persoonlijk aansprakelijk is. Controleer ook of een cyberverzekering de schade dekt en welke voorwaarden die stelt aan beveiliging.
Een werknemer trapt erin: wat kunt u arbeidsrechtelijk doen?
Een werknemer die schade veroorzaakt bij het uitvoeren van zijn werk, is daarvoor tegenover de werkgever alleen aansprakelijk bij opzet of bewuste roekeloosheid (art. 7:661 BW). Wie op een goed gemaakte phishingmail klikt, handelt meestal niet roekeloos. Het verhalen van de schade op de werknemer lukt dus zelden.
Ook een ontslag op staande voet houdt niet snel stand. De kantonrechter in Amsterdam oordeelde op 31 oktober 2018 over de financieel directeur van een bioscoopexploitant die door CEO-fraude ongeveer € 19 miljoen had laten overmaken. Er was geen dringende reden: hij had ongewild meegewerkt aan de fraude. Wel had hij verwijtbaar gehandeld, vooral bij twee grote vervolgbetalingen zonder plausibele verklaring. De kantonrechter ontbond de arbeidsovereenkomst daarom wegens verwijtbaar handelen, zonder billijke vergoeding (ECLI:NL:RBAMS:2018:7881).
Daaruit volgt een praktisch punt. Hoe duidelijker uw protocol de controlestappen voorschrijft, bijvoorbeeld bij betalingen, hoe beter u kunt laten zien dat een werknemer een bekende regel heeft overtreden. Een werknemer die een gewone fout maakt, krijgt eerder extra training dan een sanctie. Lees meer in onze artikelen over diefstal en fraude op het werk en de gevolgen van automatisering voor het arbeidsrecht.
Wat moet de werknemer zelf doen?
- Lees het ICT-protocol en vraag uitleg als een regel onduidelijk is.
- Meld een verdacht bericht of mogelijk datalek direct intern; de werkgever heeft zelf maar 72 uur om te melden.
- Gebruik een privéapparaat alleen voor werk als de werkgever dat toestaat.
- U heeft recht op inzage in de persoonsgegevens die uw werkgever over u verwerkt (art. 15 AVG), ook in logbestanden van monitoring.
Hoe wij ondernemingen helpen bij cyberrisico’s
Cyberveiligheid raakt het arbeidsrecht en het privacyrecht tegelijk. Wij doen onder meer het volgende:
- een ICT- en privacyprotocol opstellen dat aansluit bij de AVG en de arbeidsovereenkomsten;
- beoordelen of monitoring is toegestaan en of de ondernemingsraad moet instemmen (art. 27 WOR);
- na een incident beoordelen of een melding bij de AP en aan betrokkenen nodig is (art. 33 en 34 AVG);
- beoordelen of een werknemer aansprakelijk is (art. 7:661 BW) en welke arbeidsrechtelijke maatregel past.
In het kort
- Art. 32 AVG vraagt passende beveiliging; leg vast welke maatregelen u neemt en waarom.
- Een ICT-protocol over controle of persoonsgegevens van werknemers vraagt instemming van de ondernemingsraad (art. 27 WOR).
- Een betrokkene krijgt alleen schadevergoeding als hij concrete schade onderbouwt (Raad van State, 5 juni 2024).
- Een werknemer die in CEO-fraude trapt, is niet snel op staande voet te ontslaan en zelden aansprakelijk (art. 7:661 BW).
