Wat kost een cyberincident een Belgische kmo?

Internationale rapporten smijten graag met miljoenen. Voor een kmo met acht mensen zegt dat niets. Kijk daarom naar Belgische schadedossiers. Verzekeraar Vanbreda registreerde bij Belgische bedrijven in 2024 meer dan 50 cyberincidenten, gemiddeld één per week, 64% meer dan in 2023.

De verdeling van de schade is het interessantste deel. Bij 75% van de dossiers bleef de kost onder 20.000 euro, bij 16% liep de schade op boven 100.000 euro en bij 4% boven 1 miljoen euro. Met andere woorden: de meeste incidenten zijn geen faillissement, maar wel een pijnlijke, ongeplande factuur ter waarde van een bestelwagen. En de staart is lang: ongeveer één op de vijfentwintig dossiers gaat over bedragen die een kleine zaak niet overleeft.

Dat het kan gebeuren, is geen theorie: 45,8% van de Vlaamse ondernemingen werd in 2024 slachtoffer van een cyberaanval.

De grootste denkfout is dat de rekening gelijk is aan het losgeld. In de praktijk is losgeld vaak het kleinste deel, en soms betaal je het niet eens. Wat wel altijd geld kost:

• Stilstand. Geen mail, geen bestelsysteem, geen planning, geen facturatie. Je personeel wordt betaald en er komt niets binnen.
• Herstelwerk. Iemand moet uitzoeken wat er gebeurde, systemen herbouwen en back-ups terugzetten. Dat gebeurt aan avondtarief, want het is dringend.
• Verloren omzet en klanten. Leveringen die niet doorgaan, opdrachten die naar de concurrent gaan.
• Nasleep. Klanten inlichten, eventueel een melding aan de Gegevensbeschermingsautoriteit, juridisch advies, en het vertrouwen dat je moet terugverdienen.

Internationaal onderzoek naar ransomware bevestigt die verhouding. In het rapport State of Ransomware 2026 steeg de gemiddelde herstelkost naar 1,7 miljoen dollar per incident, terwijl het gemiddelde losgeld daalde. Die absolute bedragen gaan over grotere organisaties dan een Belgische kmo, maar de verhouding geldt overal: herstellen kost meer dan betalen, en herstellen kun je niet overslaan.

Hier zit de goedkoopste winst. Uit hetzelfde ransomwareonderzoek blijkt dat de helft van de aanvallen begint met een kwaadaardige mail of phishing, en 23% met gestolen of misbruikte inloggegevens. Technische kwetsbaarheden zijn niet langer de hoofdoorzaak.

Bij Belgische schadedossiers is het beeld nog duidelijker: 9 op de 10 cyberschadegevallen zijn te wijten aan een menselijke fout, met phishing en hacking als meest voorkomende aanleidingen.

En het aanbod aan valse berichten is enorm: in de eerste maanden van 2026 werden in België ruim 40.000 phishingmeldingen per dag gedaan. Iemand van jouw team krijgt vandaag zo'n bericht. Misschien vandaag nog twee.

De praktische conclusie: het grootste deel van je risico zit niet in je firewall, maar in de gewoontes van vier of vijf mensen. Dat is slecht nieuws voor wie hoopte dat één aankoop het probleem oplost, en goed nieuws voor wie weinig budget heeft.

Vage bedragen motiveren niemand. Maak de rekening voor je eigen zaak, met drie getallen die je uit je hoofd kent: je gemiddelde dagomzet, je dagelijkse loonkost en het aantal dagen dat je zonder systemen zou zitten. Reken op meerdere dagen, niet op uren.

Dat cijfer sluit netjes aan bij de Belgische werkelijkheid, waar drie kwart van de dossiers onder 20.000 euro blijft. Zet dat bedrag naast wat preventie kost, en de discussie is meestal snel beslecht.

De vijf maatregelen met de beste verhouding tussen kost en effect, op volgorde:

1. Een afspraak over geld. Elke wijziging van een bankrekeningnummer of een dringende betaalvraag wordt telefonisch bevestigd op een nummer dat je zelf opzoekt. Kost nul euro, stopt de duurste fraudevorm.
2. Tweestapsverificatie op mail en boekhouding. Een extra code bij het inloggen maakt gestolen wachtwoorden vrijwel waardeloos. Zit standaard in Microsoft 365 en Google Workspace.
3. Een back-up die je één keer getest hebt. Een back-up waarvan je nooit een herstel probeerde, is een hoop. Test er één keer per jaar één bestand uit.
4. Correcte e-mailinstellingen op je domein. Beschermt tegelijk je bezorging en je naam. Meestal een halve dag werk bij je hoster.
5. Een half uur uitleg aan je team, twee keer per jaar. Concreet, met echte voorbeelden uit je eigen mailbox.

Ga je verder en laat je een echt cybersecurityadvies opmaken, dan legt de Vlaamse overheid bij. Sinds 1 februari 2026 is de adviespijler van de kmo-portefeuille voorbehouden voor cybersecurity, met 45% steun voor kleine en 35% voor middelgrote ondernemingen, binnen het jaarlijkse plafond. Wie in Vlaanderen onderneemt, betaalt dus ruwweg de helft van zulk advies. Daarnaast zijn de diensten van Safeonweb@work, het platform van het Centrum voor Cybersecurity België, volledig gratis.

Veiligheid en vertrouwen zijn twee kanten van dezelfde zaak: een domein dat niet misbruikt kan worden en een site zonder waarschuwingen beschermen je bedrijf en overtuigen je klanten. Wil je weten waar jouw zwakke plekken zitten? Doe de gratis marketing scan en krijg in enkele minuten een overzicht in mensentaal van je website, je domein en je online zichtbaarheid.