Wanneer u nadenkt over de kosten van een gegevensschending, denkt u waarschijnlijk aan boetes van toezichthoudende instanties. Maar realistisch gezien zijn boetes slechts een deel van de veel bredere financiële impact. Een schending kan leiden tot juridische en forensische kosten, bedrijfsactiviteiten verstoren, teams vertragen, het vertrouwen van klanten beschadigen en maanden aan herstelwerkzaamheden met zich meebrengen.

Die kosten zijn zelden beperkt tot één factuur of één opvallend getal. Ze komen tot uiting in rekeningen voor forensisch onderzoek, juridisch advies, werkzaamheden voor meldingen aan klanten, systeemherstel, bedrijfsverstoring, verloren productiviteit en de tijd die directieteams besteden aan het beheersen van het incident in plaats van aan het runnen van het bedrijf.

We gaan onderzoeken wat een gegevensschending werkelijk kost, waarbij we specifiek kijken naar het VK, waar gegevensschendingen aanzienlijk toenemen(nieuw venster). We leggen uit waar die kosten meestal terechtkomen en waarom preventie doorgaans veel makkelijker te beheersen is dan de reactie erop.

Wat een gegevensschending kost in het VK

Gegevens van de Britse overheid bieden ons nuttige inzichten, maar ze moeten zorgvuldig worden gekaderd. In het rapport Cyber Security Breaches Survey 2025(nieuw venster) schatten bedrijven de gemiddelde kosten van hun meest ontwrichtende schending of aanval in de afgelopen 12 maanden op in totaal £1.600, oplopend tot £3.550 wanneer organisaties die £0 aan kosten rapporteerden, worden uitgesloten.

Dezelfde enquête merkt op dat dit zelfgerapporteerde schattingen zijn die de volledige financiële impact mogelijk onderschatten. De kosten van een schending worden vaak onderschat wanneer bedrijven zich alleen op het directe incident richten, omdat de werkelijke financiële impact zich uitstrekt tot verstoring, herstelwerkzaamheden, verloren tijd en commerciële gevolgen op de langere termijn.

Voor Britse bedrijven, met name het mkb, wordt niet elke schending een crisis op multinationale schaal. Maar zelfs een minder dramatisch incident kan voor reële financiële en operationele spanningen zorgen. De Data Breach Observatory van Proton en de bijbehorende analyse uit 2026, What Proton’s Data Breach Observatory reveals in 2026, bevestigen hoe hardnekkig en wijdverspreid het risico is. Er wurden 512 schendingen gerapporteerd, waarbij sinds het begin van 2025 meer dan 902 miljoen records zijn blootgesteld, en het mkb was goed voor 63% van die gevolgde schendingen.

De directe financiële kosten van een gegevensschending zijn pas het begin

De meest zichtbare kosten van een schending zijn de kosten die een bedrijf kan factureren. Als er bijvoorbeeld klant- of werknemersgegevens zijn blootgesteld, moet de organisatie mogelijk diensten van derden inschakelen. Dit kan gaan om juridisch advies, forensisch onderzoek, ondersteuning bij incidentrespons, indamming, systeemherstel en communicatie met klanten.

Als de schending meldingsplichtig is, zijn er ook de uitgebreide vereisten om het regelgevingsproces zelf te volgen, inclusief beoordeling, documentatie en rapportage. De ICO stelt dat organisaties haar binnen 72 uur na het ontdekken van een inbreuk op de beveiliging van persoonsgegevens op de hoogte moeten stellen, als dit waarschijnlijk leidt tot een risico voor de rechten en vrijheden van personen.

Deze directe kosten lopen vaak op doordat verschillende werkstromen tegelijkertijd plaatsvinden. Een bedrijf moet mogelijk onderzoeken wat er is gebeurd, bewijsmateriaal veiligstellen, verzekeraars inschakelen, getroffen gebruikers ondersteunen, systemen patchen, inloggegevens resetten, toegangscontroles herzien en ondertussen de normale bedrijfsactiviteiten draaiende houden. Dat is een van de redenen waarom schendingen zelden als een enkele factuur worden ervaren. Ze komen binnen als een waterval van dringend en overlappend werk.

Blootstelling aan regelgeving can extra kosten met zich meebrengen. Onder de regels van de Britse GDPR en de Data Protection Act 2018 kan de hoogste categorie van administratieve boetes oplopen tot £17,5 miljoen of 4% van de totale wereldwijde jaaromzet (afhankelijk van wat hoger is), afhankelijk van de inbreuk. De handhavingspagina(nieuw venster) van de ICO merkt ook op dat er nog steeds boetes worden opgelegd voor tekortkomingen op het gebied van beveiliging en gegevensbescherming, dus het gesprek over de kosten mag handhaving niet als theoretisch beschouwen.

Dat betekent niet dat elke schending tot een boete leidt, of dat elke boete in de buurt komt van het wettelijke maximum. Het betekent wel dat de directe financiële kosten van een schending in het VK snel verder kunnen gaan dan herstelwerkzaamheden en kunnen leiden tot regelgevingsrisico’s, juridische ondersteuning en extern toezicht.

De grootste kosten zijn vaak indirect

Directe kosten van een schending zijn eenvoudiger te kwantificeren omdat ze meetbaar zijn. Het aspect dat moeilijker in te schatten is, is de indirecte impact, die vaak groter en hardnekkiger is.

  • Bedrijfsuitval: Een schending kan de verkoop, serviceverlening, financiële activiteiten, klantenondersteuning, loonadministratie of toegang van medewerkers tot kernsystemen verstoren. Zelfs als het incident zelf relatief snel wordt ingedamd, kan de herstelperiode voortslepen terwijl teams systemen opnieuw opbouwen, de integriteit van gegevens controleren, inloggegevens updaten, de toegang herstellen en een achterstand wegwerken.
  • Klantverloop: Niet elke klant vertrekt direct na een schending, maar sommigen wel, en de schade kan zich tot ver buiten directe opzeggingen uitstrekken. Bedrijven die sterk afhankelijk zijn van het vertrouwen van klanten kunnen de impact merken bij verlengingen, commerciële gesprekken of het vertrouwen van partners. Wanneer teams zich alleen richten op de melding en het herstel, onderschatten ze de financiële impact van een schending.
  • Stijgende verzekeringskosten: Een ernstig incident kan invloed hebben op toekomstige cyberverzekeringspremies, dekkingsvoorwaarden of het toezicht van de verzekeraar op beveiligingsmaatregelen. Zelfs als er dekking beschikbaar blijft, kan de organisatie na de gebeurtenis te maken krijgen met een veeleisender verlengingsproces en extra beveiligingseisen. Dit maakt deel uit van de langetermijngevolgen van de kosten van een schending die veel bedrijven pas beseffen als de directe crisis voorbij is.

Waarom het mkb de impact vaak harder voelt

Men neemt al snel aan dat grotere bedrijven altijd meer lijden omdat ze meer te verliezen hebben. In financiële zin is dat vaak waar. Maar kleinere organisaties kunnen onevenredig hard worden getroffen omdat dezelfde kostencategorieën neerkomen op een veel dunnere operationele basis.

Bedrijven met grotere operationele en financiële middelen zijn mogelijk beter in staat om juridische uitgaven, externe technische ondersteuning, downtime en langdurige verstoring op te vangen. Een klein bedrijf beschikt mogelijk niet over intern beveiligingspersoneel, ondersteuning voor crisiscommunicatie of extra operationele capaciteit. Als een klein team zelfs voor een korte periode de toegang tot e-mail, CRM-software, financiële systemen, bestandsopslag of klantgegevens verliest, kan de schade de omzet en de continuïteit van de dienstverlening direct raken.

Daarom hebben gemiddelde cijfers over de kosten van een schending context nodig. Een relatief bescheiden hoofdcijfer kan nog steeds ernstige verstoringen voor een klein bedrijf maskeren, vooral wanneer de werkelijke lasten neerkomen op verloren tijd, onderbroken activiteiten, noodhulpwerkzaamheden en interne capaciteit. Het rapport Cyber Security Breaches Survey 2025 van de Britse overheid merkt expliciet op dat de zelfgerapporteerde schattingen van de kosten van een schending de werkelijke economische impact kunnen onderwaarderen.

Het Data Breach Observatory van Proton versterkt dat punt. Het stelde vast dat het mkb het vaakst slachtoffer was van de schendingen die sinds januari 2025 zijn geregistreerd, goed voor 63% van de incidenten. Bij schendingen waarbij meer dan 100.000 gegevens openbaar werden gemaakt, maakten mkb-bedrijven volgens Proton nog steeds 60% van de incidenten uit, waarbij kleine bedrijven — hier gedefinieerd als organisaties met 1 tot 49 werknemers — 42% vertegenwoordigden.

Kleine bedrijven stellen preventieve investeringen vaak uit omdat ze ervan uitgaan dat aanvallers meer geïnteresseerd zijn in grotere organisaties. Wanneer een bedrijf zichzelf niet als een waarschijnlijk doelwit ziet, kunnen centraal beheer van inloggegevens, het monitoren van schendingen, toegangsbeheer en sterkere verificatie aanvoelen als kosten die moeilijk te rechtvaardigen zijn. Het probleem is dat wanneer er eenmaal een schending plaatsvindt, het ontbreken van deze maatregelen het incident ontregelder en duurder kan maken om in te dammen.

Het risico is niet theoretisch. Uit het SMB Threat Landscape-onderzoek van VikingCloud uit 2025 bleek dat bijna een op de vijf mkb-bedrijven aangaf dat een succesvolle cyberaanval hen zou dwingen te sluiten, terwijl Mastercard rapporteerde dat bijna een op de vijf bedrijven die al een aanval hadden ondergaan, later faillissement aanvroegen of sloten. Die cijfers verklaren waarom de impact van een schending voor kleinere bedrijven vaak minder wordt afgemeten aan de gemiddelde hoofdzakelijke cijfers en meer aan de mate van verstoring die het bedrijf realistisch gezien kan overleven.

Wat de Britse wet- en regelgeving toevoegt aan de kosten

De Britse regelgevingscontext bepaalt niet alle kosten van een schending, maar kan deze wel aanzienlijk vergroten.

Melding

Als een schending van persoonsgegevens waarschijnlijk leidt tot een risico voor de rechten en vrijheden van individuen, moet de ICO binnen 72 uur na ontdekking op de hoogte worden gesteld. Als het risico hoog is, moeten de betrokken personen mogelijk ook zonder onnodige vertraging worden geïnformeerd. Dat brengt al kosten met zich mee voordat er sprake is van handhaving, omdat de organisatie het incident moet beoordelen, moet begrijpen welke gegevens zijn getroffen, de feiten moet documenteren en communicatie moet voorbereiden die bestand is tegen het toezicht van regelgevende instanties en klanten.

Handhavingsrisico

Voor bedrijven die grote hoeveelheden persoonsgegevens verwerken of sterk afhankelijk zijn van het vertrouwen van klanten, stopt het financiële risico niet bij technisch herstel. Het breidt zich uit naar de gevolgen van het feit dat men wordt gezien als falend in het beschermen van persoonlijke informatie.

Kosten van regelgevingsprocessen

Zodra de ICO erbij betrokken raakt, kunnen bedrijven juridische ondersteuning, tijd voor intern onderzoek, rapportage aan het bestuur, planning van externe communicatie en bewijs van herstel nodig hebben. Zelfs als een schending niet tot een grote boete leidt, kost het proces nog steeds aanzienlijk veel tijd en geld.

Preventiekosten zijn meestal eenvoudiger te beheersen dan de kosten van een schending

De businesscase voor preventieve beveiliging is eenvoudig: preventie is doorgaans beter beheersbaar dan de reactie op een schending.

Een bedrijf kan budgetteren voor een wachtwoordbeheerder voor bedrijven, beter toegangsbeheer, het afdwingen van tweestapsverificatie (2FA), het monitoren van schendingen, planning voor incidentrespons en training van gebruikers. Er kan lang niet zo nauwkeurig worden gebudgetteerd voor een werkelijke schending die de activiteiten verstoort, dwingt tot nooduitgaven en het vertrouwen schaadt. Het ROI-argument draait om het verkleinen van de kans dat een veelvoorkomende, te voorkomen zwakke plek verandert in een dure, verstorende gebeurtenis.

Daarom is de beveiliging van inloggegevens bijzonder belangrijk. Het lekken van e-mailadressen, gebruikersnamen en wachtwoorden bij incidenten is een aanzienlijke bedreiging voor bedrijven. Wanneer inloggegevens in gevaar worden gebracht, reikt de schade vaak verder dan de oorspronkelijke schending zelf. Zwakke, hergebruikte of slecht beheerde wachtwoorden kunnen aanvallers toegang geven tot andere accounts, systemen en diensten, waardoor de kans op verdere incidenten toeneemt. Daarom moet de discussie over de kosten binnen uw organisatie gericht zijn op preventie, en niet alleen op reactie.

Als een van de meest voorkomende aanvalsvectoren voor schendingen te maken heeft met in gevaar gebrachte inloggegevens of gegevens die misbruik van inloggegevens mogelijk maken, dan pakken investeringen die hergebruik van wachtwoorden voorkomen, de zichtbaarheid vergroten en de hygiëne van inloggegevens verbeteren een directe kostenpost aan in plaats van een theoretische.

Proton Pass for Business is een wachtwoordbeheerder voor bedrijven die is gebouwd rond precies dat soort praktische controle: teams helpen bij het veiliger aanmaken, opslaan en beheren van sterke, unieke inloggegevens binnen de hele organisatie.

Wees schendingen voor voordat ze uw bedrijf geld kosten

De kosten van een schending kunnen het beste als cumulatief worden beschouwd. Een deel daarvan wordt snel zichtbaar in juridisch advies, forensisch onderzoek, meldingswerkzaamheden en systeemherstel. Maar een groot deel bouwt zich geleidelijker op door productiviteitsverlies, vertraagd werk, commerciële en reputatieschade en de langere inspanning die nodig is om het vertrouwen te herstellen. Vooral voor kleinere organisaties kan die bredere verstoring existentieel zijn in plaats van louter ongemakkelijk: uit het 2025 SMB Threat Landscape-onderzoek van VikingCloud bleek dat bijna een op de vijf mkb-bedrijven aangaf dat een succesvolle cyberaanval hen zou dwingen te sluiten.

Daarom kan de discussie over de kosten niet ophouden bij boetes of meldingsplichten. Het zou moeten leiden tot meer praktische vragen: welke risico’s kunnen worden verminderd voordat een incident plaatsvindt? En welke maatregelen zorgen ervoor dat de gevolgen gemakkelijker in te dammen zijn als er wel een plaatsvindt?

Preventie is doorgaans beter beheersbaar dan de reactie. De beveiliging van inloggegevens is de beste keuze voor uw organisatie als het gaat om het minimaliseren van de kosten. Als uw organisatie wordt getroffen door een datalek, zal dit leiden tot herhaalde blootstelling van e-mailadressen, gebruikersnamen en wachtwoorden bij verschillende incidenten. Zwakke of hergebruikte inloggegevens kunnen het voor aanvallers gemakkelijker maken om na de eerste compromittering toegang te krijgen tot extra accounts of diensten.

Een betere hygiëne van inloggegevens, beter toegangsbeheer en praktische beveiligingstools nemen niet elk risico weg, maar ze kunnen wel de kans verkleinen dat één gelekt of hergebruikt wachtwoord verandert in een groter en duurder incident. Begin met het monitoren van gelekte inloggegevens en verklein het aan inloggegevens gerelateerde risico op een schending in uw organisatie met onze beveiligde wachtwoordbeheerder voor bedrijven of neem contact op met ons verkoopteam voor meer informatie.