Wat kost een cyberaanval écht voor Belgische bedrijven?

Cyberaanvallen worden nog te vaak gezien als een technisch IT-probleem. In werkelijkheid zijn ze een strategisch bedrijfsrisico met directe financiële impact. Voor Belgische bedrijven en zeker voor KMO’s en scale-ups kan één incident leiden tot weken stilstand en schade die oploopt tot honderdduizenden euro’s of meer.
 

Volgens het Centrum voor Cybersecurity België (CCB) blijven phishing en account compromise de meest voorkomende aanvalsvectoren in België, met een duidelijke stijging van incidenten jaar na jaar. Vooral middelgrote organisaties zijn vandaag een aantrekkelijk doelwit.

De kost van een cyberincident bestaat nooit uit één factuur. Het is een combinatie van directe schade, operationele stilstand en verborgen verliezen.

Typische impact voor Belgische bedrijven:

• 💥 Basisincident: €50.000 – €150.000
• 🧨 Ernstige ransomware-aanval: €250.000 – €1.500.000+
• ⏱️ Gemiddelde downtime: 2 tot 4 weken
• 📉 Reputatie- en klantenverlies: vaak langdurig en moeilijk voorspelbaar

Volgens cijfers van het CCB blijven phishing en accountovername de belangrijkste ingangspoorten voor aanvallers in Belgische organisaties.

Maar cijfers worden pas echt duidelijk wanneer we kijken naar een realistisch scenario.

Neem een typisch Belgisch bedrijf met:

• 250 medewerkers;
• B2B dienstverlening of productieomgeving;
• Microsoft 365 + ERP + hybride infrastructuur;
• kleine interne IT-afdeling (2–6 personen);
• MFA niet overal verplicht;
• backups aanwezig maar niet systematisch getest.

Dit profiel komt opvallend vaak voor bij organisaties die vandaag slachtoffer worden van cyberincidenten.

Een medewerker ontvangt een e-mail:

“Uw Microsoft 365 sessie verloopt vandaag. Log opnieuw in.”

De link leidt naar een nagemaakte loginpagina.

Gevolg:

• inloggegevens worden gestolen;
• aanvaller krijgt toegang tot mailbox;
• interne communicatie wordt misbruikt om vertrouwen op te bouwen.

Zonder multifactor-authenticatie kan een aanvaller vaak dagenlang onopgemerkt actief blijven.

De aanvaller:

• verkent het netwerk;
• krijgt toegang tot gedeelde drives;
• infiltreert ERP-systemen;
• kopieert klantgegevens en offertes;
• plant ransomware zonder onmiddellijke activatie.

Het doel is duidelijk: maximale impact op het juiste moment.

Op maandagochtend verschijnt plots:

“Your files have been encrypted. Pay €180.000 in Bitcoin.”

Gevolgen:

• ERP-systemen offline;
• file servers onbruikbaar;
• administratie vertraagt of stopt;
• productieplanning geraakt verstoord;
• interne communicatie valt gedeeltelijk uit.

Vanaf dit moment verandert een IT-incident in een bedrijfscrisis.

Tijdens de herstelperiode vallen vaak cruciale processen stil:

• orderverwerking;
• facturatie;
• klantendienst;
• productieplanning;
• interne samenwerking.
   

Resultaat:

• 40% tot 80% omzetverlies tijdens de crisisperiode;
• gemiste deadlines en contractuele risico’s;
• klanten die tijdelijk of permanent overstappen naar concurrenten.

Dit is doorgaans de grootste verborgen kost van een cyberincident.

Voor een organisatie van 100 tot 500 medewerkers ziet de schade er vaak als volgt uit:

IT-herstel en incident response

• forensics en onderzoek: €25.000 – €80.000
• herinstallatie systemen: €40.000 – €150.000
• externe cybersecurityspecialisten: €15.000 – €50.000

Operationele downtime (meest onderschatte kost)

• 2 tot 4 weken verstoring
• omzetverlies: €150.000 – €800.000

GDPR- en juridische impact

• meldplicht datalekken
• audits en juridische ondersteuning
• Typische kost: €10.000 – €75.000

Reputatieverlies en klantenverlies

Moeilijk exact te voorspellen, maar vaak: €50.000 – €500.000+

Wat organisaties het hardst raakt:

• stilgevallen omzet;
• verloren klanten;
• operationele chaos;
• reputatieschade;
• managementtijd die volledig naar crisisbeheer gaat.

Cybersecurity is daarom geen puur technisch thema meer.

Het is een bedrijfsrisico.
 

Conclusie: cybersecurity is een strategische bedrijfsbeslissing

Voor Belgische bedrijven is de vraag vandaag niet meer:

“Worden we aangevallen?”

Maar:

“Wat is de impact wanneer het gebeurt?”

Organisaties die hun risico vooraf in kaart brengen, beperken niet alleen schade ze beschermen ook hun continuïteit, klantenrelaties en reputatie.