Privacy en besluitdruk
Meldplicht en beslisdruk bij ransomware
Ransomware is niet alleen een technisch incident. Zodra persoonsgegevens geraakt, ontoegankelijk of mogelijk buitgemaakt zijn, moet de meldplicht serieus mee in de incidentrespons.
Die afweging wil je niet voor het eerst doen terwijl bestuur, klanten en leveranciers tegelijk op antwoord wachten.
- Voor privacy, legal en crisisteams
- Richt zich op AP-afwegingen en timing
- Geen juridisch eindadvies, wel duidelijke route
Waarom ransomware vaak ook een datalekvraag wordt
De AP benadrukt dat ransomware niet alleen gaat over ontoegankelijke systemen. Zodra persoonsgegevens geraakt kunnen zijn, of wanneer exfiltratie niet uit te sluiten is, moet een organisatie serieus beoordelen of er sprake is van een meldplichtig datalek. Dat maakt de privacylaag direct onderdeel van incidentrespons in plaats van een latere administratieve stap.
Voor veel teams is precies daar de grootste spanning: je hebt nog niet alle feiten, maar je kunt ook niet wachten met nadenken over meldplicht en communicatie.
Oefen op onzekerheid, niet alleen op de wetstekst
De juridische regels zijn belangrijk, maar tijdens een incident ontstaat druk vooral door onvolledige informatie. Weet je zeker of gegevens zijn buitgemaakt? Zijn ze alleen versleuteld, of ook gekopieerd? Zijn betrokkenen al geraakt? En wie mag besluiten over een melding aan de AP of aan getroffen personen? Als die vragen pas op het moment zelf boven tafel komen, wordt de afweging snel stroperig.
Daarom moet een goede ransomware-simulatie ook privacy- en legalrollen meenemen. Niet om juridisch theater op te voeren, maar om sneller te leren welke informatie en beslispaden echt nodig zijn.
Wat je vooraf wilt vastleggen
Leg vast wie de meldplicht beoordeelt, wie feiten verzamelt, welke termijn- en escalatiedruk er bestaat en hoe privacy, communicatie en bestuur samen besluiten nemen. Gebruik daarvoor officiële AP-hulpen zoals het stappenplan bij een datalek en de pagina’s over wel of niet melden. Daarmee maak je de route concreter zonder te doen alsof elk incident hetzelfde is.
Zo blijft meldplicht een bestuurbare afweging binnen het incident, in plaats van een losse crisis bovenop de crisis.
- Lees crisiscommunicatie voor interne en externe woordvoering onder onzekerheid
- Open tabletop-oefening om AP- en bestuursdruk in scenario’s mee te nemen
- Bekijk de FAQ voor de korte route rond back-up, meldplicht en oefendoel