Albert Heijn kampt al dagen met de gevolgen van wat het bedrijf een cybersecurity-incident noemt, maar een politieonderzoek is er nog niet. Justitie heeft moederbedrijf Ahold uitgenodigd om aangifte te doen. De NOS vroeg experts en de politie waarom die aangifte ertoe doet. Hoe je als ondernemer je zaak draaiende houdt als je systemen plat liggen, schreven we eerder in ons stuk na het incident bij Albert Heijn. Dit stuk gaat over de stap die veel bedrijven overslaan, de aangifte zelf.
Waarom de eerste uren tellen
Stan Duijf, bij de politie verantwoordelijk voor de aanpak van cybercrime, vergelijkt een hack in de NOS met een liquidatie. Ook dan geldt het gouden uur, want hoe langer het duurt voordat de politie erbij is, hoe meer sporen verloren gaan. Volgens oud-politieman Pim Takkenberg volgt de politie het pad van de aanvaller terug. Een IP-adres van een indringer is daarbij te vergelijken met een kenteken. Je weet om welke auto het gaat, maar niet wie erin zat, en dat laatste kan de politie met haar bevoegdheden wel uitzoeken.
Waarom doen bedrijven dan zo vaak geen aangifte? De experts in het stuk noemen de angst dat een politieonderzoek het herstel vertraagt. Je bent bezig om alles weer aan de praat te krijgen, en de politie heeft een ander belang. Volgens Duijf is die angst niet terecht. De politie trekt niet zomaar stekkers eruit of legt alles stil.
Ik snap de aarzeling, maar voor een klein bedrijf werkt het nog sterker de andere kant op. Je verzekeraar vraagt bij een claim bijna altijd om een kopie van de aangifte. Wie geen aangifte heeft, maakt het zichzelf moeilijk op het moment dat hij elke euro nodig heeft.
Zo doe je aangifte als bedrijf
Het Nationaal Cyber Security Centrum zet op een rij wat de politie van je wil weten. Dat ziet er in de praktijk zo uit.
- Bewaar het bewijs zonder er iets aan te veranderen. Denk aan de losgeldbrief, nepmails, valse facturen, berichten en logbestanden. Laat je IT-partner niets wissen voordat er een kopie is.
- Kies hoe je aangifte doet. Een zelfstandig ondernemer kan online aangifte doen met DigiD, een organisatie met eHerkenning. Je kunt ook bellen met 0900-8844 voor een afspraak op het bureau.
- Maak je een afspraak, vraag dan om een digitaal rechercheur. Die helpt om de aangifte zo volledig mogelijk te maken.
- Verzamel vooraf alle gegevens. Het online formulier kun je niet tussentijds opslaan, dus zorg dat alles klaarligt voordat je begint.
- Zet de schade op papier. De politie vraagt welke beveiligingsmaatregelen je had en hoe hoog de schade is, inclusief de uren die het herstel kost en de kosten van externe hulp.
Dat de politie vraagt naar je beveiliging, is geen verwijt. Het helpt de recherche te begrijpen hoe de aanvaller binnenkwam en waar de sporen kunnen zitten.
Aangifte is iets anders dan melden
Hier gaat het vaak mis, want er zijn drie loketten met elk een eigen doel. Een aangifte doe je bij de politie, om de daders te laten opsporen. Een melding bij het NCSC is voor organisaties die onder de nieuwe Cyberbeveiligingswet vallen. Volgens de NOS geldt sinds augustus een strengere meldplicht voor grote cyberincidenten, maar de meeste kleine bedrijven vallen daar niet onder. Ahold deed die melding wel. “Dat is geen vervanging voor een aangifte”, zegt Duijf daarover.
Het derde loket is de Autoriteit Persoonsgegevens. Zijn er bij de hack persoonsgegevens van klanten of personeel buitgemaakt of mogelijk ingezien, dan moet je dat datalek in de meeste gevallen binnen 72 uur melden. Dat geldt ook voor een klein bedrijf. Gaat het om phishing of fraude met je bankrekening, bel dan meteen je bank en meld het bij de Fraudehelpdesk. Wat de nieuwe uitspraak van het Europees Hof over fraude betekent voor je zakelijke rekening, lees je in ons stuk over terugbetaling na fraude.
Regel het voordat het gebeurt
Het beste moment om over een aangifte na te denken, is nu. In de eerste uren van een hack heb je geen tijd om uit te zoeken welke eHerkenning je hebt of wie het contactnummer van je IT-partner heeft. Leg op een vel papier vast wie er beslist over het offline halen van systemen, wie de aangifte doet en waar de logbestanden worden bewaard. Spreek ook met je IT-partner af dat hij bewijs veiligstelt voordat hij gaat herstellen.
En neem het besluit om aangifte te doen alvast nu. Dan hoeft het geen discussie meer te zijn op het moment dat de klok loopt. De politie start niet vanzelf een onderzoek. Zoals de zaak bij Albert Heijn laat zien, kan het OM dat wel zelf doen, maar voor een kleine ondernemer is dat geen strategie. Wie wil dat er gezocht wordt, moet het melden. Wil je je weerbaarheid vooraf versterken, kijk dan ook naar de subsidie voor cyberweerbaarheid.