De financiële impact van een cyberaanval stopt niet bij gestolen geld, losgeld of beschadigde systemen. Onderzoek van cyberincidenten en het opnieuw opbouwen van IT-omgevingen kan weken duren. Volgens cyberverzekeraar Stoïk nam bij ransomware-incidenten in 2025 het forensisch onderzoek gemiddeld 10,3 dagen in beslag, terwijl voor de heropbouw van systemen gemiddeld 18 dagen nodig was.
De cijfers komen uit het Cyber Claims Report 2025 van Stoïk, gebaseerd op schadegevallen bij meer dan 10.000 bedrijven in zeven Europese landen, waaronder België. Stef Vermeulen, Country Manager van Stoïk België, waarschuwt dat bedrijven de werkelijke kost van een cyberincident nog te vaak onderschatten omdat ze vooral naar de directe financiële schade kijken.
Dat cyberincidenten ook bij Belgische organisaties steeds nadrukkelijker op de agenda staan, blijkt uit cijfers van het Centrum voor Cybersecurity België (CCB). In 2025 registreerde het CCB 635 meldingen van incidenten, bijna 70 procent meer dan een jaar eerder.
Het gaat daarbij niet alleen om ransomware. Ook gehackte mailboxen, onbeschikbare IT-systemen en verkeerd verstuurde gevoelige informatie kunnen bedrijven voor aanzienlijke kosten plaatsen.
Herstel vraagt steeds meer werk
Vooral de tijd en expertise die nodig zijn nadat een incident is vastgesteld, worden volgens Stoïk vaak onderschat.
Bij de ransomware-incidenten die de cyberverzekeraar in 2025 behandelde, nam de werklast voor het opnieuw opbouwen van informatiesystemen met 23,4 procent toe. Securityspecialisten besteedden tegelijkertijd 49,5 procent meer tijd aan onderzoek.
Voordat systemen opnieuw online kunnen worden gebracht, moet immers worden onderzocht hoe aanvallers zijn binnengedrongen, welke systemen en gegevens werden geraakt en of een omgeving veilig opnieuw kan worden opgestart.
Ondertussen blijven de gewone bedrijfskosten doorlopen en kunnen medewerkers mogelijk niet werken, leveringen vertraging oplopen of productieprocessen stilvallen.
Stoïk schat de gemiddelde schade voor bedrijven met een jaaromzet van 25 miljoen euro op 58.000 tot 92.000 euro, afhankelijk van de sector. Opvallend: die bedragen gelden zelfs wanneer binnen het uur met incident response wordt gestart.
“Een snelle interventie kan de impact van een cyberincident beperken, maar neemt de financiële gevolgen niet weg”, benadrukt Vermeulen. Hoe langer bedrijfskritische processen verstoord blijven, hoe zwaarder volgens hem de uiteindelijke impact op de onderneming.
Meer dan een IT-probleem
Ook nadat de technische omgeving opnieuw operationeel is, kan de rekening verder oplopen.
Bij ransomware worden steeds vaker gegevens gestolen voordat systemen worden versleuteld. Aanvallers kunnen vervolgens dreigen die informatie openbaar te maken of rechtstreeks contact opnemen met klanten, leveranciers en medewerkers.
Daarmee verschuift een technisch securityincident snel naar reputatieschade, communicatie en juridische ondersteuning.
Wanneer persoonsgegevens betrokken zijn, moet bovendien worden nagegaan welke verplichtingen voortvloeien uit de GDPR. Voor organisaties die onder NIS2 vallen, kunnen daar bijkomende verplichtingen rond incidentbeheer en rapportering bovenop komen.
Nieuwe rol voor MSP’s en securitypartners
De cijfers illustreren ook hoe de rol van MSP’s, MSSP’s en andere securitypartners verandert. Cybersecurity stopt steeds minder bij het installeren van beveiligingsoplossingen en het detecteren van aanvallen.
Klanten moeten ook voorbereid zijn op wat er gebeurt wanneer preventie toch faalt. Incident response, forensisch onderzoek, backup en recovery, business continuity en ondersteuning rond regelgeving worden daardoor steeds meer onderdelen van dezelfde cyberweerbaarheidsstrategie.
Voor channelpartners creëert dat mogelijkheden om dienstverlening rond preventie te combineren met recovery en incident response. Regelmatig geteste backups en noodplannen spelen daarbij een belangrijke rol.
Ook Vermeulen wijst op het belang van voorbereiding. Bedrijven moeten volgens hem vooraf hun kritieke processen in kaart brengen, verantwoordelijkheden vastleggen en bepalen welke expertise intern en extern beschikbaar is. Op het moment dat een aanval plaatsvindt, kan zo sneller worden overgegaan tot het stoppen van de aanval en het herstellen van de belangrijkste processen.
Voor bedrijven kan die voorbereiding uiteindelijk het verschil maken tussen een securityincident dat relatief snel onder controle raakt en een aanval waarvan de operationele en financiële gevolgen nog weken blijven aanslepen.
