Wat kost een datalek?

Het IBM Cost of a Data Breach Report 2026, verschenen op 29 juli 2026, komt uit op een wereldwijd gemiddelde van 4,99 miljoen dollar per datalek, een stijging van 12 procent ten opzichte van het jaar ervoor. Het onderzoek is gebaseerd op 602 organisaties die tussen maart 2025 en februari 2026 met een datalek te maken kregen.

Dat bedrag is een totaalbedrag per incident, niet een boete. Het telt alles op wat een organisatie kwijt is aan het ontdekken, indammen, melden en herstellen van een lek, plus de omzet die daarna wegblijft. De verschillen tussen sectoren zijn groot: de zorg is met 6,64 miljoen dollar al dertien jaar op rij de duurste sector, gevolgd door financiële dienstverlening met 6,29 miljoen dollar.

Het gemiddelde wordt opgetrokken door grote organisaties met miljoenen records. Het typische Nederlandse datalek ziet er heel anders uit. De Autoriteit Persoonsgegevens kreeg in 2025 in totaal 39.407 datalekmeldingen binnen, tegen 37.839 in 2024. Bijna driekwart daarvan ging over verkeerd bezorgde brieven of e-mails, en ongeveer 5 procent had betrekking op cyberaanvallen.

Met andere woorden: de meeste datalekken zijn geen miljoenenramp maar een verkeerd geadresseerde mail, die je kost aan uitzoekwerk, communicatie en een melding. De uitschieters zitten in die 5 procent. De AP registreerde in 2025 136 ransomware-aanvallen, tegen 127 in 2024. Lees het gemiddelde dus als een indicatie van wat een ernstig incident kan kosten, niet als een prijskaartje voor elk lek.

IBM verdeelt de kosten in vier categorieën: detectie en escalatie, het informeren van betrokkenen, de respons na het incident, en gemiste omzet. Die laatste post is vaak de grootste en de minst zichtbare, omdat klanten die na een lek vertrekken nooit als factuur binnenkomen.

Wat in dit bedrag níet zit, is een boete van de toezichthouder. Die komt er eventueel bovenop en hangt af van de vraag of je passende maatregelen had getroffen en of je op tijd hebt gemeld. Hoe die afweging werkt lees je in de blog over de vraag of een bedrijf aansprakelijk is voor een datalek.

Doorlooptijd is de grootste kostendrijver. Organisaties deden er gemiddeld 247 dagen over om een datalek te ontdekken en in te dammen. Lekken die langer dan 200 dagen duurden kostten gemiddeld 5,65 miljoen dollar, tegen 4,32 miljoen dollar bij incidenten die sneller werden opgelost. Het verschil tussen die twee bedragen is bijna volledig een kwestie van hoe snel je doorhebt dat er iets mis is.

De tweede factor is de aanvalsmethode. Eén op de vier kwaadaardige datalekken was AI-gestuurd, een stijging van 56 procent, en die incidenten kostten gemiddeld ongeveer 6 miljoen dollar. Het gaat daarbij vooral om deepfake-imitatie en AI-gegenereerde malware. Phishing was voor het vierde jaar op rij de meest voorkomende toegangsweg.

Dat verklaart waarom de mens zo bepalend is voor de uiteindelijke rekening. Wie wil begrijpen hoe die aanvallen werken, leest verder in waarom de mens de zwakste schakel is in cybersecurity en in hoe je een spear phishing-aanval herkent.

De goedkoopste maatregel is snelheid. Een datalek dat je binnen dagen ontdekt en indamt kost een fractie van een lek dat maanden onopgemerkt blijft. Daarvoor heb je twee dingen nodig: mensen die een verdacht bericht of een vreemde inlogpoging herkennen en melden, en een incidentplan waarin staat wie wat doet zodra dat gebeurt. Een ernstig datalek moet je bovendien binnen 72 uur bij de Autoriteit Persoonsgegevens melden, en die klok begint te lopen zodra je ervan op de hoogte bent.

Eerlijk is eerlijk: geen enkele training maakt een organisatie lekvrij. Het effect zit in de marge, en die marge is hier veel geld waard. Medewerkers die weten wat ze zien en direct aan de bel trekken, korten precies af op de post die het duurst is. In de training Certified Security Awareness 1 en 2 (CSA 1 en 2) staat dat herkennen en melden centraal. Wie de onderliggende beveiligings-, compliance- en identiteitsprincipes wil begrijpen, komt uit bij Microsoft Security, Compliance, and Identity Fundamentals (SC-900).

Een datalek kost wat het kost door hoe lang het duurt en hoeveel mensen erdoor geraakt worden, niet door de omvang van je bedrijf. Een kleine organisatie met een verkeerd verstuurde ledenlijst zit ver van de miljoenen, maar draagt wel dezelfde meldplicht en dezelfde reputatierisico’s. Startel leidt al ruim 25 jaar IT’ers en niet-IT’ers op en ziet in de praktijk dat de meeste winst niet in extra techniek zit, maar in medewerkers die eerder aan de bel trekken.