Datalekken: 47 Belgische organisaties geraakt in 2026 (24-10)
Dark webonderzoek, bevestigd door het Centrum voor Cybersecurity Belgie, komt op minstens 47 Belgische organisaties met een datalek sinds januari 2026. Het aantal incidentmeldingen bij het CCB ligt nu al boven heel 2025. Hieronder de cijfers, wat ze betekenen voor een mkb-bedrijf in onze vier landen, en de lijst voor deze week.
Kort
Op 24 oktober 2026 bracht een Belga-bericht het resultaat naar buiten van dark webonderzoek door de krant L'Echo, naast dat van het bedrijf Fox&Fish Cyberdefense: minstens 47 ondernemingen en instellingen die in Belgie actief zijn, kregen sinds begin 2026 een datalek[1]. Het Centrum voor Cybersecurity Belgie (CCB) bevestigt die uitkomst; het kwam voor heel 2025 op 40 getroffen organisaties[1]. Gemeenten, ziekenhuizen, reisbureaus en private ondernemingen zitten tussen de slachtoffers: organisaties van mkb-formaat dus, niet alleen grote namen.
Twee tellingen, dezelfde versnelling
Deze week gaan er twee reeksen cijfers rond, en ze meten iets anders. De eerste is het onderzoek van L'Echo en Fox&Fish: 47 organisaties in 297 dagen, van 1 januari tot 24 oktober, oftewel elke 6,3 dagen een organisatie met een lek. De telling van het CCB over 2025 kwam op 40 organisaties in 365 dagen, dus een om de 9,1 dagen[1]. De tweede reeks komt van het CCB zelf, in de update van 15 oktober: 588 incidentmeldingen tussen 1 januari en 28 september 2026, terwijl heel 2025 op 556 bleef staan[2]. Per dag komen die 588 meldingen uit op 2,17 tegen 1,52 in 2025, een tempo dat 42% hoger ligt.
| Wat wordt geteld | 2025, heel het jaar | 2026, tot nu toe |
|---|---|---|
| Belgische organisaties met een datalek (onderzoek L'Echo en Fox&Fish, bevestigd door het CCB)[1] | 40 in 365 dagen, een om de 9,1 dagen | 47 in 297 dagen, een om de 6,3 dagen |
| Incidentmeldingen bij het CCB[2] | 556 in 365 dagen, 1,52 per dag | 588 op 28 september, 2,17 per dag |
De tempo's hierboven zijn rekenwerk van CyberNovaLabs.io op basis van beide bronnen; de totalen zelf zijn gepubliceerd. Blijft het tempo gelijk, dan eindigt het CCB dit jaar rond de 790 meldingen. Dat is onze prognose, geen aangekondigd cijfer.
Gekraakte systemen en leveranciers: de twee motoren
Het CCB publiceert deze cijfers in zijn kwartaalrapport over het derde kwartaal van 2026, met de titel Stormy Weather. Een gekraakt systeem is daarin het vaakst gemelde soort incident, met drie keer zoveel meldingen als in het tweede kwartaal[2]. Het centrum noemt twee versterkers: kwetsbaarheden in veelgebruikte software, en incidenten bij een leverancier die in een keer meerdere klanten blootstellen. Daarbij versnelt kunstmatige intelligentie het werk van aanvallers, van het vinden van lekken tot het schrijven van geloofwaardige frauduleuze berichten en het automatiseren van hele aanvalsstappen, terwijl diezelfde techniek ook de verdediging kan helpen[2].
Die tweede motor wordt in het mkb het meest onderschat: u kunt slachtoffer zijn zonder zelf aangevallen te zijn. We werkten dat uit in onze analyse van de stilstand bij Albert Heijn, bekeken vanuit een leverancier. En de ingang is vaak gewoner dan gedacht: bij Flink waren de inloggegevens van een oud-medewerker genoeg.
Wat dit concreet betekent voor een mkb-bedrijf
Gelekte gegevens zijn los van elkaar zelden spectaculair: namen, geboortedatums, rekeningnummers, telefoonnummers, adressen, soms familiefoto's. Ze worden voor een paar honderd euro doorverkocht op het dark web en gecombineerd met andere gegevens maken ze het mogelijk om iemand heel gericht te benaderen en zijn vertrouwen te winnen, meestal via phishing[1]. Voor een mkb-bedrijf is het gevolg operationeel: uw mensen krijgen berichten met echte gegevens over hen, over uw klanten of over uw facturen. De boodschap let op rare mails beschermt dan niemand meer, want het bericht is niet raar meer.
De klok van 72 uur
Zodra een inbreuk op persoonsgegevens is vastgesteld, verplicht artikel 33 van de AVG tot melding bij de toezichthoudende autoriteit zonder onnodige vertraging en, waar mogelijk, binnen 72 uur nadat u ervan kennis hebt genomen, tenzij het onwaarschijnlijk is dat de inbreuk een risico voor personen oplevert; artikel 34 voegt daar de melding aan de betrokkenen zelf aan toe wanneer het risico hoog is[3]. Die 72 uur beginnen niet als uw onderzoek klaar is, maar op het moment dat u het weet. Het interne register van inbreuken, dat ook in artikel 33 staat, is waarmee u aantoont dat u de termijn hebt gehaald[3].
De AVG is een verordening, dus het beginsel en de termijn zijn gelijk in Nederland, Belgie, Frankrijk en Luxemburg. Wat verschilt, is het loket.
| Land | Toezichthouder persoonsgegevens |
|---|---|
| Belgie | Gegevensbeschermingsautoriteit (GBA / APD) |
| Nederland | Autoriteit Persoonsgegevens (AP) |
| Frankrijk | CNIL |
| Luxemburg | CNPD |
Haal twee kanalen niet door elkaar. De AVG-melding gaat over persoonsgegevens. Organisaties die onder NIS2 vallen, hebben daarnaast een eigen incidentmelding onder die regelgeving, bij de bevoegde nationale autoriteit en met eigen termijnen. We zetten het toepassingsgebied per land uiteen op onze pagina NIS2 Belgie en in ons aanbod cyberbeveiliging. Valt u buiten NIS2, dan geldt de AVG nog altijd.
De prioriteiten die het CCB naar voren schuift
In dezelfde publicatie vraagt het CCB aan bestuurders om direct de mensen aan te wijzen die verantwoordelijk zijn voor acht maatregelen: meerfactorauthenticatie aanzetten, met voorrang op e-mail, beheerdersaccounts en toegang op afstand, en het liefst met phishingbestendige methoden; kwetsbaarheden repareren die vanaf internet bereikbaar zijn, te beginnen bij de kwetsbaarheden die actief worden misbruikt, en daarna controleren of de update echt is uitgerold; in kaart brengen wat vanaf internet bereikbaar is en die blootstelling terugbrengen tot het strikt noodzakelijke; detectie van incidenten en een capaciteit om onmiddellijk te reageren opzetten; essentiele back-ups beschermen en vaststellen dat gegevens zich werkelijk laten terugzetten; medewerkers leren verdachte berichten te herkennen en ongebruikelijke betaalverzoeken via een ander kanaal te verifieren; vooraf beslissen wie beslist, wie u belt en hoe het werk doorloopt; en tot slot nagaan of een cyberverzekering nuttig is, met de dekking en de uitsluitingen erbij, waarbij het CCB opmerkt dat die verzekering de beveiliging aanvult en niet vervangt[2].
Bij die lijst horen twee gratis hulpmiddelen: de zelfevaluatie van Safeonweb at Work om de eerste prioriteiten te bepalen[4], en het CyberFundamentals-raamwerk om de maatregelen te structureren[2].
- Zet meerfactorauthenticatie aan op e-mail en beheerdersaccounts, en controleer daarna of geen enkele toegang op afstand is overgeslagen.
- Maak een lijst van accounts van mensen die de afgelopen twaalf maanden zijn vertrokken, ook stagiairs en externen, en sluit ze.
- Zet op een enkel blad wie de toezichthouder meldt, met welke tekst, binnen welke termijn, en waar het register van inbreuken staat.
- Test het terugzetten van een back-up op een echte map, niet op een testbestand.
- Stel uw drie gevoeligste leveranciers een rechttoe rechtaan vraag: binnen hoeveel uur laat u ons weten dat uw systemen gekraakt zijn? Onze beveiligingsvragenlijst voor leveranciers is daarvoor de basis.
- Waarschuw uw teams dat phishing nu kloppende gegevens bevat, en spreek de regel af: elk betaalverzoek en elke wijziging van een bankrekening wordt telefonisch gecontroleerd, op een nummer dat u al kent.
Bij CyberNovaLabs.io
We werken met mkb-bedrijven in Nederland, Belgie, Frankrijk en Luxemburg, ook in Brussel, en we beginnen altijd met dezelfde vraag: als er morgen een datalek openbaar wordt, wie beslist dan, wie meldt, en binnen welke termijn? Past het antwoord niet op een blad, dan is dat het eerste werk. Laten we uw situatie in twintig minuten doornemen: u gaat weg met de drie maatregelen die uw blootstelling het meest verkleinen. Onze opdrachten gaan op aanvraag met een prijsopgave.
Bronnen
- Des centaines de milliers de Belges touches par des fuites de donnees - Belga / La Libre, 24/10/2026
- Figures show a steady rise in incidents: the CCB urges enterprises to act immediately - Centre pour la Cybersecurite Belgique (CCB), 15/10/2026
- Reglement (UE) 2016/679 (RGPD), articles 33 et 34 - EUR-Lex
- Safeonweb at Work - auto-evaluation gratuite (CCB)
Gekwalificeerde afspraken, zonder looptijd.
Criteria vooraf op papier, betalen per afspraak of per maand, stoppen met een simpele e-mail.
Lees ook
Cyberaanval FOD Financien: deadline verschoven (28-10-2026)
Vier dagen zonder MyMinfin, Tax-on-Web en Biztax, terwijl de uiterste datum bleef staan. Er zijn geen gegevens gestolen, dus de kosten zitten elders. Wat de cyberaanval op FOD Financien concreet betekent voor een mkb-bedrijf in Belgie, Nederland, Frankrijk en Luxemburg.
Lees het artikel →3 november 2026 · 9 min lezenAI-verordening 2026: wat het mkb moet weten
De AI-verordening geldt sinds 2 augustus 2026 en komt voor een mkb-bedrijf dat AI inkoopt neer op drie verplichtingen. De zware eisen uit bijlage III wachten tot 2 december 2027. Hier staan de data, de boeteplafonds die echt voor het mkb gelden, en wie handhaaft in Nederland, België, Frankrijk en Luxemburg.
Lees het artikel →27 oktober 2026 · 7 min lezenTelefoonscript B2B: een opzet die niet als script klinkt
Een opgelezen script hoort u binnen een seconde. Hier staat een opzet in zes blokken met per blok een vaste zin, de formuleringen die toezichthouders in vier landen eisen, en de formule die zegt hoeveel belpogingen een agenda vullen.
Lees het artikel →27 oktober 2026 · 8 min lezenNIS2 Belgie: vallen accountantskantoren eronder?
Boekhouding staat noch in bijlage I noch in bijlage II van de Belgische wet van 26 april 2024. Maar een fiduciaire die de IT van haar klanten beheert, kan een aanbieder van beheerde ICT-diensten worden, en elk kantoor voelt de druk van de toeleveringsketen van zijn klanten.
Lees het artikel →26 oktober 2026 · 8 min lezenNIS2 Nederland: valt uw maakindustrie onder de Cbw?
In Nederland heet NIS2 de Cyberbeveiligingswet, van kracht sinds 15 augustus 2026. Voor een productiebedrijf is de toets niet "wij maken iets": zes precieze categorieen uit bijlage II bepalen het, en daarna uw omvang. Dit artikel geeft het schema, de toezichthouder, het registratieloket en de meldtermijnen.
Lees het artikel →25 oktober 2026 · 8 min lezenNIS2 Frankrijk: vallen zorg en laboratoria eronder?
Zorg staat in bijlage I van NIS2, en toch is op 25 oktober 2026 in Frankrijk geen enkele NIS2-verplichting handhaafbaar. Intussen verplicht een Frans decreet vijf categorieën zorgaanbieders, medische laboratoria inbegrepen, incidenten onverwijld te melden. Welk decreet, en wat u doet.
Lees het artikel →