Als de website is gehackt, gaat alle aandacht naar herstel. Begrijpelijk, want de site moet draaien. Maar de communicatie na een datalek bepaalt vaak meer van de schade dan het incident zelf. Klanten vergeven een inbraak; ze vergeven veel minder dat ze het van iemand anders moesten horen.

Deze checklist is bedoeld voor de ondernemer die op woensdagochtend te horen krijgt dat er iets mis is en die binnen een paar uur moet besluiten wat hij naar buiten brengt. Geen persvoorlichting, wel een werkbare volgorde. Vooraf één waarschuwing: wij zijn geen juristen. Voor de vraag of u wettelijk moet melden, en aan wie, hoort u iemand te raadplegen die dat wel is.

Eerst vaststellen wat u weet

De grootste fout in de eerste uren is te snel iets beweren. Beantwoord daarom eerst deze vragen, en schrijf de antwoorden op met de datum erbij.

  • Wat is er precies gebeurd, in één zin zonder jargon?
  • Welke gegevens stonden er op het systeem dat is geraakt?
  • Is er aanwijsbaar bij die gegevens gekomen, of is dat alleen mogelijk geweest?
  • Om hoeveel personen gaat het, ruwweg?
  • Vanaf welk moment tot welk moment liep het?
  • Is het nu gestopt, en waaruit blijkt dat?
  • Wat moet de klant zelf doen, als er iets is?

Kunt u vraag drie niet beantwoorden, dan is dat uw antwoord: u weet het niet en u zegt dat ook zo. “Wij hebben geen aanwijzingen dat gegevens zijn ingezien, maar wij kunnen het niet uitsluiten” is een eerlijke zin die u later niet hoeft terug te nemen.

Wanneer u wat naar buiten brengt

Werk met drie momenten in plaats van te wachten tot u alles weet.

  1. Binnen enkele uren: het signaal. Kort bericht dat er een probleem is, dat u eraan werkt en wanneer u opnieuw bericht geeft. Dit hoeft geen detail te bevatten en voorkomt dat mensen zelf gaan invullen.
  2. Binnen een tot twee dagen: het feitelijke bericht. Wat er is gebeurd, wat het voor de ontvanger betekent en wat hij moet doen. Dit is het bericht dat mensen bewaren.
  3. Na afronding: de terugkoppeling. Wat de oorzaak bleek, wat u heeft veranderd. Kort, maar het is het deel dat vertrouwen terugbouwt.

Speelt er een wettelijke meldplicht, dan gelden daar eigen termijnen voor, en die staan los van uw communicatie richting klanten. Wat daarbij komt kijken leest u bij het melden van een datalek bij de toezichthouder.

Wat er in het bericht hoort

Een bruikbare opbouw in zes onderdelen, in deze volgorde:

  1. Wat er is gebeurd. Eén of twee zinnen, feitelijk, zonder verzachtende bijwoorden.
  2. Wanneer het speelde en wanneer u het ontdekte. Ook als die twee ver uit elkaar liggen. Vooral dan.
  3. Welke gegevens het betreft. Wees specifiek: naam en e-mailadres is iets anders dan bankgegevens.
  4. Wat u heeft gedaan. Concreet en in gewone taal, bijvoorbeeld dat wachtwoorden opnieuw zijn ingesteld en dat de betreffende software is vervangen.
  5. Wat de ontvanger moet doen. Eén handeling, niet vijf. Meestal: wachtwoord wijzigen, ook elders als het hetzelfde was.
  6. Waar men terechtkan met vragen. Een adres of nummer dat ook echt wordt bemand.

Zet het uitgebreide verhaal op een pagina op uw eigen site en verwijs daarnaar in de mail. Dat scheelt lange berichten en geeft u een plek om de tekst bij te werken als er nieuwe feiten zijn.

Waarmee u het erger maakt

De valkuilen die wij het vaakst zien terugkomen, en die allemaal vermijdbaar zijn.

  • Te vroeg geruststellen. “Er zijn geen gegevens buitgemaakt” op dag één, en op dag vier blijkt het tegendeel. Dit is de duurste zin uit het hele traject.
  • Wollig taalgebruik. “Een ongeautoriseerde toegang tot een deel van onze omgeving” leest als verhulling. Schrijf dat er is ingebroken.
  • De schuld bij een leverancier leggen. Ook als het klopt, is het uw website en uw klantrelatie. Verwijzen naar een derde partij komt over als afschuiven.
  • Alleen melden waar niemand kijkt. Een bericht op een nieuwspagina is geen actieve informatie. Zit er persoonlijke impact aan, dan mailt u.
  • Zwijgen omdat het misschien wel overwaait. Bij een zichtbare besmetting, bijvoorbeeld spam in zoekresultaten, hebben mensen het allang gezien.
  • Meer beloven dan u waarmaakt. Zegt u dat u binnen 24 uur terugkomt, doe dat dan ook, ook als er niets nieuws is.

Intern regelen, en wel vooraf

Vier afspraken die u nu vastlegt en die in het moment zelf een halve dag schelen. Wie besluit dat er een bericht uitgaat. Wie de tekst schrijft. Wie de telefoon aanneemt als er wordt gebeld. En wie er beslist wanneer een externe partij wordt ingeschakeld.

Zet daar ook bij welke gegevens u eigenlijk in huis heeft, want dat is de vraag waar u anders het langst op zit te puzzelen. Een simpel overzicht van uw formulieren, uw klantaccounts en uw nieuwsbriefbestand is de basis. Hoe u dat samen met de rest op één blad zet, staat in het opzetten van een incidentplan van één pagina.

Instrueer ook de mensen aan de telefoon. Niets ondermijnt een zorgvuldig bericht zo snel als een medewerker die zegt dat het wel meevalt.

Vertrouwen terugverdienen

Uit de gevallen die wij van dichtbij meemaken, komt steeds hetzelfde beeld: klanten haken niet af door het incident maar door het gevoel dat er iets werd verzwegen. Een ondernemer die binnen een dag een eerlijk bericht stuurt, houdt vrijwel iedereen. Een ondernemer die drie weken zwijgt en pas reageert als er wordt gebeld, verliest mensen die anders waren gebleven.

Doe daarom nog één ding na afloop: laat over een paar weken zien wat er is veranderd. Niet als marketing, maar als feit. Dat er nu tweestapsverificatie op alle accounts zit, of dat er een externe partij meekijkt op updates. Dat is het moment waarop een incident van een risico in een aantoonbare verbetering verandert.

Bij WebMaintor hoort die nazorg bij een hersteltraject, omdat het dichtzetten na een inbraak pas af is als u aan uw klanten kunt uitleggen wat er anders is. Techniek zonder uitleg overtuigt niemand.

Concrete volgende stap: schrijf vandaag in tien minuten op wie er in uw bedrijf besluit dat er een bericht uitgaat, en op welk adres klanten dan terechtkunnen. Die twee regels zijn het begin van uw incidentplan.