Financiële schade per cyberaanval in Nederland

Een cyberaanval kost Nederlandse organisaties lang niet altijd miljoenen. De meeste incidenten blijven qua schade relatief beperkt, maar een kleiner deel loopt op tot tonnen of zelfs miljoenen euro’s. Juist die uitschieters trekken het gemiddelde flink omhoog.

Belangrijkste conclusies in het kort

Voor Nederlandse bedrijven met meetbare schade ligt de mediaan volgens beschikbare bronnen rond de € 17.017.
Een gemiddeld beveiligingsincident bij Nederlandse mkb-bedrijven wordt in onderzoek geraamd op ongeveer € 270.000.
De verdeling is scheef. Veel incidenten kosten relatief weinig, maar een kleiner deel veroorzaakt tonnen of miljoenen schade.
Bij datalekken liggen de kosten vaak hoger dan bij veel andere aanvalsvormen. Voor de Benelux rapporteerde IBM in 2026 een gemiddeld bedrag van € 6,35 miljoen per datalek.
Ransomware blijft een van de zwaarste aanvalsvormen, vooral door herstelkosten, downtime en keteneffecten.
Openbare cijfers geven maar een deel van de werkelijkheid weer. Vooral bij kleinere bedrijven is onderrapportage nog steeds een groot probleem.

Wat is het gemiddelde schadebedrag per cyberaanval?

Wie zoekt naar een duidelijk antwoord op de vraag wat een cyberaanval in Nederland kost, loopt direct tegen een probleem aan. Er bestaat geen openbaar Nederlands register waarin per incident precies staat hoeveel euro schade is geleden. Daardoor moet je verschillende typen bronnen naast elkaar leggen. Denk aan cijfers van het CBS, meldingen van de Autoriteit Persoonsgegevens, rapporten van het NCSC, verzekeraars, incidentonderzoeken en internationale benchmarks. Juist door die bronnen te combineren ontstaat wel een bruikbaar beeld. Dat beeld laat zien dat het gemiddelde bedrag vaak hoger ligt dan wat veel organisaties in de praktijk meemaken. Dat komt doordat een kleiner deel van de aanvallen extreem duur uitpakt. Denk aan ransomware bij overheden, grote datalekken of aanvallen op leveranciers die duizenden klanten raken. De meest bruikbare Nederlandse ankers zijn op dit moment deze twee cijfers:

€ 17.017 mediaan schade bij cyberincidenten in Nederland volgens Hiscox over 2022.
€ 270.000 gemiddelde schade per beveiligingsincident bij Nederlandse mkb-bedrijven volgens ESET.

Dat verschil tussen mediaan en gemiddelde zegt veel. De mediaan laat zien wat meer in het midden van de verdeling ligt. Het gemiddelde wordt juist sterk beïnvloed door zware uitschieters. Daardoor kun je zeggen dat een doorsnee cyberaanval meestal veel minder kost dan € 270.000, maar dat zware incidenten de totale schade in Nederland wel hard omhoog trekken.

Overzicht

Type cijfer	Bedrag	Betekenis
Mediaan schade cyberincident	€ 17.017	Midden van de verdeling bij Nederlandse bedrijven volgens Hiscox
Gemiddelde schade mkb-incident	€ 270.000	Gemiddelde raming voor Nederlandse mkb-bedrijven volgens ESET
Grootste gemeten schade in Hiscox-bron	€ 2.114.004	Laat zien hoe zwaar de bovenkant van de verdeling kan zijn
Gemiddelde kosten datalek Benelux 2026	€ 6,35 miljoen	IBM-benchmark voor de Benelux
Gemeente Hof van Twente	circa € 4,2 miljoen	Bekende Nederlandse ransomwarecase met publiek gemelde schade

Waarom het gemiddelde vaak misleidend werkt

Bij cyberincidenten werkt het gemiddelde vaak slecht als los cijfer. Stel dat tien bedrijven worden geraakt. Zeven bedrijven verliezen minder dan € 25.000. Twee bedrijven komen ergens tussen € 100.000 en € 500.000 uit. Eén bedrijf lijdt miljoenen schade. Dan schiet het gemiddelde omhoog, terwijl dat bedrag voor de meeste slachtoffers niet herkenbaar voelt. Dat is ook precies waarom je bij cyberrisico niet alleen naar een gemiddelde moet kijken. Je wilt ook weten wat de mediaan is, en hoe de bovenkant eruitziet. Voor bestuurders en ondernemers is vooral die bovenkant belangrijk. Niet omdat elk incident daar uitkomt, maar omdat juist die zwaardere scenario’s de continuïteit van een organisatie kunnen bedreigen.

De schade is meer dan alleen een factuur van een IT-bedrijf

Veel mensen denken bij cyberaanvallen vooral aan herstelkosten. Bijvoorbeeld een extern securitybedrijf dat systemen moet herstellen. In werkelijkheid bestaat de schade bijna altijd uit meerdere lagen. De eerste laag is directe technische schade. Denk aan forensisch onderzoek, noodherstel, het opnieuw opbouwen van servers, back-ups terugzetten en extra inzet van beheerders. De tweede laag is bedrijfsschade. Denk aan omzetverlies door stilstand, klanten die afhaken, vertragingen in leveringen of niet-beschikbare systemen. De derde laag bestaat uit juridische en organisatorische kosten. Bijvoorbeeld meldingen aan betrokkenen, privacyonderzoek, communicatie, crisismanagement en mogelijk boetes of claims. Bij datalekken en ransomware komt daar vaak nog reputatieschade bij. Die is lastig exact te meten, maar kan wel degelijk doorwerken in klantverlies, hogere acquisitiekosten en langere commerciële schade.

Welke aanvalsvormen veroorzaken de hoogste schade?

1. Datalekken

Datalekken behoren vaak tot de duurste incidenten. Dat komt doordat er veel meer meespeelt dan alleen technische schade. Organisaties moeten soms duizenden of honderdduizenden betrokkenen informeren. Daar komen juridische kosten, reputatierisico en mogelijk toezicht bij. IBM rapporteerde voor de Benelux in 2026 een gemiddelde kostprijs van € 6,35 miljoen per datalek, tegen € 6 miljoen een jaar eerder. Dat ligt veel hoger dan de bedragen die je vaak ziet bij kleinere phishing- of malware-incidenten.

2. Ransomware

Ransomware is in Nederland nog steeds een van de zwaarste aanvalstypen. Het gaat daarbij lang niet alleen om losgeld. Sterker nog, het losgeld is vaak maar een deel van het totale schadebedrag. De grote posten zitten meestal in herstel, uitval van dienstverlening, vervanging van systemen, externe ondersteuning en vertraging van normale processen. De zaak van de Gemeente Hof van Twente is daar een bekend voorbeeld van. De gemelde schade liep daar op tot ongeveer € 4,2 miljoen. Dat laat zien dat ransomware voor publieke en private organisaties financieel ontwrichtend kan zijn.

3. Supply-chain aanvallen

Een aanval op één leverancier kan veel verder reiken dan de eerste getroffen partij. Dat zag je ook terug in de AddComm-case, waar één incident leidde tot gevolgen voor duizenden klanten en ongeveer 1,5 miljoen betrokken personen. Zulke aanvallen zijn lastig in euro’s te vangen, omdat de schade zich verspreidt over meerdere organisaties. Juist daardoor worden ze vaak onderschat.

4. DDoS-aanvallen

DDoS wordt soms gezien als minder zwaar dan ransomware of een groot datalek, maar dat hangt sterk af van de situatie. Voor een webshop, bank, SaaS-platform of publieke dienst kan onbeschikbaarheid direct omzetverlies of verstoring veroorzaken. Oudere Nederlandse Kaspersky-cijfers lieten zien dat ook DDoS-incidenten voor bedrijven al snel tot forse hersteluitgaven konden leiden.

5. Phishing en helpdeskfraude

Phishing is vaak lager in schade per individueel slachtoffer dan een zwaar datalek of een ransomwareaanval. Tegelijk komt phishing op grote schaal voor. Volgens de Fraudehelpdesk lag het gemiddelde verlies per gedupeerde bij bank-helpdeskfraude in 2024 op ongeveer € 21.500. Voor organisaties komt daar nog interne schade bij, zoals accountovernames, frauduleuze betalingen en herstelkosten.

Verschillen per sector

Niet elke sector loopt hetzelfde financiële risico. Zorginstellingen, overheden, financiële dienstverleners en organisaties met grote hoeveelheden persoonsgegevens hebben vaker te maken met hogere kosten wanneer het misgaat. Dat komt door de combinatie van privacygevoelige data, wettelijke meldverplichtingen, maatschappelijke druk en de gevolgen van downtime. In de zorg en bij overheden kan verstoring veel sneller leiden tot maatschappelijke druk, handmatige noodprocessen en hoge herstelkosten. In de financiële sector speelt daarnaast directe fraudegevoeligheid mee. In de industrie en logistiek zijn downtime en ketenvertraging vaak de grootste kostenposten.

Sector	Verwachte schade relatief	Belangrijkste reden
Zorg	Hoog	Privacy, continuïteit van zorg, meldlast
Overheid	Hoog	Publieke dienstverlening, grote herstelprojecten
Financiële sector	Hoog	Fraude, compliance, vertrouwensschade
Industrie	Middel tot hoog	Downtime, productie-uitval, ketenschade
Gemiddeld mkb	Middel	Minder schaal, maar vaak ook minder voorbereiding

Verschillen per bedrijfsgrootte

Grotere organisaties hebben vaak hogere absolute schadebedragen. Dat is logisch. Ze hebben meer systemen, meer afhankelijkheden, meer data, meer omzet per uur en vaak meer juridische en organisatorische druk als er iets misgaat. Kleinere bedrijven hebben juist weer vaker moeite om de schade op te vangen, zelfs wanneer het absolute bedrag lager ligt. Voor een klein bedrijf kan een incident van € 30.000 of € 50.000 al heel zwaar zijn. Voor een grotere organisatie ligt de absolute schade sneller hoger, maar is er meestal meer buffer. Daardoor moet je schade altijd beoordelen in verhouding tot omzet, marges en afhankelijkheid van digitale processen.

Wat Nederlandse praktijkvoorbeelden laten zien

Gemeente Hof van Twente

Deze zaak wordt vaak genoemd omdat de financiële schade uitzonderlijk duidelijk in de openbaarheid kwam. De schade liep op tot circa € 4,2 miljoen. Daardoor is deze case waardevol als voorbeeld van de bovenkant van de verdeling. Dit is geen doorsnee incident, maar wel een realistisch scenario als een organisatie zwaar geraakt wordt en veel moet herbouwen.

Universiteit Maastricht

Bij de ransomwareaanval op de Universiteit Maastricht werd ongeveer € 197.000 aan losgeld betaald. Dat bedrag wordt vaak genoemd, maar het is maar een deel van het verhaal. Losgeld is lang niet hetzelfde als totale schade. Ook hier waren er herstelkosten, uitval en organisatorische gevolgen die niet volledig in één openbaar schadebedrag zijn samengevat.

AddComm

Bij AddComm werd juist zichtbaar hoe groot de ketengevolgen van één aanval kunnen zijn. Het publiek bekende punt is hier minder een eurobedrag en meer de schaal van de doorwerking. Zo’n incident laat zien dat schade niet stopt bij de eerste getroffen partij.

Waarom de echte schade in Nederland waarschijnlijk hoger ligt

Openbare cijfers geven niet de volledige werkelijkheid weer. Dat heeft meerdere oorzaken. Veel bedrijven maken incidenten niet openbaar. Niet elk slachtoffer doet aangifte. Niet elk incident komt in surveys terug. En bij kleinere bedrijven is de registratie vaak minder sterk dan bij grote organisaties. Het NCSC wees er in ransomware-monitoring op dat vooral bij kleinere bedrijven de zichtbaarheid beperkt is. Daardoor ligt het werkelijke aantal aanvallen vrijwel zeker hoger dan het aantal waargenomen incidenten. Dat betekent ook dat de totale maatschappelijke schade van cyberaanvallen in Nederland waarschijnlijk hoger ligt dan wat je puur uit openbare incidenten zou afleiden.

Wat moet een ondernemer of bestuurder hier nu mee?

De belangrijkste les is dat je niet moet sturen op één gemiddeld schadebedrag. Wie alleen zegt “een cyberaanval kost gemiddeld € 270.000” mist de kern. Voor veel bedrijven ligt de schade lager. Voor een kleiner deel ligt die veel hoger. En juist dat laatste deel bepaalt vaak of een organisatie er nog gezond uitkomt. Een betere manier van kijken is deze:

gebruik een mediaan als realistischer beeld van een doorsnee incident
gebruik een zwaar scenario voor bestuurlijke besluitvorming
kijk per proces wat één dag uitval kost
neem privacy, communicatie en juridische kosten mee
kijk ook naar leveranciers en ketenafhankelijkheden

Daarmee wordt cyberrisico niet alleen een IT-vraagstuk, maar ook een financiële en bestuurlijke kwestie.

Praktische slotconclusie

De financiële schade per cyberaanval in Nederland kent dus geen vast standaardbedrag. De sterkste conclusie is dat de schadeverdeling scheef is. Veel incidenten blijven onder het niveau van zware publieke cases, maar de zwaarste incidenten lopen snel op naar tonnen of miljoenen. Dat maakt gemiddelden bruikbaar als grove indicatie, maar niet als enige stuurgetal. Wie een realistische bandbreedte wil onthouden, kan deze vuistregel gebruiken:

Doorsnee schadebeeld: eerder tienduizenden dan miljoenen euro’s
Gemiddeld mkb-incident: rond de paar ton volgens beschikbare onderzoeken
Zware ransomware- of datalekscenario’s: tonnen tot miljoenen euro’s

Dat is ook precies waarom cyberweerbaarheid niet alleen draait om voorkomen, maar ook om voorbereid zijn op financiële schade wanneer het toch misgaat. Een rekenhulp die de schade voor je eigen bedrijf per kostenpost optelt (stilstand, herstel, datalek en fraude), met daarnaast per verzekeraar welk deel een polis vergoedt, staat in het artikel wat kost een cyberaanval op cybersecurityverzekeringen.nl.