Wat hebben wij geleerd van de inbraak bij ons.  

Privacy United was een aantal maanden geleden het slachtoffer van een bedrijfsinbraak. In ons bedrijfspand werd ingebroken, terwijl we dachten zo goed beschermd te zijn. Een buitendeur, een balie, een slot op de verdieping en een slot op onze kantoren. Toch gebeurde het! 

De lessen die we uit deze inbraak hebben getrokken, willen wij delen. Uiteraard kunnen we niet alles vertellen vanwege veiligheidsredenen, maar na het lezen van dit artikel kom je zeker zaken tegen waar je zelf niet aan hebt gedacht. Juist dat zijn dingen die je pas ontdekt nadat je zoiets hebt meegemaakt.  

Hieronder volgen de stappen in het denkproces bij een inbraak, samen met de tips die wij je kunnen geven. Deze stappen zijn achteraf samengesteld en daardoor goed bruikbaar wanneer je net een inbraak hebt meegemaakt. Ze helpen je om geen belangrijke zaken over het hoofd te zien. 

1. De schok en realisatie in de eerste minuten 

Zoals elke dag kom je je bedrijf binnen. Je realiseert je direct dat er iets mis is. De deur staat open en de inham van het slot staat niet in lijn met de deur en het slot. Je hoopt op het beste, maar je bereidt je alvast voor op het slechtste. 

2. Omgeving afbellen 

Je gaat eerst bellen met een aantal mensen om te begrijpen of iemand hier meer van weet. Wie heeft als laatste de deur op slot gedaan? Heeft de balie iets vreemds gezien en zijn er camerabeelden beschikbaar? Wanneer zou het gebeurd kunnen zijn en wie waren er allemaal in en om het gebouw? 

Tip: Ken de fysieke beveiliging in en om het gebouw. Huur je een pand, dan mag je van de verhuurder verwachten dat hieraan is gedacht. Is de beveiliging niet op orde? Vraag de verhuurder dan om verbeteringen. 

3. Aangifte doen 

Het tweede wat in je opkomt is om aangifte te doen. Realiseer je dat als je als bedrijf aangifte doet, je E-herkenning nodig hebt. Door de stress en vooral boosheid kan het zomaar gebeuren dat je niet alles vermeldt in je aangifte. Je wilt alles zo snel mogelijk doorgeven, maar heb je echt goed gekeken wat er gestolen is? Hebben medewerkers spullen op kantoor laten liggen of meegenomen voor thuiswerken? Het is verstandig om even de tijd te nemen en eerst na te gaan wat er precies ontbreekt voordat je overhaast aangifte doet. Vervolgens ontdek je dat zelfs de meest waardeloze spullen zijn meegenomen. Wat moet iemand met een parfumflesje? 

Tip: Achteraf je proces-verbaal aanvullen kan niet digitaal. Je moet hiervoor bellen, wat extra tijd kost. 

4. Wissen van apparaten 

Onze hardware hebben wij intern geregistreerd, dus in principe weten we wat we in huis hebben. Denk je!  

In werkelijkheid ligt dat iets anders. Telefoons en laptops kunnen bijvoorbeeld bij medewerkers thuis liggen vanwege het thuiswerken. Sommige medewerkers zijn op vakantie en die wil je niet lastigvallen. Ondertussen wil je wel zo snel mogelijk overgaan tot het wissen van gegevens op de gestolen apparaten, maar je moet zeker weten dat het om de juiste apparaten gaat. Dat was even uitzoeken. 

5. Opdrachtgevers informeren 

Wij hadden van sommige opdrachtgevers spullen in huis, zoals laptops. Deze opdrachtgevers hebben wij geïnformeerd, uiteraard conform hun interne procedures. Dit moet bovendien in lijn zijn met de AVG (bijvoorbeeld bij een datalek) of met de NIS2-richtlijnen, waarbinnen een ‘Significant Incident’ binnen 24 uur gemeld moet worden (wat overigens nog niet van toepassing is). Dat is aanmerkelijk sneller dan het melden van een datalek binnen 72 uur (vaak contractueel beperkt tot 48 uur). 

6. Verrast door de verzekeraar 

Hoewel we goed verzekerd zijn, werden we toch verrast door de verzekeraar. In eerste instantie werd ons verteld dat er sprake moest zijn van aantoonbare inbraakschade. Hoewel de deur was opengeduwd en uit het kozijn gedrukt, bleek er weinig zichtbare schade te zijn. Dit bracht ons aan het twijfelen, omdat zonder duidelijke inbraakschade de dekking mogelijk vervalt.  

Een tweede verrassing, die we eigenlijk hadden kunnen weten, was dat privé-eigendommen niet verzekerd zijn. Medewerkers die privéspullen op kantoor laten, moeten weten dat deze niet onder de bedrijfspolis vallen. 

Kijk ook of je inboedelverzekering nog past bij de omvang van je kantoor en de spullen die je erin hebt. 

Tip: Laat geen privé-eigendommen achter op kantoor. Deze zijn bij een inbraak niet verzekerd!  

7. Collega’s informeren en alert maken

Vergeet niet om alle medewerkers op de hoogte te stellen. Zij kunnen mogelijk iets weten of in de toekomst extra alert zijn bij het verlaten van het pand. Wij hebben in ieder geval extra aandacht besteed aan hoe deuren op slot worden gedaan en dat medewerkers alert moeten zijn op het openhouden van deuren voor vreemden. 

Tip: Loopt iemand achter je aan naar binnen? Vraag dan voor wie hij komt. Vraag dit ook van je collega’s.  

8. Het gebouw beter beveiligen  

Heb je een huur– of kooppand? Dat maakt het verschil. Meeste bedrijven huren. Vraag de verhuurder om extra beveiligingsmaatregelen of schakel een beveiligingsbedrijf in voor advies. De politie kan hierin ook adviseren. Denk aan een bewaker, camera’s en elektronische waarschuwingssystemen. Vergeet niet om de balie extra te informeren als je die hebt of het huurcontract daarop te beoordelen.  

9. Registreren en autoriteiten informeren  

Naast de gebruikelijke maatregelen zijn er ook wet- en regelgeving die je verplichten bepaalde handelingen te doen. Denk hierbij aan het registreren van een incident volgens ISO 27001, het opnemen van een datalek in het AVG-datalekregister en, voor bepaalde organisaties, de NIS2-verplichtingen. In dat laatste geval geldt zoals gezegd een 24-uurs meldplicht.  

10. Verhuizen overwegen 

Voelt iedereen zich na een inbraak nog veilig op dezelfde locatie? Zo ja, dan kun je blijven. Wij hebben kort overwogen te verhuizen, maar realiseerden ons dat het risico niet per se kleiner wordt door een verhuizing. Onze conclusie was dat iedereen zich nog veilig voelt. Dat laatste was voor ons de doorslaggevende reden om te blijven. 

Onze “lessons learned“ 

• Hoe goed je ook beveiligd bent, als iemand écht wil inbreken, gebeurt het toch. Bereid je daarop voor.  
• Het kost ongelooflijk veel tijd om alles af te handelen. Reken erop dat je die tijd niet hebt en werk samen met collega’s om het behapbaar te maken. 
• Vertel medewerkers (nogmaals) hoe de beveiliging werkt en wat hun rol daarin is. 
• Praat opnieuw over de situatie zodra de eerste stress voorbij is. Vaak komen dan waardevolle details naar boven die nuttig kunnen zijn voor de politie. 
• Zorg dat je weet hoe je elektronisch aangifte doet als bedrijf. Dat werkt anders dan als particulier. 
• Laat geen lege dozen van dure ICT-apparatuur zichtbaar rondslingeren. Dit geldt ook binnen een gedeeld pand met andere huurders. 
• Laat geen privé-eigendommen achter op kantoor, omdat deze bij een inbraak niet verzekerd zijn. 
• Werk je documentatie bij op basis van de leermomenten. 
• Lees je polisvoorwaarden door.  

Hulp nodig? 

Mocht je met een vergelijkbare situatie te maken krijgen, dan helpen wij je graag kosteloos. Bel ons, we staan voor je klaar – ook als je gewoon even je verhaal kwijt wilt. 

Publicatiedatum: 26 februari 2025

Auteur: Mohammad Mousavi, FG en CISO bij Privacy United B.V.