De Eerste 72 Uur na een Datalek in je Restaurant

In dit artikel

1. Waar de gegevens van je gasten eigenlijk allemaal zitten
2. De 72-uursklok, tijdvak per tijdvak
3. Wat een cyberverzekering écht dekt — en wat niet
4. Wat verzekeraars checken vóór ze je zelfs een offerte geven
5. Conclusie: de klok loopt sowieso, de vraag is of jij dat al wist

Een datalek in je restaurant is geen IT-probleem — het is een juridische klok die al loopt vanaf het moment dat je het ontdekt. Zodra je weet, of redelijkerwijze had moeten weten, dat gegevens van gasten zijn gestolen, gewist of in verkeerde handen zijn beland, geeft de GDPR je 72 uur om de toezichthouder daarvan op de hoogte te brengen. Niet 72 uur om het op te lossen — 72 uur om het te mélden.

Het begint zelden met een alarm dat afgaat. Vaker is het een gast die belt omdat er twee keer is afgeschreven op zijn kaart, een leverancier van je reservatiesysteem die een mail stuurt over "ongewone activiteit", of een medewerker die 's ochtends een kassascherm vol vreemde tekst aantreft. Op dat moment is de vraag niet meer "hoe erg is dit technisch", maar "wat moet ik nu, vandaag, doen" — en de meeste zaakvoerders weten het antwoord niet, omdat niemand het ooit heeft opgeschreven.

Het risico is reëel en het is niet gereserveerd voor grote ketens. Kassasystemen en point-of-sale-toestellen behoren wereldwijd tot de meest getroffen doelwitten in de horeca- en retailsector, precies omdat ze kaartgegevens verwerken en vaak jarenlang ongewijzigd blijven draaien. Een klein restaurant heeft geen IT-afdeling om het op te vangen, en dat is exact waarom een cyberverzekering — en een plan voor de eerste 72 uur — hier meer wegen dan bij een bedrijf met een eigen beveiligingsteam.

Deze gids doorloopt precies dat: waar de gegevens van je gasten eigenlijk overal zitten, wat er in elk van de vier tijdsvakken van de 72-uursklok moet gebeuren, wat een cyberverzekering doorgaans wél en niet dekt, en — met een rekentool die je eigen cijfers gebruikt — wat een datalek voor jouw zaak concreet zou kunnen kosten.

Waar de gegevens van je gasten eigenlijk allemaal zitten

Een datalek is elk incident waarbij persoonsgegevens van gasten per ongeluk of onrechtmatig verloren gaan, gewijzigd worden of toegankelijk worden voor iemand die daar geen recht toe heeft — dat is dus veel breder dan "gehackt worden". Een vergeten laptop in de auto, een reserveringsmail die naar de verkeerde persoon gaat, of een back-up van de kassa die per ongeluk publiek toegankelijk staat, telt evengoed mee als een gerichte cyberaanval.

De meeste uitbaters onderschatten hoeveel systemen ze eigenlijk bijhouden. Reken maar mee: het kassasysteem met de kaartgegevens van elke transactie, het reservatie- en CRM-systeem met naam, telefoonnummer en soms allergieën van elke gast, het spaarkaart- of loyaliteitsprogramma met e-mailadressen en bestelgeschiedenis, de gastenwifi met een inlogportaal dat vaak een e-mailadres vraagt, de koppeling met bezorgplatformen die adressen doorstuurt, en de cadeaubonnenlijst met codes die geld waard zijn. Zes systemen, zes plekken waar een lek kan ontstaan — en in de meeste zaken heeft niemand ze ooit samen op een rijtje gezet.

Onze gids over klantdata en GDPR legt uit hoe je die gegevens legaal verzamelt en gebruikt; onze gids over cyberbeveiliging legt de negen stappen uit om een aanval te voorkomen. Deze gids gaat over het moment daarna: het is al misgegaan, en nu?

De 72-uursklok, tijdvak per tijdvak

Artikel 33 van de GDPR verplicht je om een datalek binnen 72 uur na ontdekking te melden bij de gegevensbeschermingsautoriteit, tenzij het lek onwaarschijnlijk een risico vormt voor de rechten en vrijheden van je gasten. Die klok begint niet wanneer je alles begrijpt — hij begint op het moment dat je redelijkerwijze weet dat er iets is gebeurd. Zo ziet die 72 uur er in de praktijk uit.

Uur 0 tot 1: ontdekken en indammen

Koppel het getroffen toestel los van het netwerk — trek de kabel uit of zet de wifi uit, maar zet niets uit en wis niets. Elk spoor dat je nu wist, is een spoor dat je technieker of verzekeraar straks niet meer kan gebruiken om te achterhalen wat er precies is gebeurd.

Verander meteen de wachtwoorden van elk admin-account dat toegang heeft tot het kassasysteem, het reservatiesysteem en je e-mail. Noteer het exacte tijdstip waarop je het ontdekte — dat tijdstip is het startpunt van je 72 uur, en je zal het nodig hebben in elk formulier dat volgt.

Uur 1 tot 24: inschatten en documenteren

Bel je IT-leverancier of, als je die niet hebt, een gespecialiseerde dienst — en bel meteen ook je verzekeraar als je een polis hebt: de meeste cyberpolissen hebben een meldpunt dat je vanaf de eerste dag kan inschakelen, en wachten kost je vaak net de dekking die je nodig hebt.

Zet op papier welke gegevens mogelijk zijn geraakt: alleen namen en e-mailadressen, of ook kaartgegevens en allergieën? Hoeveel gasten zitten in dat bestand? Die twee vragen — wat en hoeveel — bepalen zowat alles wat in de volgende 48 uur moet gebeuren, dus schrijf het op zodra je het weet, ook als het antwoord nog onvolledig is.

Uur 24 tot 72: de toezichthouder melden

Beoordeel samen met je verzekeraar, je IT-leverancier of een juridisch adviseur of het lek "waarschijnlijk een risico" vormt voor je gasten. Is het antwoord ja, dan is de melding bij de gegevensbeschermingsautoriteit verplicht — niet optioneel, en niet iets waar je op wacht tot je zeker bent.

Dien de melding in vóór het einde van de 72 uur, met wat je op dat moment weet: de aard van het lek, een schatting van hoeveel gasten getroffen zijn, de te verwachten gevolgen en de maatregelen die je al genomen hebt. Onvolledige informatie mag je later aanvullen — geen melding binnen de 72 uur mag niet, en een late melding moet je expliciet verantwoorden.

Na 72 uur: gasten verwittigen en herstellen

Verwittig je gasten rechtstreeks alleen als het risico voor hén hoog is — bijvoorbeeld bij gestolen kaartgegevens of wachtwoorden. Bij een lager risico volstaat de melding aan de toezichthouder. Schrijf die boodschap in gewone taal: wat is er gebeurd, wat doe je eraan, en wat kan de gast zelf doen (kaart laten blokkeren, wachtwoord wijzigen).

Herstel pas vanaf een schone back-up nadat je zeker weet dat het lek gedicht is — anders herstel je exact hetzelfde probleem. En geef je verzekeraar de definitieve omvang van het incident door: dat cijfer, niet je eerste schatting, bepaalt wat er uiteindelijk wordt uitgekeerd.

Wat een cyberverzekering écht dekt — en wat niet

De meeste zaakvoerders denken dat hun bestaande verzekering dit al dekt. Dat klopt bijna nooit: een klassieke brand-, uitbatings- of BA-polis sluit datalekken en cyberincidenten doorgaans expliciet uit, precies omdat het een apart risico is met een eigen prijskaartje. Onze gids over restaurantverzekeringen geeft het volledige overzicht van wat een gemiddelde zaak nodig heeft; hieronder gaat het specifiek over de cyberpolis.

Een cyberpolis dekt doorgaans de kosten om het probleem op te lossen en je gasten te verwittigen. Ze dekt zelden de kosten van vertrouwen dat je kwijtraakt, of van een risico dat je zelf verzweeg toen je de polis afsloot.

Vul je eigen cijfers in en zie meteen waar je ongeveer staat. De schatter rekent met het aantal gasten in je bestanden, je omzet per servicedag, en twee vragen die verzekeraars zelf als eerste stellen.

Vergelijk dat bedrag met de prijs van een polis, en met wat het kost om vandaag de twee rode vlaggen hierboven weg te werken — meestal is dat laatste veruit het goedkoopst. Wil je ook je algemene verzekeringsdekking nalopen, gebruik dan onze gids over restaurantverzekeringen.

Wat verzekeraars checken vóór ze je zelfs een offerte geven

Dit is geen project van een maand. Drie stappen van telkens een half uur brengen je van "geen idee" naar een dossier dat een verzekeraar au sérieux neemt:

Vandaag — de gratis fix:

• Zet MFA aan op kassa, e-mail en reservatiesysteem — vaak het enige punt dat beslist of je een polis krijgt
• Vraag je kassaleverancier of kaartgegevens getokeniseerd worden of lokaal bewaard blijven
• Sla het noodnummer van je IT-leverancier of verzekeraar op in je telefoon, niet in een lade

Deze week — je dekking checken:

• Vraag je makelaar expliciet of cyber inbegrepen is of een aparte polis vereist
• Vraag twee tot drie offertes op en vergelijk de dekking, niet enkel de premie
• Schrijf op één blad wie je als eerste belt als er iets mis lijkt

Deze maand — het dossier afwerken:

• Zet versleutelde, geteste back-ups op van je gasten- en reserveringsgegevens
• Lees de uitsluitingen van je polis vóór je ze nodig hebt
• Hang het noodplan naast je brandinstructiekaart — dezelfde ernst, dezelfde plek

Conclusie: de klok loopt sowieso, de vraag is of jij dat al wist

Een datalek voorkom je nooit voor honderd procent — ook grote bedrijven met eigen IT-teams worden getroffen. Wat je wél in de hand hebt, is of de eerste 72 uur chaos zijn of een checklist. Een team dat weet welk toestel het eerst loskoppelt, een verzekeraar die je vanaf uur één aan de lijn hebt, en een melding die op tijd binnen is: dat is het verschil tussen een vervelend incident en een tweede crisis bovenop de eerste.

En de zaken die dit goed regelen, doen dat zelden alleen om de verzekeringspremie. Ze doen het omdat het vertrouwen van een gast — dat zijn gegevens veilig zijn bij jou — net zo goed een deel van je merk is als je keuken. Bij HappyChef bouwen we het reservatiesysteem met die gedachte: je gegevens staan bij één partij, niet verspreid over vijf systemen die je niemand ooit heeft gecontroleerd. Bekijk wat het kost en zet vandaag nog de eerste, gratis stap: MFA aanzetten.