In een wereld waarin digitalisering niet meer weg te denken is, staan non-profitorganisaties voor unieke uitdagingen op het gebied van cybersecurity. U beheert gevoelige informatie, zoals donateursgegevens en financiële gegevens, en bent daardoor een aantrekkelijk doelwit voor cybercriminelen. Tegelijkertijd beschikken non-profitorganisaties vaak over beperkte middelen om zich hiertegen te beschermen. Het is daarom van cruciaal belang dat u zich bewust wordt van deze risico’s en proactieve maatregelen neemt om de digitale veiligheid te versterken.
Waarom cybersecurity essentieel is
Het vertrouwen van donateurs is de levensader van elke non-profitorganisatie. Een cyberaanval kan niet alleen leiden tot financiële verliezen, maar ook het vertrouwen van stakeholders beschadigen. Dit kan een directe impact hebben op de reputatie en het vermogen om fondsen te werven.
Cyberdreigingen variëren van phishing-aanvallen en ransomware tot datalekken. Deze kunnen gevoelige gegevens openbaar maken, zoals namen, adressen en financiële details van donateurs/ontvangers. Voor uw organisatie die afhankelijk is van dit vertrouwen, kan zelfs een klein incident verregaande gevolgen hebben.
Volgens het Digital Defense Report van Microsoft uit 2021 waren non-profitorganisaties met 31% van de aanvallen de op één na meest getroffen sector. Daarnaast rapporteerde het CyberPeace Institute in 2023 dat 41% van de non-profits in de voorgaande jaren slachtoffer was geworden van een cyberaanval.
Recente datalekken
Hieronder vindt u een aantal voorbeelden om te illustreren wat de kwetsbaarheden en impact van cyberaanvallen op uw type organisatie kunnen zijn:
Datalek bevolkingsonderzoek baarmoederhalskanker (2025)
In augustus 2025 werd bekend dat hackers toegang kregen tot de systemen van laboratorium Clinical Diagnostics NMDL dat analyses uitvoert voor het bevolkingsonderzoek baarmoederhalskanker. Gegevens van maar liefst 941.000 deelnemers zijn mogelijk buitgemaakt, waaronder namen, adressen, burgerservicenummers en medische testresultaten. De impact is enorm: deelnemers lopen risico op identiteitsfraude en afpersing, en het vertrouwen in het bevolkingsonderzoek is geschaad.
Andere incidenten:
- Rode Kruis (2022): Gegevens van 500.000 kwetsbare personen werden gestolen, waardoor hulpverlening werd verstoord.
- Kinderhulporganisatie (2023): Ransomware-aanval waarbij medische gegevens en foto’s werden versleuteld.
- UWV (2024): Bij het UWV heeft een datalek plaatsgevonden waarbij een externe persoon 150.000 cv’s heeft ingezien en mogelijk gedownload via werk.nl. Dit platform bevat persoonlijke gegevens zoals namen, contactgegevens en opleidingsachtergronden.
Fraude en cybercrime
In de wereld van filantropie en non-profitorganisaties is vertrouwen een cruciale waarde. Toch blijkt uit de praktijk dat fraude en misbruik ook hier kunnen voorkomen, vaak door gebrekkige IT-beveiliging en onvoldoende interne controles. De Engelstalige podcast ‘Oh My Fraud’ (https://ohmyfraud.com/episodes) biedt naar mijn mening een goede inkijk in hoe fraudeurs te werk gaan en welke rol IT-systemen daarbij spelen.
De makers bespreken echte casussen, waarbij duidelijk wordt dat niet alleen commerciële bedrijven, maar juist ook goede doelen en maatschappelijke instellingen risico lopen. IT speelt hierin vaak een centrale rol: van zwak identity management tot het ontbreken van monitoring en logging, en van onvoldoende scheiding van taken tot gebrekkige verificatie bij online portalen.
Hieronder vind u een aantal relevante afleveringen die specifiek betrekking hebben op non-profit (gerelateerde) organisaties, met een korte toelichting waarom deze cases mogelijk leerzaam voor u zijn.
- Embezzlement Set to Cruz Control: Gebrek aan scheiding van taken en IT-controles in financiële systemen maakte grootschalige verduistering mogelijk.
- Australia’s Greatest Conman: Jarenlang kon een fraudeur ongestoord opereren door het ontbreken van digitale verificatie en identity management.
- Cache Me If You Can | FBI Internet Crime Report: Organisaties hebben vaak onvoldoende monitoring en logging, waardoor cybercriminaliteit onopgemerkt blijft.
- Too Pandemic, Too PPP Fraud: Tijdens de COVID-pandemie maakten fraudeurs misbruik van zwakke identity-verificatie in online aanvraagportalen.
De basis van cyberveiligheid
Cybersecurity draait om het beschermen van systemen, netwerken en gegevens tegen digitale bedreigingen. Voor non-profits betekent dit niet alleen het waarborgen van de veiligheid van donateurs- en ontvangersgegevens, maar ook het creëren van een solide digitale infrastructuur die de continuïteit van hun missie ondersteunt.
Door de digitale veiligheid te waarborgen en te beleggen, kunt u zich als organisatie blijven richten op wat echt belangrijk is: het realiseren van de missie en het maken van een positieve impact op de maatschappij.
Risicobeoordeling
Eén van de eerste stappen in het versterken van cybersecurity is het uitvoeren van een risicoanalyse. Zodra de risico’s in kaart zijn gebracht, kunt u gerichte maatregelen nemen.
Dit omvat onder andere:
- Identificeren van assets: welke gegevens en systemen zijn het meest kritiek voor de organisatie?
- Analyse van bedreigingen en kwetsbaarheden: denk hierbij aan risico’s zoals phishing, malware of nalatigheid van medewerkers.
- Prioriteren van risico’s: bepaal welke dreigingen de grootste impact kunnen hebben en richt u hierop.
Praktische beveiligingsmaatregelen
- Technische Beveiliging
Technologie is een essentieel wapen in de strijd tegen cyberdreigingen. Voor uw organisatie zien wij de volgende maatregelen als onmisbaar:
- Antivirussoftware en firewalls: bescherm systemen tegen malware en ongewenst netwerkverkeer.
- Encryptie: versleutel gevoelige data om deze te beschermen tegen onbevoegde toegang.
- Regelmatige updates: zorg ervoor dat systemen en software altijd up-to-date zijn om kwetsbaarheden te minimaliseren.
- Toegangsbeheer
Het beperken van toegang tot gevoelige informatie is een belangrijk principe. Dit kan worden bereikt door:
- Sterke wachtwoorden en het gebruik van een wachtwoordmanager.
- Multi-factor authenticatie (MFA): en extra laag beveiliging, naast het wachtwoord.
- Gebruikersrollen en rechtenbeheer: medewerkers mogen alleen toegang hebben tot informatie die zij nodig hebben voor hun werk.
- Beveiliging van mobiele apparaten
Met de opkomst van mobiel werken en Bring Your Own Device (BYOD)-beleid, wordt het beschermen van mobiele apparaten steeds belangrijker. Maatregelen zoals het implementeren van een streng BYOD-beleid kunnen het risico op datalekken aanzienlijk verminderen.
Bewustwording en training
Technologie alleen is niet voldoende. Medewerkers spelen een cruciale rol in het waarborgen van cybersecurity. Menselijke fouten, zoals het openen van phishing-mails, voorzaken vele datalekken. U doet er goed aan te investeren in regelmatige trainingen om bewustwording te creëren. Onderwerpen kunnen zijn:
- Herkennen van phishing-e-mails
- Het belang van veilige wachtwoorden
- Handelingen bij een beveiligingsincident
Door trainingen wordt de menselijke schakel in de beveiligingsketen versterkt, wat fundamenteel is om incidenten te voorkomen.
Incidentrespons en herstel
Geen enkel systeem is volledig immuun voor cyberaanvallen. Daarom is het noodzakelijk om voorbereid te zijn op incidenten. Een goed incidentresponsplan omvat:
- Detectie: het tijdig herkennen van een beveiligingsincident.
- Beheersing: het beperken van de schade door getroffen systemen te isoleren.
- Herstel: back-ups en herstelprocedures om data en functionaliteit te herstellen.
Door regelmatig herstelprocedures te testen, kunt u zeker zijn dat uw organisatie snel kan reageren op een incident.
Samenwerken met derden
Veel non-profits werken samen met externe leveranciers, bijvoorbeeld voor IT-diensten of databeheer. Het beoordelen van de cyberveiligheidspraktijken van deze partners is essentieel. Zorg voor duidelijke contracten waarin verantwoordelijkheden en normen zijn vastgelegd, en voer hier regelmatig controles op uit.
Naleving van wet- en regelgeving
Voor organisaties binnen de EU is de Algemene Verordening Gegevensbescherming (AVG) een belangrijke factor. Non-profits moeten transparant zijn over hoe zij persoonsgegevens gebruiken, en ervoor zorgen dat zij voldoen aan de rechten van betrokkenen, zoals het recht op inzage of verwijdering van gegevens. Het niet naleven van deze regelgeving kan leiden tot boetes en reputatieschade.
Kosten van cybersecurity
Hoewel budgetten vaak beperkt zijn, is het belangrijk te beseffen dat investeringen in cybersecurity de kosten van een incident kunnen voorkomen. Denk aan de mogelijke impact van boetes, reputatieschade en verlies van vertrouwen. Door een weloverwogen aanpak te hanteren, kunt u ook met beperkte middelen effectieve beveiligingsmaatregelen implementeren.
Jarne Vermeer is opdrachtverantwoordelijk accountant bij WITh Accountants en verantwoordelijk voor de IT binnen de organisatie. Het is zijn overtuiging dat technologie kan bijdragen aan een betere wereld. Met zijn jarenlange ervaring in de non-profitsector en zijn gecombineerde kennis ondersteunt hij de missie van goededoelenorganisaties.