Je accountant houdt dezelfde data als je IT-leverancier, maar staat niet in je risicoanalyse

Je vraagt je IT-leverancier naar zijn certificeringen, zijn back-upschema en wat er gebeurt als hij gehackt wordt. Je accountant, die je complete administratie beheert, je omzet kent, je personeelsdossiers verwerkt en je aangifte opstelt, heb je vermoedelijk nog nooit één beveiligingsvraag gesteld. Toch beheren die twee partijen precies dezelfde gevoelige data. De een staat in je risicoanalyse, de ander niet. En dat verschil is geen detail, het is het gat waar een lek doorheen valt.

Mijn stelling is simpel: leveranciersrisico is een datavraag, geen IT-vraag. Wie zijn ketenanalyse beperkt tot partijen met "IT" of "software" in de naam, laat de partij met dezelfde klantdata en vaak zwakkere beveiliging, de accountant of fiscaal adviseur, structureel buiten beeld. De aanvaller kijkt niet naar het bordje op de deur. Hij kijkt naar waar de data ligt.

De data kijkt niet naar het bordje op de deur

Halverwege juli meldde Ernst & Young een datalek. Niet in de kernsystemen, maar in een extern fiscaal supportsysteem: een helpdeskplatform waar klanten hun tickets indienden, met daarin documenten met persoonlijke en financiële gegevens die dienen om belastingaangiften op te stellen. Een onbevoegde partij downloadde tussen 28 maart en 12 april 2026 klantdocumenten uit dat platform, een inbraak die EY pas op 23 april opmerkte en pas half juli aan klanten meldde.

Lees terug wat daar precies lag. Persoonlijke en financiële gegevens, gebruikt voor de belastingaangifte. Dat is niet een obscuur technisch bestand. Dat zijn dezelfde belastinggegevens die je zonder aarzelen aan je eigen accountant toevertrouwt: je omzet, je winst, je BSN, je loonadministratie. De aanvaller die deze buit maakte, was niet geïnteresseerd in het feit dat EY een adviesbureau is en geen IT-bedrijf. Hij was geïnteresseerd in de inhoud van de map.

En precies daar zit de denkfout die de meeste bedrijven maken. In je hoofd staat je IT-leverancier gecategoriseerd als "systeem, dus risico". Je accountant staat gecategoriseerd als "vertrouwde relatie". Die categorisering is menselijk en begrijpelijk. Het is ook exact de plek waar je beveiliging een blinde vlek heeft, want de gevoeligheid van data verandert niet door het etiket dat je op de houder plakt.

Het gemiddelde kantoor is geen EY

EY heeft een CISO, een securitybudget en een muur vol certificeringen. Het gemiddelde administratie- of accountantskantoor is een MKB-bedrijf met een handvol medewerkers, een paar standaard SaaS-abonnementen en geen securityteam. De hoeveelheid gevoelige data die er doorheen loopt is nauwelijks kleiner, en groeit alleen maar, nu op de meeste kantoren AI inmiddels op de klantadministratie zelf draait. Meer data, dezelfde beveiligingshouding.

En dit is geen hypothese. In mei liet de beroepsorganisatie NBA zich via een phishingmail een aanvaller urenlang in een medewerkersmailbox binnenlaten, een maand nadat ook koepelorganisatie SRA was gehackt. Als de clubs die de hele beroepsgroep vertegenwoordigen erin trappen, met alle bewustwording en middelen die zij hebben, waarom zou het kantoor van drie man op de hoek dan veiliger zijn?

Het antwoord is meestal: dat is het niet, en niemand kijkt. Bij veel kleinere kantoren overheerst nog het idee dat een cyberaanval iets is wat andere bedrijven overkomt, en toezicht op de eigen keten is bij vrijwel alle organisaties een zwak punt. Je hoort het ook zelden als het misgaat. Een leverancier die een lek in stilte dicht in plaats van je te waarschuwen is de norm, niet de uitzondering, en een klein kantoor dat een incident liever binnenskamers houdt al helemaal. Je weet dus niet alleen weinig over de beveiliging van je adviseur, je hoort vaak niet eens dat die is doorbroken.

De verkeerde map in je hoofd

Juridisch bestaat het onderscheid dat je in je hoofd maakt niet. Vertrouw je data toe aan een adviseur, dan erf je zijn beveiligingsrisico, en lekt die data, dan blijf jij, niet je accountant, degene die het datalek binnen 72 uur bij de Autoriteit Persoonsgegevens moet melden. Onder de AVG ben je verwerkingsverantwoordelijke voor gegevens die een ander voor je beheert, of die ander nu een datacenter runt of een jaarrekening opmaakt. NIS2 en de Cyberbeveiligingswet maken die ketenverantwoordelijkheid alleen maar explicieter.

De richting is bovendien maar één kant op. Toezichthouders zijn dit soort concentratierisico voor het eerst bij naam gaan benoemen, eerst bij banken, met deadlines en actieplannen eraan. Dat patroon van benoembare, aanwijsbare ketenaansprakelijkheid blijft niet in de financiële sector hangen. Het schuift door naar iedereen die gevoelige data van anderen beheert, en dat is precies wat een accountantskantoor doet.

De kern is dit: de aanvaller zoekt de zwakste houder van waardevolle data, en jij hebt die houder waarschijnlijk niet eens op je lijst gezet. Wie je keten scant voordat jij eraan toe komt, is meestal niet jij. Terwijl jij je IT-contract nog eens naleest, heeft een geautomatiseerde scan het administratiekantoor met de open RDP-poort allang gevonden.

Om eerlijk te zijn

Nu zul je zeggen: EY is nu juist een gigant met meer beveiliging dan mijn kantoor van drie man ooit zal hebben, en mijn kleine administratiekantoor is geen doelwit dat een serieuze aanvaller de moeite waard vindt. Dat is een eerlijk tegenargument, en de helft ervan klopt: een klein kantoor heeft zelden de securityvolwassenheid van een Big Four.

Maar het draait de zaak om. EY werd juist gekraakt ondanks al dat budget, en niet in de kern maar via de rafelrand, een helpdeskplatform van een derde. Als de best beveiligde partij langs de zijdeur lekt, dan is "ze zijn groot en professioneel" geen beveiligingsmaatregel, zoals ook bleek toen bij Medtronic de gegevens van ruim 3,8 miljoen mensen buit werden gemaakt via een inbraak in de eigen bedrijfssystemen. En het idee dat een klein kantoor geen doelwit is, gaat ervan uit dat aanvallers op naam jagen. Dat doen ze niet. Ze jagen op data, en optimaliseren voor de zwakste houder ervan. Jouw kleine kantoor is niet ondanks zijn omvang een risico, maar juist daardoor: dezelfde buit, een lager slot.

Teken de kaart opnieuw

Je hoeft je accountant niet te wantrouwen. Je hoeft hem alleen in de juiste map te zetten. Dezelfde vragen die je je IT-leverancier stelt, over beveiliging, back-ups, en wat er gebeurt als het misgaat, horen net zo goed thuis bij de partij die je jaarrekening, je loonstroken en je aangifte beheert. Vraag naar tweefactorauthenticatie, naar hoe zij documenten uitwisselen, naar of ze je binnen 72 uur zouden informeren bij een lek. Een adviseur die daar goede antwoorden op heeft, verdient je vertrouwen dubbel. Een die de vraag vreemd vindt, heeft je zojuist het antwoord gegeven.

De vraag is nooit alleen geweest of je IT-leverancier veilig is. De vraag is wie je kroonjuwelen nog meer in handen heeft, en of je die ooit iets hebt gevraagd. Teken je ketenkaart opnieuw, niet langs wie "IT" heet, maar langs waar je data ligt. Want daar tekent de aanvaller de zijne ook.