Accountantskantoren hebben wat criminelen willen. Rekeninguittreksels, loongegevens, rijksregisternummers, facturen. Alles wat nodig is om fraude te plegen, op één plek, voor honderden klanten tegelijk.
Maar ze zijn niet het enige doelwit. De diensten die financiële gegevens naar de boekhoudsoftware sturen, zijn minstens even interessant. Vaak zelfs meer. Wie één kantoor kraakt, krijgt één klantenlijst. Wie de aanbieder kraakt die hen bevoorraadt, krijgt een veelvoud.
Een veiligheidsprobleem ergens in die keten is ook jouw probleem. En je klanten geven zelden een tweede kans.
Wat een datalek echt kost
Volgens het Cost of a Data Breach Report 2025 van IBM bedraagt de gemiddelde kostprijs van een datalek 4,44 miljoen dollar, wereldwijd. Voor de Benelux specifiek ligt dat cijfer echter hoger, rond 6,24 miljoen. De financiële sector zit boven het wereldwijde gemiddelde, op 5,56 miljoen.
Die kost is veel meer dan de ransomware: onderzoek, het verwittigen van klanten, juridische verdediging, verloren opdrachten en stilstand. Een gemiddeld datalek duurt 241 dagen om te ontdekken en in te dammen. Dat zijn ongeveer acht maanden waarin je, naast het managen van je klanten en dagelijkse deadlines, ook nog een datalek moet beheren.
Dan is er nog de GDPR. Bepaalde ernstige inbreuken op de regels voor de bescherming van persoonsgegevens kunnen leiden tot administratieve boetes tot 20 miljoen euro of tot 4 procent van de totale wereldwijde jaaromzet van het voorafgaande boekjaar, als dat bedrag hoger is. En dat is geen ver-van-je-bedshow. Het aantal meldingen van datalekken bij de Belgische Gegevensbeschermingsautoriteit steeg in 2024 tot 1.455, tegenover 1.292 het jaar daarvoor. Dat is een stijging van 12,6%.
Er komt ook een nieuwe laag aan verplichtingen bij. De NIS2-regels rond cyberbeveiliging gelden vanaf april 2026 voor veel organisaties in België, met concrete verplichtingen rond risicobeheer en het melden van incidenten. Niets doen is geen keuze.
De kost die je niet kan verzekeren: vertrouwen
De financiële schade valt in principe te herstellen. De reputatieschade vaak niet.
Neem accountantskantoor Wojeski & Company. Bij twee aparte datalekken kwamen financiële rekeninggegevens op straat te liggen. Het kantoor wachtte anderhalf jaar om de getroffen klanten in te lichten. De blijvende schade kwam niet alleen door het lek zelf. Maar ook door de stilte errond.
En een lek hoeft niet eens via een hack te gebeuren. Soms zit de zwakke schakel gewoon verderop in de keten. In 2025 belandden bij een grote Belgische bank de gegevens van zo’n 5.000 klanten van haar effectendochter bij de verkeerde mensen. Niet door een inbraak in de systemen van de bank, maar doordat een externe dienstverlener de klantgegevens aan een verkeerd adres koppelde. Enkele weken later ging het opnieuw mis, via een onderaannemer die het druk- en verzendwerk deed. De Gegevensbeschermingsautoriteit werd ingelicht. Een grote bank, met alle middelen, en toch ging het mis bij een schakel die ze had uitbesteed.
Als jouw data in de dienst van iemand anders staat, dan maakt hun beveiliging voortaan deel uit van die van jou.
Vier vragen die je aan elke gegevensleverancier mag stellen
Dit is het stuk dat veel kantoren over het hoofd zien. Als je financiële gegevens door een externe dienst stromen, dan is die dienst een deel van je beveiliging. Hun zwakke plek wordt jouw risico.
Dus stel ze op de proef. Stel elke aanbieder die met jouw gegevens in aanraking komt deze vier vragen.
- Kan de aanbieder je transacties zomaar inkijken of betalingen uitvoeren?
- Is de beveiliging onafhankelijk gecertificeerd?
- Waar worden je gegevens bewaard en hoe worden ze beschermd?
- Wat gebeurt er met je gegevens als een databedrijf morgen de deuren sluit?
Een aanbieder die daar geen duidelijk antwoord op heeft, is een risico dat je draagt in naam van je klanten. Hoe goedkoper de dienst, hoe belangrijker die antwoorden worden.
Hoe een betrouwbare datastroom gebouwd is voor de praktijk
Het waarborgen van gegevensveiligheid rust op vier concrete pijlers die elk accountantskantoor kritisch moet evalueren:
- Geen toegang tot inhoud of betalingen: Codabox functioneert uitsluitend als beveiligde doorgeefluik van financiële data. Transacties inzien of betalingen uitvoeren is technisch onmogelijk.
- Structurele focus op beveiliging: Eén derde van alle ontwikkelingsmiddelen gaat rechtstreeks naar beveiliging en schaalbaarheid van de infrastructuur.
- Europese opslag en certificering: Het beheer van informatiebeveiliging volgt het strikte ISO 27001-kader. Voor de CARO-dienst worden kredietkaartgegevens nooit bewaard of verwerkt binnen de eigen systemen, conform de PCI DSS SAQ A-vereisten. Alle data blijft bovendien op betrouwbare, Europese infrastructuur.
- Continuïteit op lange termijn: Als onderdeel van Wolters Kluwer biedt het platform de garanties en de financiële stabiliteit van een beursgenoteerde groep. Een dienst waarop je vandaag bouwt, is er volgend jaar ook nog.
Een goedkopere gegevensstroom die op deze fundamentele vragen geen harde garanties biedt, kan een kantoor uiteindelijk duur te staan komen. Niet alleen in euro’s, maar vooral in het vertrouwen van je klanten.
Meer details over de verwerking en beveiliging van kantoordata vind je in het Codabox Trust Center.
