# Moeten we een ransomware-aanval melden volgens de AVG?

Vaak wel, als persoonsgegevens geraakt zijn, ook als er niets is gestolen. De AVG definieert in artikel 4, punt 12, een inbreuk in verband met persoonsgegevens als een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van of toegang tot persoonsgegevens. Versleuteling door ransomware maakt gegevens onbeschikbaar, een inbreuk op de beschikbaarheid, en aanvallers kopiëren vaak data voordat ze versleutelen. Volgens artikel 33 meldt de verwerkingsverantwoordelijke de inbreuk zonder onredelijke vertraging en zo mogelijk binnen 72 uur nadat hij er kennis van kreeg bij de toezichthouder, tenzij het niet waarschijnlijk is dat de inbreuk een risico voor personen inhoudt, bijvoorbeeld omdat een recente back-up alles snel herstelde en er niets het netwerk verliet. Leg de redenering in beide gevallen vast. NetSenX kan laten zien of er vóór de versleuteling ongewone uploads van bewaakte apparaten vertrokken, wat voor die beoordeling telt.

Algemene informatie, geen juridisch advies. Nationale wetten kunnen de hier aangehaalde EU-teksten aanvullen, bijvoorbeeld met termijnen, formulieren of meldkanalen: controleer de regels van uw eigen land.

FAQ: [Meldtermijnen](https://netsenx.com/nl/faq/reporting) · https://netsenx.com/nl/faq/do-we-have-to-report-ransomware-under-the-gdpr

## Lees verder

- https://netsenx.com/nl/nis2-incident-reporting-deadlines
- https://netsenx.com/nl/nis2-network-monitoring

## Gerelateerde vragen

- [Als de gestolen gegevens versleuteld waren, moeten we dan toch melden?](https://netsenx.com/nl/faq/if-stolen-data-was-encrypted-must-we-still-notify)
- [We halen de AVG-melding niet binnen 72 uur. Mogen we in fasen of te laat melden?](https://netsenx.com/nl/faq/we-cannot-meet-72-hours-can-we-notify-in-phases)
- [Wanneer begint de AVG-termijn van 72 uur te lopen?](https://netsenx.com/nl/faq/when-does-the-gdpr-72-hour-clock-start)
- [Eén incident, meerdere meldingen: hoe verhouden NIS2, de AVG en DORA zich?](https://netsenx.com/nl/faq/one-incident-several-reports-nis2-gdpr-dora)
- [Wat is een ernstig ICT-gerelateerd incident onder DORA?](https://netsenx.com/nl/faq/what-is-a-major-ict-incident-under-dora)