MKB-beveiligingschecklist
Kort antwoord
Vijf dingen bepalen het grootste deel van je risico: unieke wachtwoorden met 2FA op elk zakelijk account, SPF/DKIM/DMARC op je maildomein, een bijgewerkte website zonder overbodige plugins, back-ups die je ook echt hebt getest, en een opgeschreven plan voor wie je belt als het toch misgaat. Loop ze in deze volgorde door — elke stap kost minder tijd dan de vorige.
Deze checklist is geen volledige beveiligingsaudit — die bestaat niet in één ochtend. Het zijn de vijf maatregelen die, in de praktijk, het grootste deel van het risico voor een klein bedrijf wegnemen, in de volgorde waarin ze het meeste opleveren voor de tijd die ze kosten. Loop ze één keer door, en zet daarna een vast moment per kwartaal om ze opnieuw te checken.
Wil je ook weten of je bedrijf aan een wet als NIS2 moet voldoen? Dat valt buiten deze checklist — /ondernemers/nis2-eenvoudig-uitgelegd/ legt uit wat die wet inhoudt en waar je dat voor jouw bedrijf kunt checken.
Wil je deze checklist uitprinten en bij de administratie leggen? Download de MKB-beveiligingschecklist als PDF, of bekijk 'm eerst op /gidsen/mkb-beveiligingschecklist/.
Bronnen
Bijgewerkt 7 november 2026.
De vijf stappen
1
Unieke wachtwoorden en 2FA op elk zakelijk account
Een wachtwoordmanager voor het team en tweestapsverificatie op mail, hosting, boekhouding en alle andere zakelijke inloggen. Zie /basis/wachtwoordmanager/ en /basis/tweestapsverificatie/ voor hoe dat werkt.
2
SPF, DKIM en DMARC op je maildomein
Zonder deze drie DNS-records kan iedereen mail versturen die eruitziet als die van jouw bedrijf. /ondernemers/mail-beveiliging/ legt uit wat ze doen en hoe je ze checkt.
3
Website en plugins up-to-date
Een verouderd CMS of een vergeten plugin is de meest gebruikte ingang voor een hack. /ondernemers/website-beveiliging-en-back-ups/ zet de basis op een rij.
4
Back-ups die je ook echt getest hebt
Een back-up die je nooit hersteld hebt, is een aanname, geen back-up. Dezelfde gids als hierboven beschrijft hoe vaak en hoe je dat test.
5
Een opgeschreven 'wie bellen we'-plan
Eén A4 met namen en telefoonnummers: wie belt de hoster, wie belt een IT'er, wie informeert klanten. /ondernemers/cyberaanval-ransomware-noodplan/ werkt dit uit voor als het toch misgaat.
Veelgestelde vragen
We hebben maar twee medewerkers. Is dit overkill?
Nee — juist een klein team heeft geen vangnet van een IT-afdeling als er iets misgaat. De vijf stappen hierboven zijn met opzet beperkt tot wat echt verschil maakt, niet een lange lijst nice-to-haves.
Hoe vaak moeten we dit herhalen?
Eén keer grondig, daarna elk kwartaal een korte check: nieuwe medewerkers op de wachtwoordmanager, een blik op de mailrecords, en controleren of de laatste back-up daadwerkelijk werkt.
We laten onze website door een derde partij beheren. Moeten we dit dan nog zelf doen?
Vraag die partij expliciet te bevestigen dat updates, back-ups en de mailrecords onder hun contract vallen — 'beheer' betekent niet overal hetzelfde. Staat het er niet expliciet in, ga er niet van uit dat het gebeurt.
Wat als we een van deze punten niet zelf kunnen uitvoeren?
Mailbeveiliging en de checklist zelf zijn te volgen zonder technische achtergrond; voor website-onderhoud en back-ups kun je dat laten uitvoeren — zie /ondernemers/website-beveiliging-en-back-ups/.