Cyberaanval bij SRA: waarom een incident bij je brancheorganisatie ook jouw risico is

Brancheorganisatie SRA, het samenwerkingsverband van zelfstandige accountantskantoren in Nederland, meldde medio april 2026 dat zij is getroffen door een cyberaanval. Daarmee is opnieuw pijnlijk zichtbaar wat veel organisaties onderschatten: een incident bij een koepel, brancheorganisatie of leverancier stopt niet bij de poort van die ene partij, maar werkt door in de hele keten.

Kort samengevat

• SRA, de netwerkorganisatie voor zelfstandige accountantskantoren, communiceerde in april 2026 zelf over een cyberaanval op de eigen omgeving.
• Aangesloten kantoren en hun klanten zijn geen toeschouwer: zij moeten zelf beoordelen of hun gegevens of hun processen geraakt zijn.
• Rond dezelfde periode signaleerden vakmedia dat datalekken vaak ontstaan doordat er te weinig controle is op wie bij welke gegevens kan.
• Onder NIS2 en de AVG is de kern hetzelfde: je blijft verantwoordelijk voor gegevens en processen die je bij derden onderbrengt.
• De praktische les: leg vooraf vast wat een leverancier of koepel moet doen bij een incident, en test of jouw eigen detectie en herstel echt werken.

Wat is er precies gebeurd?

SRA is het samenwerkingsverband van zelfstandige accountantskantoren en vervult daarbinnen een centrale rol: kennis, vaktechniek, opleidingen en gedeelde voorzieningen. In april 2026 publiceerde SRA een bericht dat de organisatie is getroffen door een cyberaanval.

Over toedracht, aanvalstechniek en omvang was op het moment van schrijven weinig publiek bekend. Dat is normaal in de eerste dagen na een incident: onderzoek loopt, forensische partijen zijn bezig en communicatie gaat stap voor stap. Voor lezers geldt dus: baseer je op de officiële kanalen van de betrokken organisatie en niet op geruchten. Wij noemen hier daarom bewust geen aantallen, geen namen van aanvallers en geen aannames over gestolen gegevens.

Waar het ons om gaat, is de structuur achter dit soort nieuws. Want die structuur is voorspelbaar, ook als de details dat niet zijn.

Waarom raakt een incident bij een brancheorganisatie ook jouw organisatie?

Een koepel of brancheorganisatie is vaak een knooppunt. Er komen ledengegevens samen, cursusadministraties, mailinglijsten, portalen met documenten en soms zelfs inhoudelijke dossiers. Dat maakt zo’n organisatie interessant voor aanvallers: één inbraak levert toegang tot informatie over veel organisaties tegelijk.

Drie manieren waarop een incident bij een derde partij doorwerkt

• Gegevens. Contactgegevens, functies, e-mailadressen en documenten van jouw organisatie kunnen bij die derde partij staan. Als daar iets uitlekt, is dat jouw informatie die op straat ligt.
• Vertrouwen en misbruik. Communicatie vanuit een bekende brancheorganisatie wordt bijna automatisch geopend. Aanvallers weten dat en gebruiken gestolen context voor gerichte phishing die veel geloofwaardiger is dan een standaardmail.
• Continuïteit. Als portalen, tooling of ondersteunende diensten uitvallen, staan processen bij jou stil. Dan is niet de vraag wie schuldig is, maar hoe lang jij het volhoudt zonder die dienst.

Wat zegt dit over de oorzaak van datalekken?

In dezelfde periode werd in vakmedia gesignaleerd dat datalekken regelmatig te herleiden zijn naar te weinig controle: onvoldoende zicht op wie toegang heeft tot welke gegevens en te ruime rechten die na verloop van tijd nooit meer worden opgeschoond. Dat sluit aan bij wat wij in de praktijk zien bij audits en pentesten.

Typische patronen die we tegenkomen:

• Accounts van oud-medewerkers of oud-leveranciers die nog actief zijn.
• Beheeraccounts zonder tweefactorauthenticatie, vaak op oudere systemen of koppelingen.
• Gedeelde inloggegevens voor portalen, waardoor niet te herleiden is wie wat heeft gedaan.
• Mappen en postbussen waar veel meer mensen bij kunnen dan nodig is voor hun werk.
• Exports en back-ups op plekken buiten het reguliere beheer.

Geen van deze punten is spectaculair. Samen vormen ze wel de route die een aanvaller het liefst neemt: geen dure exploit, maar een vergeten account met te veel rechten.

Wat betekent dit onder NIS2, ISO 27001 en de AVG?

NIS2 en de Cyberbeveiligingswet

De Nederlandse uitwerking van NIS2, de Cyberbeveiligingswet, wordt in 2026 verwacht. Berichtgeving wijst op invoering in het tweede kwartaal van 2026. De richtlijn zelf verplicht organisaties die eronder vallen tot risicobeheersing, waaronder expliciet de beveiliging van de toeleveringsketen. Ook geldt een gefaseerde meldplicht: een eerste melding kort na constatering, gevolgd door een uitgebreidere melding en later een eindrapportage. Onze uitleg over die termijnen vind je in het artikel over de meldplicht onder NIS2. Twijfel je of je in scope valt, gebruik dan de wegwijzer valt mijn organisatie onder NIS2.

De kern van ketenverantwoordelijkheid: je mag werk uitbesteden, maar geen verantwoordelijkheid. Wie leveranciers en koepels niet toetst, kan bij een incident niet aantonen dat er passende maatregelen waren. Hoe je dat toetsen praktisch aanpakt, staat in ons stappenplan voor de NIS2 supply chain audit.

ISO 27001 en NEN 7510

Werk je met ISO 27001 of, in de zorg, met NEN 7510, dan heb je hiervoor al een kader. Leveranciersbeheer, toegangsrechten, logging en incidentbeheer zijn beheersmaatregelen die je hebt geselecteerd en verantwoord in je Verklaring van Toepasselijkheid. Het verschil tussen papier en praktijk zit in de bewijslast: kun je aantonen dat rechten periodiek worden herzien en dat incidentmeldingen van derden bij jou landen bij iemand met mandaat?

AVG

Staan er persoonsgegevens bij de getroffen partij, dan is de vraag wie verwerkingsverantwoordelijke is en wie verwerker. Die rolverdeling bepaalt wie meldt, wie informeert en wie betrokkenen te woord staat. Dat is geen discussie die je tijdens een crisis wilt voeren, maar iets wat je vooraf vastlegt.

Wat kun je deze week concreet doen?

1. Breng je afhankelijkheden in kaart. Welke koepels, platforms en leveranciers hebben gegevens van jou of toegang tot jouw omgeving? Zonder die lijst is elk nieuwsbericht een gok.
2. Controleer je toegangsrechten. Verwijder accounts die niet meer nodig zijn, zet meervoudige authenticatie aan op alles wat van buiten bereikbaar is en schoon gedeelde logins op.
3. Zet phishingalertheid tijdelijk hoger. Na een incident in de sector volgen vaak mails die verwijzen naar dat incident. Waarschuw medewerkers gericht en meet daarna of het werkt met een phishing-simulatie.
4. Test je aannames technisch. Laat onderzoeken of jouw externe koppelingen, webapplicaties en Active Directory werkelijk weerstand bieden. Hoe je zo’n traject inricht, lees je in penetratietest laten uitvoeren.
5. Oefen het scenario. Wie besluit dat er gemeld wordt? Wie communiceert met klanten? Wat doe je als een portaal een week onbruikbaar is? Eén tafeloefening levert vaak meer op dan een nieuw beleidsdocument.

Van los incident naar aantoonbare weerbaarheid

Nieuws als dit veroorzaakt kortdurende drukte: vragen uit de directie, een spoedoverleg, een mail naar de leverancier. Twee weken later is de aandacht weer weg. Dat is precies waarom wij werken met een doorlopende aanpak in plaats van losse acties, met vaste, voorspelbare maandkosten en volledige ontzorging. Implementatie van normen en wetgeving, audits, awareness en pentesten lopen dan in één ritme, zodat verbeteringen blijven hangen.

Voor bestuur en directie werkt confrontatie beter dan uitleg. In onze NIS2-directietraining gaat een ethisch hacker live het dark web op en laat zien welke gegevens van jouw organisatie daar te vinden of te koop zijn. Wat zo’n sessie oplevert, illustreren we in het verhaal over een gestolen accountnaam op het dark web. Wil je eerst weten waar je staat, begin dan met een gratis vooronderzoek.

Veelgestelde vragen

Moet ik iets doen als mijn brancheorganisatie is gehackt en ik geen bericht kreeg?

Ja. Ga na welke gegevens en processen je bij die organisatie hebt ondergebracht, leg de vraag schriftelijk neer bij je contactpersoon en documenteer het antwoord. Verhoog tijdelijk de alertheid op phishing die naar het incident verwijst.

Ben ik aansprakelijk voor een datalek bij een leverancier?

Dat hangt af van je rol en je afspraken. Bij persoonsgegevens bepaalt de rolverdeling tussen verwerkingsverantwoordelijke en verwerker wie meldt en informeert. Onder NIS2 blijf je bovendien verantwoordelijk voor het beheersen van ketenrisico’s, ook als de fout elders is gemaakt.

Hoe voorkom ik dat vergeten accounts een ingang worden?

Door toegangsrechten periodiek te herzien, uitdiensttreding en leverancierswissels als vast proces te behandelen, meervoudige authenticatie te verplichten en gedeelde logins te vervangen door persoonlijke accounts met logging.

Is een pentest zinvol als het incident bij een derde partij plaatsvond?

Zeker. Aanvallers gebruiken informatie uit zo’n incident om jouw omgeving te benaderen. Een pentest op je externe koppelingen, webapplicaties en interne netwerk laat zien of die route bij jou daadwerkelijk ergens toe leidt.

Waar begin ik als er nog geen managementsysteem staat?

Begin klein en aantoonbaar: inventariseer je gegevens en leveranciers, regel toegangsbeheer en back-ups, en bouw daarna gestructureerd verder richting ISO 27001, NEN 7510 of de eisen uit de Cyberbeveiligingswet.