Essentiele gids voor dataversleuteling in het MKB in 2026

Een klein bedrijf heeft versleuteling nodig op vier plekken: op apparaten van medewerkers (FileVault op Mac, BitLocker op Windows 11 Pro), in cloudopslag (Google Workspace CSE, Microsoft 365 versleuteld in rust, Cryptomator voor eigen cloud), in e-mail (S/MIME via Microsoft 365 E3 of ProtonMail Business), en voor bestandsoverdrachten naar klanten (HexaTransfer, Tresorit Send, SwissTransfer). De totale maandelijkse kosten voor een team van 10 liggen tussen de €75 en €280, afhankelijk van welke diensten je kiest. Je hebt geen beveiligingsdirecteur nodig om dit op te zetten — je hebt een weekend en een checklist nodig.

De wettelijke ondergrens die de meeste mkb-bedrijven missen

De AVG geldt voor elk bedrijf dat gegevens van EU-burgers verwerkt, ongeacht de bedrijfsgrootte — er is geen mkb-vrijstelling, alleen verminderde meldingsverplichtingen onder Artikel 30(5) voor organisaties met minder dan 250 medewerkers. HIPAA dekt elke zorgverlener, ongeacht het personeelsbestand. PCI DSS 4.0 is van toepassing zodra je een creditcardnummer aanraakt.

Versleuteling is in de meeste van deze regelgevingen niet expliciet verplicht, maar het is het goedkoopste mechanisme voor veilige haven. Onder AVG Artikel 34(3)(a) vervallen meldingsverplichtingen wanneer gegevens "onbegrijpelijk" zijn gemaakt door versleuteling. Die berekening alleen al rechtvaardigt vaak de kosten van de tools.

Apparaatversleuteling: gratis en verplicht

FileVault (macOS) en BitLocker (Windows 11 Pro) zijn gratis en standaard ingeschakeld op de meeste nieuwe hardware. Beide gebruiken AES-XTS-128 of AES-XTS-256. Jouw taak is te controleren of het daadwerkelijk is ingeschakeld op elke laptop:

macOS: Systeeminstellingen → Privacy & beveiliging → FileVault
Windows: Instellingen → Privacy & beveiliging → Apparaatversleuteling
Linux: LUKS2 met cryptsetup, doorgaans geconfigureerd bij installatie

Sla herstelsleutels op in een wachtwoordmanager of 1Password Teams-kluis, niet in een spreadsheet of op een memo. Een gestolen onversleutelde laptop met klantpersoonsgegevens leidt tot een volledige AVG Artikel 33-melding binnen 72 uur — minimaal een boete van vier cijfers, plus reputatieschade.

Cloudopslag: providerversleuteling versus clientzijdige versleuteling

Google Workspace, Microsoft 365 en Dropbox Business versleutelen gegevens in rust (AES-256) en in doorvoer (TLS 1.3). Maar zij bewaren de sleutels. Een rechtbankbevel, een onbetrouwbare medewerker of een providerinbreuk stelt leesbare tekst bloot. Voor de meeste mkb-bedrijven is deze door de provider beheerde versleuteling voldoende — jouw dreigingsmodel is waarschijnlijk ransomware en verloren laptops, niet staatsniveau-tegenstanders.

Schakel over naar clientzijdige versleuteling voor alles wat gereguleerd is. Google Workspace Client-Side Encryption (CSE) laat je een sleutelbeheerserver van Thales of Fortanix integreren zodat Google alleen versleutelde tekst opslaat. Microsoft biedt Double Key Encryption (DKE) in de E5-versie. Onder dat prijspunt wikkelt Cryptomator (eenmalig €5 mobiel, gratis desktop) elke cloud transparant in AES-256-GCM.

E-mailversleuteling zonder technische expertise

Mkb-bedrijven hebben drie praktische opties:

ProtonMail Business (€7,99/gebruiker/maand): E2EE standaard tussen ProtonMail-gebruikers, met wachtwoord beveiligde berichten voor externe ontvangers, PGP-export voor gevorderde gebruikers.
Microsoft 365 Message Encryption (inbegrepen bij E3): webportal-gebaseerde versleutelde e-mail voor externe ontvangers, S/MIME binnen de tenant.
Tutanota Business (€3/gebruiker/maand): EU-gebaseerd, E2EE voor onderwerpregels en inhoud, agenda en contactpersonen inbegrepen.

Voor communicatie op contractniveau met advocatenkantoren of accountants zijn ProtonMail of S/MIME via M365 voldoende. De valkuil is het gebruik van gewone Gmail voor gevoelige zaken in de hoop dat TLS voldoende bescherming biedt — dat doet het niet, want Gmail zelf leest elk bericht.

Bestandsoverdracht naar klanten

E-mailbijlagelimieten (25 MB bij Gmail, 20 MB bij Outlook.com) drijven elk bedrijf naar een bestandsoverdracht-oplossing. De keuzes die je compliant houden:

HexaTransfer: clientzijdige AES-256-GCM, 10 GB per overdracht, geen account vereist, verloopdatum na 7 dagen. De gratis versie dekt de meeste mkb-behoeften.
Tresorit Send: E2EE, gratis versie 5 GB, onbeperkt bij Business (€13/gebruiker/maand).
SwissTransfer: 50 GB per overdracht, optionele E2EE-modus, gehost door Infomaniak in Zwitserland.
WeTransfer Pro: 20 GB, wachtwoordbeveiliging, maar niet end-to-end versleuteld — bestanden zijn leesbaar door WeTransfer-servers.

Controleer voor HIPAA-workflows of de dienst een Business Associate Agreement wil ondertekenen. Controleer voor de AVG waar de servers zich bevinden — Artikel 44 beperkt overdrachten buiten de EER zonder specifieke waarborgen.

Wachtwoordbeheer als onderdeel van de versleutelingslaag

Elk versleutelingsgereedschap is afhankelijk van een geheim: een apparaatwachtwoord, een kluissleutel, een gedeeld overdrachtwachtwoord. Als medewerkers Zomer2025! overal gebruiken, is de cryptografie theater. Stel 1Password Teams (€7,99/gebruiker/maand), Bitwarden Business (€6/gebruiker/maand) of Dashlane Business (€8/gebruiker/maand) in voordat je iets anders uitrolt. Alle drie gebruiken AES-256-GCM lokaal met PBKDF2 of Argon2id sleutelafleiding.

Verplicht meervoudige verificatie (Microsoft Authenticator, ingebouwde TOTP van 1Password of hardware YubiKeys voor €50 per stuk) op beheerdersaccounts minimaal, bij voorkeur overal. Een gelekt wachtwoord zonder meervoudige verificatie is hoe 80% van de mkb-inbreuken daadwerkelijk plaatsvindt — niet via exotische cryptanalyse.

Een realistisch 30-dagenplan

Week 1: controleer elke laptop, verifieer FileVault/BitLocker, leg vast wie wat beheert. Week 2: stel een wachtwoordmanager in en migreer gedeelde inloggegevens uit spreadsheets. Week 3: kies een versleutelde e-mail- en bestandsoverdracht-oplossing, train het team op beide. Week 4: schrijf een eenpaginaig gegevensbeleid dat beschrijft welk hulpmiddel voor welk type bestand wordt gebruikt, en voer een tafeloefeningssimulatie uit alsof een laptop is gestolen. Herhaal elk kwartaal.

Budgetoverzicht voor 10 personen

| Laag | Product | Maandelijks | |---|---|---| | Apparaten | FileVault / BitLocker | €0 | | Wachtwoordmanager | 1Password Teams | €75 | | Cloud + e-mail | Google Workspace Business Standard | €135 | | Versleutelde e-mail | ProtonMail Business (5 leidinggevenden) | €40 | | Bestandsoverdracht | HexaTransfer (gratis) | €0 | | MFA-hardware | YubiKey 5 (eenmalig, afgeschreven) | €40 | | Totaal | | ~€290 |

Laat ProtonMail weg en je zit onder de €255 — de kosten van één uur bij een incidentresponsconsultant. Probeer het op hexatransfer.com — gratis, zonder account, tot 10 GB.