De dijken breken: datalekken leggen structureel gebrekkig databeheer bloot

De politie werd op 25 maart doelwit van phishing, Ajax ontdekte een datalek dankzij een journalist, en Mall of the Netherlands lekte loyaliteitsdata — drie incidenten in drie totaal verschillende sectoren, allemaal door onvoldoende menselijke en technische drempels. De breedte van de getroffenen toont dat geen sector immuun is. Organisaties die regelmatig phishing-simulaties en e-learning inzetten, bouwen de reflexen die deze week bij de politie-SOC wél werkten: snelle detectie en afsluiting.

Het AP-onderzoek naar Odido richt zich niet alleen op het lek zelf, maar op structureel te lang bewaren van klantdata — een verschuiving van incident- naar systeemhandhaving. Parallel dient GroenLinks-PvdA een motie in voor wettelijke nazorgplicht bij datalekken, en houdt de overheid vast aan 1 juli 2026 voor de Cyberbeveiligingswet. Organisaties die hun dataretentiebeleid en classificatie niet op orde hebben, lopen nu dubbel risico: handhaving én aanstaande NIS2-verplichtingen. De Document Scan van Documenten.nl brengt precies die lacunes in kaart.

De Copilot DLP-bug van februari is het scharnierpunt van de week: Microsoft's AI negeerde sensitivity labels en las vertrouwelijke e-mails, ondanks correct geconfigureerde DLP-policies. De fix rolt pas eind maart-april uit. Tegelijkertijd toont AP-rapport RAN 6 dat vier van negen AI-risicograadmeters nu op rood staan, en gebruikt 56 procent van de medewerkers AI zonder formeel beleid. De AI-gereedheidstoets van Documenten.nl helpt organisaties bepalen of hun classificatie AI-proof is — voordat de volgende bug toeslaat.