Cyberrisico's bij vastgoedbeheer software: Hoe veilig zijn de gegevens van je huurders?

Stap 1: Check de basisbeveiliging van je softwareleverancier

Voordat je überhaupt begint met typen, moet je weten wie de poortwachter is. Veel vastgoedbeheer software aanbieders beloven gouden bergen, maar de basis moet kloppen. Je hoeft geen IT-expert te zijn om dit te controleren.

1. Is het ISO 27001 gecertificeerd?
   Dit is de wereldwijde standaard voor informatiebeveiliging. Vraag dit na bij de helpdesk of check hun website. Als ze dit niet hebben, ren weg. Dit certificaat kost hun handen vol geld en moeite, dus als ze dat niet over hebben voor hun beveiliging, doen ze het ook niet voor jouw data.
2. Waar staan de servers?
   Je data moet in de EER (Europese Economische Ruimte) staan. Vraag expliciteit: "Staan mijn gegevens op servers in Amsterdam of Frankfurt?" Als ze servers in de VS gebruiken (bijvoorbeeld via AWS), val je onder andere wetgeving en loop je risico's. Dit is cruciaal voor je privacy compliance.
3. Hoe vaak doen ze penetratietesten?
   Laat je niet afschepen met "we hebben een firewall". Vraag: "Hoe vaak laten jullie ethische hackers proberen in te breken?" Een goed antwoord is minimaal 1 keer per jaar, bij voorkeur vaker. Ze mogen best delen dat ze "regelmatig" getest worden, maar vraag naar de frequentie.

Stap 2: Jij bent de sleutel: Beheer je eigen wachtwoorden en toegang

De beste sloten op de wereld helpen niet als jij de sleutel onder de deurmat legt. Jij en je eventuele medewerkers zijn het zwakke schakel. Zorg dat je eigen gedrag waterdicht is.

1. Activeer 2FA (Twee-Factor Authenticatie) overal.
   Dit is niet optioneel. Als je software dit aanbiedt (vaak via een app zoals Google Authenticator of Authy), zet het direct aan. Het werkt zo: je typt je wachtwoord én een code van je telefoon. Kost 10 seconden extra, maar een hacker heeft dan echt een supercomputer nodig. Zet dit ook aan voor je e-mailaccount, want daar reset je wachtwoorden mee.
2. Gebruik wachtwoorden die je niet onthoudt.
   Gebruik een wachtwoordmanager (zoals 1Password of Bitwarden). Maak voor elke inlog een wachtwoord van minimaal 20 tekens, met letters, cijfers en symbolen. Dus niet "Vastgoed123", maar "K@sp3r_de-Hu-r!3-2024". Je hoeft het niet te onthouden, de manager doet het werk.
3. Rolgebaseerd toegang geven (RBAC).
   Geef je boekhouder of beheerder geen volledige toegang. De meeste software (van merken als RealWorks of Yardi) heeft opties voor rollen. Geef iemand die alleen huurincasso doet, geen toegang tot de huurcontracten of persoonlijke data van andere huurders. Minder toegang = minder schade bij een hack.

Stap 3: De gegevens van je huurder (AVG / GDPR)

Hier gaat het om de harde knikkers. Je huurder geeft je zijn BSN, IBAN, salarisstroken en misschien wel medische gegevens voor een WWS-registratie.

Jij bent volgens de AVG (Algemene Verordening Gegevensbescherming) de 'verwerkingsverantwoordelijke'. Dat betekent: jij bent verantwoordelijk, ook als de softwareleverancier iets verprutst.

1. Sluit een Data Processing Agreement (DPA) af.
   Dit is een contractje waarin de softwareleverancier belooft alleen te doen wat jij zegt en je data te beschermen. Dit is wettelijk verplicht. Vraag erom. Als ze geen DPA hebben, mag je hun software niet gebruiken voor persoonsgegevens. Punt.
2. Verwijder data die je niet meer nodig hebt.
   Waarom bewaar je nog een huurcontract van een huurder die 7 jaar geleden vertrokken is? De Belastingdienst wil meestal 7 jaar bewaren voor je Box 3 aangifte. Maar daarna? Verwijder het. Hoe minder data, hoe kleiner de schade bij een datalek. Plan een jaarlijkse "schoonmaakdag" in je agenda.
3. Check de toestemming van je huurder.
   Bewaar je BSN-nummers? Vraag je huurder om schriftelijke toestemming (via e-mail is goed) waarom je het nodig hebt. Zeg niet zomaar "ik heb het nodig voor de verhuurhypotheek". Leg uit: "Ik heb je BSN nodig voor de belastingaangifte Box 3." Transparantie bouwt vertrouwen op.

Stap 4: Wees voorbereid op het ergste: Een datalek

Het gebeurt de besten. Een hacker komt binnen, of een medewerker klikt op een verkeerde link.

Paniek is niet nodig, maar je hebt een plan nodig. Een datalek betekent dat er onbevoegden toegang hebben gekregen tot persoonsgegevens.

1. Ken de 72-uursregel.
   Zodra je weet van een lek, moet je het binnen 72 uur melden bij de Autoriteit Persoonsgegevens (AP). Niet volgende week, niet morgen, maar binnen 3 dagen. De klok tikt vanaf het moment dat je het ontdekt. Als je te laat bent, volgen hoge boetes (tot 4% van je jaaromzet, al ben je als particulier belegger natuurlijk geen miljardenbedrijf).
2. Informeer je huurders direct.
   Als het lek "hoog risico" is (bijvoorbeeld wachtwoorden of BSN-nummers), moet je niet alleen de AP bellen, maar ook je huurders. Zeg eerlijk wat er is gebeurd. "Er is ingebroken in onze software, uw BSN is mogelijk gestolen." Liever een boze huurder dan een huurder die het via de krant leest.
3. Houd een logboek bij.
   Schrijf alles op: wanneer merkte je het op, wie heb je gebeld, wat deed de leverancier? Dit is je bewijslast dat je je best hebt gedaan. De softwareleverancier moet je kunnen vertellen wie er wanneer is ingelogd (audit trail).

Stap 5: Verzekeringen en contracten: Wie betaalt de schade?

Stel, het is gebeurd. Je huurder eist schadevergoeding omdat zijn identiteit is gestolen, of je krijgt te maken met agressieve huurders en veiligheidsproblemen.

Of je moet boetes betalen. Wie draait er op?

Dit hangt af van je contracten en de juiste aansprakelijkheidsverzekering voor verhuurders.

1. Check je Aansprakelijkheidsverzekering (AVB).
   De meeste particuliere AVB's dekken geen zakelijke aansprakelijkheid. Als je een eenmanszaak hebt of via een BV belegt, heb je een Bedrijfsaansprakelijkheidsverzekering (BVA) nodig. Check de polisvoorwaarden: staat er "cyber" of "privacy" in? Waarschijnlijk niet. Dan moet je een aparte Cyberverzekering afsluiten.
2. Lees de algemene voorwaarden van je software.
   Daarin staat vaak een 'aansprakelijkheidsuitsluiting'. Ze beloven "best effort" maar zijn nooit aansprakelijk voor indirecte schade. Dit betekent dat als zij een lek hebben, zij misschien je abonnementsgeld terugbetalen, maar niet de schadevergoeding aan je huurder. Dat risico blijft bij jou.
3. Vraag je softwareleverancier naar hun verzekering.
   Hebben zij een beroepsaansprakelijkheidsverzekering? Vraag erom. Een gerenommeerde partij heeft dit wel, een goedkope startup waarschijnlijk niet. Dit zegt veel over hun professionaliteit.

Stap 6: De verificatie-checklist

Goed, je bent nu een stuk wijzer. Maar wat moet je vandaag nog doen?

Print deze lijst uit of kopieer hem naar een document. Vink ze af, één voor één.

• [ ] Certificaten: Ik heb gecontroleerd of mijn softwareleverancier ISO 27001 gecertificeerd is.
• [ ] Serverlocatie: Ik weet waar mijn data staat (en het is binnen de EU).
• [ ] 2FA: Twee-factor authenticatie staat aan op mijn account én mijn e-mail.
• [ ] Wachtwoorden: Ik gebruik unieke, sterke wachtwoorden via een wachtwoordmanager.
• [ ] Rollen: Ik heb gecontroleerd wie toegang heeft tot welke data in de software.
• [ ] DPA: Ik heb een Data Processing Agreement ondertekend met de leverancier.
• [ ] Opslag: Ik heb gekeken naar oude data die ik kan verwijderen (na 7 jaar).
• [ ] Verzekering: Mijn Bedrijfsaansprakelijkheidsverzekering (of Cyberverzekering) dekt privacy-schade.
• [ ] Plan B: Ik weet wie ik moet bellen als ik een lek vermoed (leverancier en AP).

Zo weet je zeker dat je geregeld bent. Veiligheid is geen eenmalige klus, het is een gewoonte. Net als het controleren van je verhuurhypotheekrente of het bijhouden van je Box 3 aangifte.

Doorloop deze stappen eens per kwartaal. Zo blijft je vastgoedportefeuille niet alleen financieel gezond, maar ook technisch veilig. Het advies van een onafhankelijke expert is daarbij goud waard; rustig slapen is immers ook wat waard, toch?