Een medewerker voert zijn wachtwoord in op een overtuigende nep-inlogpagina. Binnen enkele minuten leest een aanvaller mee in e-mail, downloadt hij offertes en stuurt hij namens de directeur een betaalverzoek. Dit soort incidenten begint zelden met een technisch ingewikkelde aanval. Vaak is één buitgemaakt wachtwoord genoeg. De vraag is MFA verplicht is daarom voor veel mkb-bedrijven niet alleen juridisch, maar vooral bedrijfskritisch.
Het korte antwoord: er is in Nederland geen algemene wet die zegt dat ieder bedrijf voor elke applicatie verplicht multifactorauthenticatie moet gebruiken. Toch kan MFA in de praktijk wel noodzakelijk zijn om aan wetgeving, contractuele eisen, verzekeringsvoorwaarden of een zorgplicht voor informatiebeveiliging te voldoen. Bovendien is het voor accounts met toegang tot Microsoft 365, cloudapplicaties, financiële systemen en klantgegevens inmiddels een van de meest logische basismaatregelen.
Is MFA verplicht volgens de Nederlandse wet?
MFA, of multifactorauthenticatie, vraagt naast een wachtwoord om een extra bewijs dat iemand daadwerkelijk de juiste gebruiker is. Dat kan een goedkeuring in een authenticator-app zijn, een beveiligingssleutel, een vingerafdruk of gezichtsherkenning. Een sms-code kan ook, maar biedt minder bescherming tegen bijvoorbeeld sim-swapping en onderschepping.
De AVG noemt MFA niet letterlijk als verplichte maatregel. Artikel 32 van de AVG verplicht organisaties wel om passende technische en organisatorische maatregelen te nemen om persoonsgegevens te beveiligen. Wat passend is, hangt af van het risico. Hoe gevoeliger de gegevens, hoe groter de mogelijke schade bij misbruik en hoe afhankelijker uw organisatie is van digitale systemen, des te zwaarder de beveiligingseis.
Voor een gedeelde agenda met weinig gevoelige informatie ligt die afweging anders dan voor een mailbox met personeelsdossiers, financiële gegevens en klantcontracten. Als een wachtwoord alleen onvoldoende bescherming biedt tegen een reëel en bekend risico, kan MFA nodig zijn om aan de AVG-verplichting tot passende beveiliging te voldoen. De vraag is dus niet alleen of MFA letterlijk in de wet staat, maar of u zonder MFA redelijkerwijs kunt aantonen dat uw toegang goed beveiligd is.
Voor sommige organisaties gelden aanvullende kaders. Denk aan bedrijven die onder de NIS2-regelgeving en de Nederlandse uitwerking daarvan vallen, aan financiële instellingen met DORA-verplichtingen of aan organisaties in de zorg en overheid. Deze regels schrijven niet altijd precies één authenticatiemethode voor, maar vragen wel om aantoonbare risicobeheersing en passende toegangsbeveiliging. MFA is dan vaak een voor de hand liggende maatregel, zeker voor externe toegang en beheerdersaccounts.
Ook buiten wetgeving kunnen afspraken doorslaggevend zijn. Klanten vragen in aanbestedingen steeds vaker naar MFA, leveranciers stellen eisen aan beheerdersportalen en cyberverzekeraars kunnen MFA verlangen voor e-mail, externe toegang en financiële systemen. Voldoet u niet aan die voorwaarde, dan kan dat gevolgen hebben voor dekking of uitkering na een incident.
Wanneer is MFA feitelijk onmisbaar?
Voor de meeste mkb-organisaties is MFA niet overal even urgent, maar op enkele plekken is uitstel moeilijk te verdedigen. E-mail staat bovenaan. Een mailbox is vaak de sleutel tot wachtwoordresets, offertes, facturen, agenda’s en interne communicatie. Wie toegang krijgt tot één account, kan bovendien geloofwaardige fraude plegen onder de naam van een medewerker of directeur.
Ook Microsoft 365, cloudopslag, VPN-verbindingen, remote-desktoptoegang, boekhoudsoftware, CRM-systemen en beheerdersaccounts verdienen MFA. Bij deze systemen is de impact van misbruik groot: stilstand, dataverlies, fraude, reputatieschade of een datalek. Voor beheerdersaccounts geldt een nog strengere norm. Zij kunnen instellingen wijzigen, accounts aanmaken en beveiliging uitschakelen. Daar is MFA geen luxe, maar een minimale drempel.
Let ook op uitzonderingen die ongemerkt een achterdeur vormen. Denk aan oude protocollen die alleen met gebruikersnaam en wachtwoord werken, gedeelde accounts, serviceaccounts en apparaten die buiten het zicht van centraal beheer vallen. Als u MFA invoert maar zulke uitzonderingen onbeheerd laat bestaan, blijft het risico aanwezig. Goede beveiliging gaat niet alleen over de instelling aanvinken, maar over grip op alle toegangswegen.
MFA is meer dan een vinkje in Microsoft 365
Veel organisaties zetten MFA aan in Microsoft 365 en beschouwen het onderwerp vervolgens als afgerond. Dat is begrijpelijk, maar te beperkt. Een aanvaller kan gebruikers misleiden om een inlogverzoek goed te keuren, sessiecookies stelen of misbruik maken van zwakke herstelprocedures. Vooral MFA-moeheid, waarbij gebruikers herhaaldelijk meldingen ontvangen totdat zij uit irritatie op goedkeuren drukken, is een bekend risico.
De gekozen methode maakt daarom verschil. Een authenticator-app met nummerherkenning is doorgaans veiliger dan een simpele pushmelding. Voor functies met verhoogde rechten of toegang tot zeer gevoelige informatie kunnen phishingbestendige methoden, zoals FIDO2-beveiligingssleutels of passkeys, passend zijn. Dat vraagt iets meer voorbereiding, maar verkleint het risico op phishing aanzienlijk.
Tegelijkertijd moet beveiliging werkbaar blijven. Een monteur die onderweg snel een werkbon moet openen, heeft andere behoeften dan een financieel medewerker die betalingen autoriseert. Het doel is niet om medewerkers zoveel mogelijk drempels op te leggen, maar om extra verificatie te vragen wanneer het risico dat rechtvaardigt. Locatie, apparaatstatus, gebruikersrol en het type applicatie kunnen daarbij meewegen.
MFA invoeren zonder onnodige onrust
Een gefaseerde invoering voorkomt dat MFA wordt ervaren als een plotselinge blokkade. Begin met inzicht: welke accounts bestaan er, welke systemen bevatten kritieke informatie en wie heeft beheerdersrechten? Dit overzicht laat vaak direct zien waar de grootste risico’s zitten en welke accounts niet langer nodig zijn.
Vervolgens werkt deze aanpak voor veel mkb-bedrijven goed:
- Beveilig eerst beheerdersaccounts en e-mail. Daarmee verkleint u direct de kans op grootschalig misbruik en accountovernames.
- Kies een passende verificatiemethode. Geef waar mogelijk de voorkeur aan een authenticator-app, nummerherkenning en voor kritieke rollen phishingbestendige authenticatie.
- Communiceer vóór de activatie. Leg kort uit waarom MFA nodig is, wat medewerkers moeten doen en waar zij hulp krijgen als een telefoon kwijt is of vervangen wordt.
- Breid gecontroleerd uit naar andere systemen. Test per applicatie of gebruikers, serviceaccounts en koppelingen blijven functioneren. Documenteer geaccordeerde uitzonderingen.
Communicatie verdient hierbij meer aandacht dan vaak wordt gedacht. Medewerkers zijn geen zwakke schakel die gecorrigeerd moet worden, maar mensen die hun werk moeten kunnen doen. Een duidelijke uitleg over herkenbare phishingmails, onverwachte MFA-meldingen en de meldroute bij twijfel maakt MFA effectiever. Wie begrijpt waarom een melding verschijnt, keurt minder snel een aanval goed.
Regel ook het herstelproces. Wat gebeurt er als een medewerker zijn telefoon verliest, als een directeur in het buitenland geen toegang heeft of als de authenticator-app niet meer werkt? Een veilig proces voor identiteitscontrole en herstelcodes voorkomt paniek én voorkomt dat medewerkers onveilige omwegen zoeken. Bewaar daarnaast noodaccounts zorgvuldig, met sterke beveiliging en strikte controle. Deze accounts zijn bedoeld voor calamiteiten, niet voor dagelijks gebruik.
Aantoonbaarheid is net zo belangrijk als techniek
Als een klant, auditor, verzekeraar of toezichthouder vragen stelt, wilt u niet hoeven zeggen dat MFA ‘volgens ons wel aanstaat’. U wilt kunnen laten zien welke systemen MFA vereisen, welke methode wordt gebruikt, welke uitzonderingen bestaan en wie die heeft goedgekeurd. Combineer dat met periodieke controles op beheerdersrechten, inlogactiviteiten en oude accounts.
Dat betekent niet dat ieder mkb-bedrijf een zwaar complianceprogramma nodig heeft. Een helder toegangsbeleid, een actueel overzicht van kritieke systemen en een vaste controlecyclus brengen al veel structuur. Voor organisaties zonder eigen IT-afdeling kan een managed IT-partner helpen om die controles niet te laten verdwijnen tussen dagelijkse tickets en projecten. Nexer kijkt daarbij niet alleen naar de technische instelling, maar ook naar de continuïteit van de mensen en processen eromheen.
De juiste vraag is: welk risico accepteert u?
MFA is niet in alle situaties op exact dezelfde manier wettelijk verplicht. Maar voor toegang tot e-mail, cloudomgevingen, externe verbindingen en systemen met gevoelige of financiële gegevens is het inmiddels moeilijk uit te leggen waarom u alleen op wachtwoorden vertrouwt. De kosten van invoering zijn meestal beperkt. De gevolgen van één overgenomen account kunnen dat allerminst zijn.
Kies daarom niet voor MFA omdat het moet van een checklist, maar omdat uw organisatie bereikbaar, betrouwbaar en operationeel moet blijven. Begin bij de accounts waar één fout direct grote gevolgen heeft. Daarmee maakt u beveiliging concreet: minder kans op stilstand, meer grip op toegang en ruimte om zonder digitale zorgen verder te groeien.
