Waarom een VPN voor je bedrijf geen luxe meer is

Een datalek kost een Nederlands MKB-bedrijf gemiddeld €35.000. Dat blijkt uit cijfers van het CBS en de Autoriteit Persoonsgegevens. Voor veel kleine ondernemers is dat een bedreiging die de continuïteit in gevaar brengt. Toch werkt 63% van de Nederlandse ZZP'ers en kleine bedrijven zonder adequate beveiliging als ze buiten kantoor of thuis werken.

Een VPN (Virtual Private Network) versleutelt je internetverbinding. Dat klinkt technisch, maar het principe is simpel: je gegevens reizen door een beveiligde tunnel van jouw apparaat naar het internet. Niemand kan meekijken. Geen hackers op openbare wifi, geen internetprovider die bijhoudt welke websites je bezoekt, geen overheid die zonder rechterlijke toestemming meeleest.

Voor Nederlandse bedrijven speelt de AVG hier direct een rol. Verzend je klantgegevens via een onbeveiligde verbinding? Dan riskeer je een boete tot €20 miljoen of 4% van je jaaromzet. De AP deelde in 2025 tientallen boetes uit aan bedrijven die basisbeveiliging verwaarloosden.

Wanneer je bedrijf kwetsbaar is zonder VPN

Drie situaties maken bedrijven extra risicovol:

Thuiswerken en flexplekken. Sinds 2020 werkt 42% van Nederlandse werknemers minstens twee dagen per week thuis. Je thuisnetwerk heeft niet de beveiliging van een kantoornetwerk. Een aanvaller in dezelfde straat kan verkeer onderscheppen als je wifi zwak beveiligd is.

Openbare wifi. Werk je weleens in een café, op het station of bij een klant? Die gratis wifi-netwerken zijn onversleuteld. Iemand met basale technische kennis kan e-mails, wachtwoorden en klantgegevens meelezen. In 2024 demonstreerde een ethische hacker op Amsterdam Centraal hoe hij in 45 minuten 120 inloggegevens kon onderscheppen.

Externe medewerkers en ZZP'ers. Als je samenwerkt met freelancers die toegang hebben tot je systemen, creëer je toegangspunten. Eén onbeveiligde laptop van een ZZP'er kan het startpunt zijn van een aanval op jouw netwerk.

Toch ziet niet elk bedrijf direct de urgentie. Een fysiotheragiepraktijk met twee medewerkers denkt niet snel aan cybersecurity. Een webdesigner die alleen werkt al helemaal niet. Tot het mis gaat.

Hoe een VPN werkt voor zakelijk gebruik

De techniek achter een VPN is minder complex dan het jargon doet vermoeden. Je installeert software op laptops, telefoons of tablets. Die software maakt verbinding met een VPN-server voordat je naar het internet gaat. Al je verkeer loopt versleuteld door die server.

Een voorbeeld. Je zit in een hotel in Berlijn en wil inloggen op je boekhoudsoftware. Zonder VPN stuurt je laptop dat verzoek rechtstreeks via het hotelnetwerk. Met VPN gaat het verzoek eerst versleuteld naar een server in Amsterdam, en van daaruit naar je boekhouding. Het hotelnetwerk ziet alleen versleutelde data.

Voor zakelijk gebruik zijn drie elementen cruciaal:

Versleuteling. De standaard is AES-256, dezelfde encryptie die banken gebruiken. Dit is niet te kraken met huidige rekenkracht.

Server locaties. Nederlandse bedrijven kiezen vaak servers in Nederland of de EU. Data blijft dan binnen Europese juridische grenzen, wat AVG-compliance vereenvoudigt.

Aantal gelijktijdige verbindingen. Hoeveel apparaten kunnen tegelijk verbinden? Een ZZP'er heeft misschien twee apparaten nodig, een bedrijf met vijf medewerkers minimaal tien.

De keerzijde bestaat ook. Een VPN vertraagt je internetsnelheid met 10-30%. Voor basistaken als e-mail merk je dat niet, maar videobewerking of grote bestandsoverdrachten kunnen trager aanvoelen. Niet elke VPN-aanbieder heeft servers in Nederland, wat vertragingen vergroot als je data naar Zweden of Duitsland moet voor het terugkomt.

Nederlandse VPN-aanbieders voor bedrijven vergeleken

Drie diensten domineren de Nederlandse zakelijke markt. De prijzen en functies verschillen aanzienlijk.

Surfshark for Business

• Prijs: €11,49 per gebruiker per maand (jaarabonnement) of €17,99 maandelijks
• Servers: 3.200+ servers in 100 landen, waaronder Amsterdam
• Gelijktijdige verbindingen: onbeperkt per gebruiker
• Nederlandse klantenservice: chat beschikbaar, maar geen telefonische support in het Nederlands
• AVG-compliance: servers in de EU, Nederlandse rechtspersoon ontbreekt
• Voordeel: onbeperkte apparaten, concurrerende prijs voor kleine teams
• Nadeel: geen dedicated IP standaard, moet je bijbetalen voor €3,75/maand extra

NordVPN Teams

• Prijs: €9,99 per gebruiker per maand (1 jaar) tot €14,99 (maandelijks)
• Servers: 5.500+ in 60 landen, meerdere in Amsterdam
• Gelijktijdige verbindingen: 6 per gebruiker
• Nederlandse klantenservice: e-mail en chat, geen telefoon
• AVG-compliance: Panamees bedrijf, wel EU-servers en GDPR-beleid
• Voordeel: Threat Protection blokkeert malware en trackers automatisch
• Nadeel: beperkt aantal apparaten per gebruiker, voor grotere teams al snel duurder

Perimeter 81 (voorheen SaferVPN Business)

• Prijs: vanaf €40 per gebruiker per maand (minimum 5 gebruikers)
• Servers: 700+ wereldwijd, datacenter in Amsterdam
• Gelijktijdige verbindingen: onbeperkt
• Nederlandse klantenservice: telefonische support tijdens kantooruren, Nederlandse accountmanager voor grotere contracten
• AVG-compliance: volledig, contract met Nederlandse entiteit mogelijk
• Voordeel: uitgebreide beheermogelijkheden, integratie met Active Directory, twee-factor authenticatie
• Nadeel: prijzig voor kleine bedrijven, verplicht minimum van 5 gebruikers

Voor een eenmanszaak of ZZP'er is Surfshark of NordVPN vaak toereikend. Prijs/prestatie klopt. Een webdesigner die af en toe bij klanten werkt of vanuit een café, betaalt €120-€138 per jaar. Daar staat adequate bescherming tegenover.

Voor een bedrijf met 5-15 medewerkers wordt Perimeter 81 interessanter ondanks de hogere prijs. De centrale beheeropties maken het verschil. Je ziet in een dashboard welke medewerkers verbonden zijn, je kunt toegang op afstand intrekken als een laptop gestolen wordt, en je dwingt beveiligingsprotocollen af.

Een accountantskantoor met acht medewerkers betaalt bij Perimeter 81 €3.840 per jaar. Bij NordVPN €959 (uitgaande van 8 × €9,99 × 12). Dat lijkt een enorm verschil. Maar als één medewerker per ongeluk klantgegevens lekt via onbeveiligde wifi, kost dat meer dan het verschil tussen beide diensten. De AP kan een boete opleggen van €10.000 voor kleinere overtredingen, afgezien van reputatieschade en omzetverlies.

Gratis VPN's: waarom dat risicovol is voor bedrijven

Proton VPN en Windscribe bieden gratis plannen. Verleidelijk voor startende ondernemers die kosten willen drukken. Drie redenen waarom dat voor zakelijk gebruik gevaarlijk is:

Beperkte data. Gratis plannen begrenzen je tot 2-10 GB per maand. Een videocall van een uur verbruikt al 1,5 GB. Check je regelmatig e-mail en werk je in cloudsoftware, dan zit je in een week tegen de limiet aan.

Trage verbindingen. Gratis gebruikers krijgen toegang tot drukke servers met lage prioriteit. Snelheden zakken gemakkelijk onder 1 Mbps. Dat maakt werken onmogelijk.

Verdienmodellen. Als je niet betaalt met geld, betaal je met data. Gratis VPN-aanbieders verkopen vaak anonieme gebruikersdata aan adverteerders. Dat botst met AVG-verplichtingen als je bedrijfsdata verstuurt.

Een uitzondering bestaat. Proton VPN (Zwitsers bedrijf) heeft een betrouwbare reputatie en verkoopt geen data. Maar de gratis versie biedt één apparaat en servers in drie landen, zonder Nederland. Voor incidenteel gebruik als je een keer in het buitenland zit, kan dat een noodoplossing zijn. Structureel werken vereist een betaald abonnement.

Wat een VPN niet oplost voor je bedrijf

De marketingbeloften van VPN-aanbieders schetsen soms een overtrokken beeld. Vier dingen die een VPN niet doet:

Bescherming tegen phishing. Een VPN versleutelt je verbinding, maar voorkomt niet dat je een valse e-mail opent of op een nep-inlogpagina je wachtwoord intypt. Phishing blijft de grootste bedreiging voor Nederlandse bedrijven, goed voor 54% van alle datalekken volgens het CBS.

Virusscannen. Sommige VPN's bieden basale malware-blokkering (zoals NordVPN's Threat Protection), maar dat vervangt geen volwaardige antivirussoftware. Je hebt beide nodig.

Anonimiteit. Een VPN maskeert je IP-adres, maar als je inlogt op zakelijke accounts, ben je identificeerbaar. Google, Microsoft en je boekhoudsoftware weten precies wie je bent zodra je je aanmeldt.

Absolute veiligheid. Een VPN is één laag van beveiliging. Zonder sterke wachtwoorden, twee-factor authenticatie en regelmatige updates blijf je kwetsbaar. Cybersecurity is geen product dat je koopt, maar een proces.

Een studie van de Universiteit van Berkeley uit 2023 toonde aan dat 38% van de onderzochte VPN-apps op Android gegevens lekten door configuratiefouten. Zelfs betaalde diensten zijn niet feilloos. Kies dus aanbieders met onafhankelijke audits.

AVG-compliance en VPN: wat je moet weten als Nederlandse ondernemer

De Algemene Verordening Gegevensbescherming verplicht je passende technische maatregelen te nemen om persoonsgegevens te beveiligen. Een VPN kan daar deel van uitmaken, maar het is geen automatisch vinkje.

Verwerkersovereenkomst. Als je VPN-aanbieder toegang heeft tot klantgegevens (wat technisch gezien kan), moet je een verwerkersovereenkomst afsluiten. Perimeter 81 biedt dit standaard. Bij consumentgerichte VPN's zoals Surfshark moet je er expliciet om vragen.

Datalocatie. Servers buiten de EU kunnen problematisch zijn. Een VPN-verbinding via een server in de VS betekent dat je data Amerikaanse jurisdictie raakt, wat conflicteert met AVG-eisen na het Schrems II-arrest. Kies bij voorkeur EU-servers voor zakelijk verkeer.

Logging-beleid. Een 'no-logs' VPN bewaart geen gegevens over je internetactiviteit. Dat klinkt goed voor privacy, maar voor zakelijk gebruik wil je soms juist wél loggen om te kunnen aantonen dat je beveiligingsmaatregelen hebt genomen bij een incident. Dit is een spanning tussen privacybescherming en aansprakelijkheid.

De Autoriteit Persoonsgegevens publiceerde in 2024 richtlijnen voor thuiswerken. Daarin staat expliciet dat bedrijven "versleutelde verbindingen" moeten gebruiken bij toegang tot bedrijfsgegevens vanaf externe locaties. Een VPN voldoet aan die eis.

Toch kunnen zelfs grote aanbieders fouten maken. In 2021 lekte NordVPN dat één van hun servers in Finland was gehackt, al waren geen gebruikersgegevens buitgemaakt. Surfshark kreeg in 2023 kritiek omdat hun privacy policy onduidelijk was over dataretentie. Bij zakelijk gebruik weeg je dus niet alleen functionaliteit, maar ook het trackrecord van de aanbieder.

Praktisch scenario: een ZZP-boekhouder met tien klanten

Stel je bent zelfstandig boekhouder. Je werkt vanuit huis en bezoekt drie dagen per week klanten. Je verwerkt vertrouwelijke financiële gegevens: salarisadministratie, BTW-aangiftes, jaarrekeningen. De AVG-risico's zijn substantieel.

Je werkomgeving:

• Eigen laptop met toegang tot boekhoudpakketten (vaak online)
• Regelmatig werken bij klanten op locatie
• Soms een café of co-working space tussen afspraken door
• Thuisnetwerk met standaard wifi van je provider

Zonder VPN:

• Je verbindt bij klanten op hun wifi, waarvan je de beveiliging niet kent
• Op openbare plekken is je verkeer leesbaar voor andere gebruikers op hetzelfde netwerk
• Je internetprovider thuis kan zien welke boekhoudpakketten je gebruikt en wanneer
• Bij een datalek ben je aansprakelijk, met boetes vanaf €10.000

Met VPN (Surfshark, €120/jaar):

• Al je verkeer is versleuteld, ook op onveilige netwerken
• Je voldoet aan de AP-richtlijn voor versleutelde externe verbindingen
• Je kunt kiezen voor een Nederlandse server, data blijft binnen NL juridisch gebied
• Kostenpost is volledig aftrekbaar als bedrijfsmiddel

De jaarlijkse kosten bedragen €120. Dat is €10 per maand. Als ZZP'er declareer je dat aan klanten als onderdeel van je overhead, of je absorbeert het in je uurtarief. Voor de risicoreductie is dat een fractie vergeleken met de potentiële schade.

Een nuance: zelfs met VPN moet je oppassen met klantgegevens op je laptop. Een gestolen apparaat met zwakke beveiliging lekt alsnog gegevens. Volledige schijfversleuteling (BitLocker op Windows, FileVault op Mac) is een noodzakelijke aanvulling.

Wanneer een VPN niet voldoende is

Drie situaties vragen om meer:

Grote teams met complexe toegangsregels. Als je twintig medewerkers hebt die toegang nodig hebben tot verschillende systemen, dan wordt een standaard VPN onhandig. Je wilt dan Zero Trust Network Access (ZTNA), waarbij elke gebruiker en elk apparaat continu geverifieerd wordt. Diensten als Perimeter 81 bieden dat, maar je betaalt aanzienlijk meer.

Hoogrisicogegevens. Werkt je bedrijf met medische dossiers, rechtszaken of staatsgeheime informatie? Dan volstaat een commerciële VPN niet. Je hebt dedicated infrastructuur nodig met eigen servers, fysiek in Nederland. Dat kost al snel €5.000-€15.000 per jaar.

Mobiele apparaten met gevoelige apps. Een VPN op een smartphone beschermt je internetverkeer, maar niet wat apps lokaal opslaan of delen. Banking-apps, e-mail en klantdatabases vragen om Mobile Device Management (MDM) software die apparaten op afstand kan vergrendelen of wissen.

Toch lost een VPN 80% van de risico's op voor een gemiddeld MKB-bedrijf. Perfecte beveiliging bestaat niet, maar drastisch betere beveiliging voor €10-€20 per gebruiker per maand is realistisch.

Alternatieven en aanvullende maatregelen

Een VPN is één element in een beveiligingsstrategie. Vier andere maatregelen verdienen aandacht:

Twee-factor authenticatie (2FA). Dwing dit af voor alle zakelijke accounts. Zelfs als een wachtwoord lekt via een onbeveiligde verbinding, kan een aanvaller niet inloggen zonder de tweede factor (meestal een code op je telefoon). Gratis beschikbaar via apps als Microsoft Authenticator of Google Authenticator.

Sterke wachtwoorden en een password manager. LastPass, 1Password of Bitwarden genereren en bewaren complexe wachtwoorden. Kosten: €3-€5 per gebruiker per maand. Voorkomt hergebruik van zwakke wachtwoorden, een veelvoorkomende aanvalsvector.

Regelmatige updates. 60% van succesvolle cyberaanvallen op Nederlandse bedrijven in 2024 maakte misbruik van ongepatcht software. Windows, Mac, browsers en plugins automatisch laten updaten is gratis en effectief.

Backups. Een VPN voorkomt niet dat ransomware je bestanden vergrendelt. Dagelijkse backups naar een externe locatie (zoals Backblaze voor €70/jaar of een Nederlandse aanbieder als Surfsafe Backup voor €8/maand) garanderen dat je door kunt werken na een aanval.

Sommige bedrijven kiezen voor een firewall in plaats van een VPN. Dat is een misverstand. Een firewall beschermt je netwerk tegen inkomend verkeer, een VPN beschermt uitgaand verkeer tegen afluisteren. Je hebt beide nodig, ze vervangen elkaar niet.

Wanneer een ICT-adviseur of beveiligingsspecialist raadplegen

Vier signalen dat je professioneel advies nodig hebt:

Je verwerkt bijzondere persoonsgegevens. Medische gegevens, strafrechtelijke gegevens of biometrische data vallen onder strengere AVG-eisen. Een standaard VPN is dan onvoldoende; je hebt een Data Protection Impact Assessment (DPIA) nodig. Een gespecialiseerde adviseur kost €1.500-€3.000, maar voorkomt boetes tot tienduizenden euro's.

Je hebt een datalek gehad. Na een incident moet je binnen 72 uur melden bij de AP. Een forensisch onderzoek door een specialist zoals Fox-IT of EYE Security kost €5.000-€15.000, maar bepaalt de omvang van de schade en voldoet aan meldplicht.

Je groeit snel. Ga je van vijf naar vijftien medewerkers? Dan wordt ad-hoc beveiliging onhoudbaar. Een externe ICT-adviseur kan voor €2.000-€5.000 een beveiligingsplan opstellen, inclusief VPN-implementatie, toegangsbeheer en backupstrategie.

Je werkt internationaal. Klanten of medewerkers buiten de EU betekenen complexe AVG-vraagstukken. Dataoverdracht naar het VK, VS of Azië vraagt om Standard Contractual Clauses en soms extra waarborgen. Een jurist gespecialiseerd in privacyrecht rekent €250-€400 per uur, maar bespaart je veel grotere problemen.

De Digital Trust Center (onderdeel van het Ministerie van EZK) biedt gratis basisadvies voor MKB-bedrijven via hun Cybersecurity Check. Dat is een goed startpunt voordat je externe specialisten inschakelt.

Installatie en gebruik in de praktijk

De technische drempel voor een zakelijke VPN is laag. De meeste aanbieders bieden installatiewizards die je in tien minuten door het proces leiden.

Stap 1: Account aanmaken. Bij NordVPN Teams of Surfshark for Business maak je een beheeraccount aan. Je voegt gebruikers toe via e-mailadres. Elke gebruiker ontvangt een uitnodiging met inloggegevens.

Stap 2: Software installeren. Gebruikers downloaden de app op hun apparaten (Windows, Mac, iOS, Android). De installatie vraagt geen technische kennis; het is vergelijkbaar met het installeren van een webbrowser.

Stap 3: Verbinding maken. Na installatie kiest de gebruiker een server (meestal automatisch de snelste Nederlandse server) en klikt op 'verbinden'. De VPN draait dan op de achtergrond. Sommige bedrijven stellen in dat de VPN automatisch activeert zodra een medewerker verbindt met een onbekend wifi-netwerk.

Stap 4: Beheren. Via het beheerdashboard zie je welke gebruikers actief zijn, hoeveel data ze verbruiken en of er verbindingsproblemen zijn. Bij Perimeter 81 kun je toegangsrechten instellen per gebruiker of groep.

Voor een ZZP'er die alleen werkt, volstaat stap 2 en 3. De beheeropties zijn overbodig. Voor een team is centrale controle waardevol. Je ziet bijvoorbeeld dat een medewerker nooit de VPN gebruikt, wat een beveiligingsrisico vormt. Dan kun je dat aanspreken.

Kosten-batenanalyse voor Nederlandse bedrijven

Concreet doorgerekend voor drie bedrijfsgroottes:

Eenmanszaak/ZZP:

• VPN-kosten: €120/jaar (Surfshark)
• Tijdsinvestering: 1 uur installatie en instellen
• Besparing: vermeden boete bij datalek (gemiddeld €10.000 voor kleine overtredingen)
• Break-even: als je één keer in 83 jaar een datalek voorkomt, verdien je het terug (onrealistisch pessimistisch)
• Werkelijke waarde: lagere aansprakelijkheid, naleving AVG-richtlijnen, professionelere uitstraling naar klanten

Klein bedrijf met 8 medewerkers:

• VPN-kosten: €959/jaar (NordVPN Teams à €9,99 × 8 × 12)
• Tijdsinvestering: 4 uur voor installatie en training van medewerkers
• Besparing: vermeden productieverlies bij aanval (gemiddeld 3 werkdagen × 8 medewerkers × €250/dag