Wat kost downtime je bedrijf echt, en hoe bereken je dat?

Wat kost een uur downtime?

Voor de meeste middelgrote en grote organisaties kost een uur downtime tienduizenden tot honderdduizenden euro's. Het getal dat telt is je eigen getal. Dat bereken je met het model hieronder en de uitleg op onze pagina over disaster recovery.

Het is maandagochtend. Je ERP en fileservers zijn versleuteld, 120 mensen kunnen niet werken en bestellingen stoppen. Iedereen stelt dezelfde vraag: hoe lang duurt het voordat we weer draaien? Het antwoord bepaalt de rekening.

Gepubliceerde benchmarks geven een idee van de orde van grootte:

• Volgens de Hourly Cost of Downtime Survey 2024 van ITIC, een onderzoek onder meer dan 1.000 bedrijven, kost een uur downtime bij 90% van de bedrijven meer dan $ 300.000. Bij 41% van de grote organisaties loopt dat op van $ 1 miljoen tot meer dan $ 5 miljoen per uur. ITIC voegt toe dat uurkosten van $ 25.000 tot $ 75.000 al genoeg kunnen zijn om een klein bedrijf de kop te kosten.
• Splunk en Oxford Economics (2024) schatten dat downtime de Global 2000-bedrijven $ 400 miljard per jaar kost: ongeveer $ 200 miljoen per bedrijf, oftewel circa 9% van de winst. Ze schrijven 56% van de downtime toe aan beveiligingsincidenten.
• In de analyse van Uptime Institute over storingen in 2026 zei 57% van de respondenten dat hun laatste grote storing meer dan $ 100.000 kostte. Een op de vijf meldde kosten boven $ 1 miljoen.

Dit zijn enquêteresultaten, vooral van grote ondernemingen, in Amerikaanse dollars. Gebruik ze om te toetsen of je eigen getal aannemelijk is, niet als vervanging ervan.

Waaruit bestaat een berekening van de downtimekosten?

Een geloofwaardige berekening heeft drie lagen: directe omzetderving, stilstaande loonkosten en indirecte kosten. De meeste organisaties tellen alleen de eerste mee en onderschatten daardoor het totaal.

Twee begrippen sturen het model. RTO (recovery time objective) is de maximale hersteltijd: hoe lang een systeem uit de lucht mag zijn. Die vermenigvuldigt laag 1, 2 en 3a. RPO (recovery point objective) is het maximale dataverlies: hoeveel werk je kunt missen. Die bepaalt het herwerk in laag 3b. Beide leggen we verder uit in RTO en RPO uitgelegd.

De langetermijnkosten zijn het moeilijkst te schatten en na een ransomware-aanval vaak het hoogst. Splunk en Oxford Economics noemen boetes van toezichthouders na gemiste omzet de op een na grootste directe kostenpost van downtime. Ze melden ook dat het merkimago na een incident ongeveer 60 dagen nodig had om te herstellen.

Hoe bereken je de downtimekosten van je eigen bedrijf?

Werk samen met Finance en IT vijf stappen af en reken daarna drie uitvalscenario's door. Het uitgewerkte voorbeeld hieronder gebruikt fictieve cijfers voor een bedrijf met 150 medewerkers. Vervang ze door je eigen cijfers.

1. Haal de uurwaarden op bij Finance. De jaaromzet gedeeld door het aantal werkuren geeft de omzet per uur. Vraag welk deel definitief verloren gaat en niet later wordt ingehaald.
2. Maak een lijst van kritieke systemen en wie ervan afhankelijk is. ERP, e-mail, bestandsshares, bedrijfsapplicaties. Tel per systeem de mensen die niet kunnen werken als het uitvalt.
3. Gebruik geteste hersteltijden. Neem RTO en RPO uit je laatste hersteltest, niet uit het beleid. Heb je nog nooit een volledig herstel getest, ga dan uit van het trage scenario.
4. Reken drie scenario's door. Een korte uitval (4 uur), een ernstige uitval (24 werkuren) en een uitval op ransomware-schaal (72 werkuren of meer).
5. Tel de langetermijnkosten en de wettelijke risico's mee. Boetes uit je contracten, kosten voor meldingen en juridische hulp, en de NIS2- en AVG-verplichtingen hieronder.

Uitgewerkt voorbeeld (fictieve cijfers)

Uitgangspunten: € 24 miljoen jaaromzet over 2.000 werkuren (€ 12.000 per uur), waarvan 40% verloren gaat in plaats van later wordt ingehaald. Verder 120 getroffen medewerkers met volledige kosten van € 50 per uur en 70% productiviteitsverlies, en € 1.000 per uur aan herstelkosten. Dat geeft directe kosten van ongeveer € 10.000 per werkuur.

Herwerk is berekend als medewerkers × uren verloren werk × € 50 × 50%, uitgaande van de aanname dat de helft van het verloren werk opnieuw moet. De langetermijnkosten komen daar bovenop: een verloren klant, een SLA-boete of een onderzoek van een toezichthouder kan zwaarder wegen dan de directe kosten.

Waarom is hersteltijd de grootste hefboom?

Omdat hersteltijd elke uurkost vermenigvuldigt. In het voorbeeld verlaagt een herstel van 4 uur in plaats van 72 uur de kosten van het incident met meer dan 90%. Geen enkele andere variabele in het model beweegt het totaal zo sterk.

Bij ransomware loopt de hersteltijd uit de hand, omdat aanvallers eerst de back-ups aanpakken. In de studie van Sophos uit 2024 probeerden aanvallers in 94% van de ransomware-aanvallen de back-ups aan te tasten. Lukte dat, dan waren de mediane herstelkosten acht keer zo hoog ($ 3 miljoen tegenover $ 375.000). Slechts 26% van de slachtoffers herstelde binnen een week volledig, tegenover 46% als de back-ups intact waren. Dat blijkt uit de analyse van Sophos over gecompromitteerde back-ups.

Sophos State of Ransomware 2026 noemt gemiddelde herstelkosten van $ 1,7 miljoen, exclusief eventueel losgeld. Volgens het IBM Cost of a Data Breach Report 2025 kost een datalek wereldwijd gemiddeld $ 4,44 miljoen.

Om de hersteltijd onder controle te houden, heb je vooraf drie dingen nodig:

• Back-ups die aanvallers niet kunnen wijzigen. Onveranderbare (immutable) kopieën en een air-gapped kopie, een kopie zonder verbinding met je netwerk. Zo volg je de 3-2-1-1-0-regel.
• Een schone plek om te herstellen. Een geïsoleerde herstelomgeving, zodat je niet terugzet op besmette infrastructuur.
• Bewijs dat het werkt. Regelmatige hersteltests die de echte hersteltijden meten. In onze gids over hoe je controleert of je back-up werkt staan de meetwaarden.

Hoe lang elke fase na een aanval duurt, lees je in onze tijdlijn voor herstel na ransomware.

Wat kost downtime onder NIS2 en de AVG?

Voor organisaties die onder NIS2 vallen, is slecht herstel een tekortkoming in de naleving en niet alleen een zakelijk verlies. De AVG geldt voor bijna elke organisatie die persoonsgegevens verwerkt.

• NIS2-artikel 21(2)(c) van Richtlijn (EU) 2022/2555 vereist "bedrijfscontinuïteit, zoals back-upbeheer en noodherstel, en crisisbeheer" als onderdeel van je risicobeheersmaatregelen.
• NIS2-artikel 34 stelt maximale boetes vast van ten minste € 10 miljoen of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, en ten minste € 7 miljoen of 1,4% voor belangrijke entiteiten. Het hoogste bedrag geldt.
• NIS2-artikel 20 verplicht bestuursorganen deze maatregelen goed te keuren en erop toe te zien. Bij tekortkomingen kunnen ze aansprakelijk worden gesteld.
• NIS2-artikel 23 vereist een vroegtijdige waarschuwing binnen 24 uur na een significant incident, een melding binnen 72 uur en een eindverslag binnen een maand.
• AVG-artikel 32(1)(c) van Verordening (EU) 2016/679 vereist "het vermogen om de beschikbaarheid van en de toegang tot persoonsgegevens bij een fysiek of technisch incident tijdig te herstellen". Artikel 32(1)(d) vereist dat je die maatregelen regelmatig test.

In Nederland is NIS2 omgezet in de Cyberbeveiligingswet (Cbw), die sinds 15 augustus 2026 van kracht is. In Duitsland geldt de NIS2UmsuCG sinds 6 december 2025. In ons overzicht van de maatregelen uit artikel 21 lees je wat dat in de praktijk betekent.

Neem de wettelijke laag als aparte regel op in je model. Boetes zijn een maximum en geen voorspelling. Maar toezicht achteraf, juridisch advies en meldingen kosten na elk significant incident echt geld.

Hoe presenteer je downtimekosten aan je CFO of bestuur?

Presenteer ze als verwacht jaarlijks verlies per scenario, naast de kosten om de hersteltijd te verkorten. Besturen kiezen tussen afwegingen, dus leg ze er een voor.

1. Zet de drie scenario's naast elkaar, met de kosten van elk scenario bij je huidige geteste RTO.
2. Voeg per scenario een kans toe uit je eigen risicoregister en vermenigvuldig die met de kosten. Dat geeft het verwachte jaarlijkse verlies.
3. Toon dezelfde scenario's bij een kortere RTO, bijvoorbeeld met standby-infrastructuur voor disaster recovery.
4. Vergelijk de daling van het verwachte verlies met de jaarlijkse kosten van de maatregelen die dat bereiken.
5. Voeg het bewijs toe: de datum en uitkomst van je laatste hersteltest, en welke systemen erin zaten.

Dat laatste punt wordt elk jaar belangrijker. Onder NIS2-artikel 20 moet het bestuur deze maatregelen goedkeuren en kan het aansprakelijk worden gesteld. Een model op ongeteste aannames brengt dus ook het bestuur in gevaar. Verander de vraag van "wat zou een uur ons kosten?" in "kunnen we bewijzen dat we binnen de beloofde tijd herstellen?"

Wat je nu kunt doen

De kosten van downtime kun je deze week berekenen: verlies per uur maal hersteltijd, plus de langetermijnkosten. De hersteltijd is het deel dat je zelf in de hand hebt. Alleen een herstel dat je hebt getest levert een getal op dat je kunt verdedigen tegenover een CFO, een auditor of een verzekeraar.

Mindtime zet kritieke workloads terug met een SLA van 4 uur. Back-ups zijn onveranderbaar, met een air-gapped kopie, en VM's kunnen direct opstarten in een geïsoleerde herstelomgeving op een apart, schoon netwerk. Onze Disaster Recovery-dienst voegt standby-infrastructuur toe: een gecertificeerde engineer valideert de eerste testfailover, meestal binnen 10 dagen. Elk kwartaal draaien geautomatiseerde DR-tests, met bewijs voor je auditors. Je data blijft in onze eigen Tier III-datacenters in Nederland en Duitsland.

Wil je zien hoe jouw hersteltijd eruitziet? Plan een gratis demo van 15 minuten en neem je huidige RTO mee.

Dit artikel is algemene informatie, geen juridisch advies.