Buying a company, buying its breaches. Een bedrijf kopen, en zijn inbraken erbij.

When you buy a company, you buy its network as it is, including anyone hiding in it. The best-documented case is Marriott. According to the penalty notice of the UK ICO (October 2020), an attacker got into Starwood's systems in July 2014. Marriott bought Starwood in 2016 and did not detect the attack until September 2018. About 339 million guest records were affected. The ICO fined Marriott £18.4 million for not securing the systems it had acquired once the GDPR applied.

Business impact: the ICO itself noted that in-depth due diligence is not always possible during a takeover. That makes the time between signing and connecting the moment to look. We suggest a compromise assessment of the target before you connect anything. Before closing, the deal rules often limit what a buyer may do on the target's network, so it is worth having the seller commission one, or writing it into the agreement.

Wie een bedrijf koopt, koopt het netwerk zoals het is, inclusief iedereen die zich erin verbergt. Het best gedocumenteerde geval is Marriott. Volgens het boetebesluit van de Britse ICO (oktober 2020) drong een aanvaller in juli 2014 de systemen van Starwood binnen. Marriott kocht Starwood in 2016 en ontdekte de aanval pas in september 2018. Het ging om ongeveer 339 miljoen gastrecords. De ICO legde Marriott een boete op van £18,4 miljoen omdat het de overgenomen systemen niet goed beveiligde toen de AVG eenmaal gold.

Bedrijfsimpact: de ICO merkte zelf op dat grondig boekenonderzoek tijdens een overname niet altijd mogelijk is. Dan is de periode tussen tekenen en koppelen het moment om te kijken. Wij stellen een compromise assessment van het doelbedrijf voor, voordat u iets koppelt. Vóór de closing beperken de afspraken rond de deal vaak wat een koper op het netwerk van het doelbedrijf mag doen. Het is dan de moeite waard de verkoper er een te laten uitvoeren, of het in de overeenkomst op te nemen.

A target's IT list usually shows what its IT team runs. It rarely shows the website an agency built, the cloud account a developer opened on a company card, or the remote-access box nobody patched. That is shadow IT, and you buy it with everything else. Systems nobody owns are the ones nobody updates.

Business impact: you cannot protect, insure or report on what you do not know you own. Before signing, public records such as domain names and certificates show much of what a company exposes to the internet, without touching its systems. After closing, we suggest a full inventory with an owner for each system. NIS2 lists asset management among the minimum security measures (Art. 21(2)(i)). DORA requires financial entities to identify all their ICT assets (Art. 8(4)) and, unless they are microenterprises, to assess the risk at each major change (Art. 8(3)).

De IT-lijst van een doelbedrijf laat meestal zien wat het IT-team beheert. Zelden staat erop: de website die een bureau bouwde, het cloudaccount dat een ontwikkelaar op een bedrijfscreditcard opende, of de remote-access-box die niemand patchte. Dat is schaduw-IT, en u koopt het mee. Systemen zonder eigenaar zijn de systemen die niemand bijwerkt.

Bedrijfsimpact: u kunt niet beschermen, verzekeren of melden wat u niet weet dat u bezit. Vóór het tekenen laten openbare gegevens zoals domeinnamen en certificaten veel zien van wat een bedrijf op internet heeft staan, zonder de systemen aan te raken. Na de closing stellen wij een volledige inventaris voor, met een eigenaar per systeem. NIS2 noemt beheer van bedrijfsmiddelen bij de minimale beveiligingsmaatregelen (art. 21 lid 2 onder i). DORA verplicht financiële entiteiten al hun ICT-middelen in kaart te brengen (art. 8 lid 4) en, tenzij het micro-ondernemingen zijn, bij elke grote wijziging het risico te beoordelen (art. 8 lid 3).

There is pressure to show the deal working: one email system, one network, one login, fast. Every connection also links their weaknesses to yours. An attacker in their network, or an admin account with a weak password, can then reach your systems. A trust between the two account directories is the fastest route of all.

Business impact: an early connection turns their incident into yours. We suggest a bridge period: share email, calendars and a few named applications through controlled gateways. Connect networks and accounts only after the compromise assessment, after admin passwords are reset, and once their devices meet your standard, such as MFA and your monitoring. Agreeing who decides when to connect, and against which conditions, is often the most effective first step.

Er is druk om te laten zien dat de overname werkt: één mailsysteem, één netwerk, één login, snel. Elke koppeling verbindt ook hun zwakke plekken met de uwe. Een aanvaller in hun netwerk, of een beheeraccount met een zwak wachtwoord, bereikt dan uw systemen. Een vertrouwensrelatie tussen de twee accountsystemen is de snelste route van allemaal.

Bedrijfsimpact: een vroege koppeling maakt hun incident het uwe. Wij stellen een overgangsperiode voor: deel e-mail, agenda's en een paar benoemde applicaties via gecontroleerde koppelpunten. Koppel netwerken en accounts pas na de compromise assessment, nadat beheerwachtwoorden zijn vervangen, en zodra hun apparaten aan uw standaard voldoen, zoals MFA en uw monitoring. Afspreken wie beslist wanneer er gekoppeld wordt, en onder welke voorwaarden, is vaak de meest effectieve eerste stap.

The purchase agreement decides who pays for a breach that began before the deal. Warranties are the seller's statements, for example that they know of no breach. An indemnity is a promise to pay for a specific risk, such as an incident that turns out to have started before closing. Many deals also use W&I insurance. It typically excludes what was already known at signing, so a breach found during due diligence needs its own arrangement.

Business impact: a warranty that says "no known breaches" is worth little if nobody looked. We suggest asking for a list of past incidents, a specific cyber indemnity, and a claim period long enough for an attacker who is found late. At Starwood, the attacker was found two years after the deal closed, four years after getting in. It is also worth checking the target's own cyber insurance: what a change of control does to it, and whether it covers incidents that started before closing but are found after. Get the insurer's answer in writing before you sign.

De koopovereenkomst bepaalt wie betaalt voor een inbraak die vóór de deal begon. Garanties zijn verklaringen van de verkoper, bijvoorbeeld dat die geen inbraak kent. Een vrijwaring is een toezegging om voor een specifiek risico te betalen, zoals een incident dat vóór de closing blijkt te zijn begonnen. Veel deals gebruiken daarnaast een W&I-verzekering. Die sluit meestal uit wat bij het tekenen al bekend was, dus een inbraak die tijdens het boekenonderzoek is gevonden, vraagt een eigen regeling.

Bedrijfsimpact: een garantie dat er "geen bekende inbraken" zijn, is weinig waard als niemand keek. Wij stellen voor te vragen om een lijst van eerdere incidenten, een specifieke cybervrijwaring, en een claimtermijn die lang genoeg is voor een aanvaller die laat wordt gevonden. Bij Starwood werd de aanvaller twee jaar na de overname gevonden, vier jaar na binnenkomst. Kijk ook naar de eigen cyberverzekering van het doelbedrijf: wat een zeggenschapswijziging ermee doet, en of die incidenten dekt die vóór de closing begonnen maar daarna worden ontdekt. Vraag het antwoord van de verzekeraar op schrift voordat u tekent.

Customer and staff records come with the company, together with how they were collected and what people were promised. If they were gathered without a valid basis, kept too long or already leaked, that history becomes your problem as the new owner. The GDPR makes the controller responsible for complying and for being able to show it (Art. 5(2) and 24). Merging their customer list into yours is a new use. The GDPR does not allow further use that is incompatible with the purpose the data was collected for (Art. 5(1)(b)).

Business impact: an old breach found after closing can still need reporting, and the clock starts when you become aware. The GDPR requires notifying the Autoriteit Persoonsgegevens within 72 hours of becoming aware (Art. 33), and informing the people affected when the risk is high (Art. 34). In the Marriott case, the ICO counted from the day Marriott became aware, not from when the attack began. We suggest a data inventory of the target before any systems merge: which personal data, on what basis, for how long, and where.

Klant- en personeelsgegevens komen mee met het bedrijf, samen met de manier waarop ze verzameld zijn en wat mensen beloofd is. Zijn ze zonder geldige grondslag verzameld, te lang bewaard of al gelekt, dan wordt die geschiedenis uw probleem als nieuwe eigenaar. De AVG maakt de verwerkingsverantwoordelijke verantwoordelijk voor naleving en voor het kunnen aantonen daarvan (art. 5 lid 2 en art. 24). Hun klantenlijst samenvoegen met de uwe is een nieuw gebruik. De AVG staat geen verder gebruik toe dat onverenigbaar is met het doel waarvoor de gegevens verzameld zijn (art. 5 lid 1 onder b).

Bedrijfsimpact: een oud datalek dat na de closing wordt gevonden, kan nog steeds meldplichtig zijn, en de termijn loopt vanaf het moment dat u ervan weet. De AVG verplicht een melding aan de Autoriteit Persoonsgegevens binnen 72 uur na ontdekking (art. 33), en het informeren van de betrokkenen als het risico hoog is (art. 34). In de zaak-Marriott rekende de ICO vanaf de dag dat Marriott ervan wist, niet vanaf het begin van de aanval. Wij stellen een inventaris van de gegevens van het doelbedrijf voor, voordat er systemen samengaan: welke persoonsgegevens, op welke grondslag, hoe lang, en waar.

Checked against: UK ICO penalty notice to Marriott (Oct 2020), GDPR Art. 5, 24, 33 and 34, NIS2 Art. 20, 21 and 23, DORA Art. 8, 19 and 28, NCSC-NL on the Cyberbeveiligingswet (Aug 2026), AICPA Trust Services Criteria CC3.4 (2017, points of focus 2022) · October 2026.

Gecontroleerd tegen: boetebesluit van de Britse ICO aan Marriott (okt 2020), AVG art. 5, 24, 33 en 34, NIS2 art. 20, 21 en 23, DORA art. 8, 19 en 28, NCSC over de Cyberbeveiligingswet (aug 2026), AICPA Trust Services Criteria CC3.4 (2017, aandachtspunten 2022) · oktober 2026.