Wachtwoorden veilig beheren: delen, vertrek, kosten voor mkb

Wat een wachtwoordmanager je na subsidie kost bij 5, 10, 20 of 50 gebruikers, staat in het rekenvoorbeeld subsidie. Welke aanpak bij jouw bedrijf past, zie je in de tabel per situatie. Vijf aanbieders met hun jaarkosten voor 10 gebruikers naast elkaar vind je in wachtwoordmanagers voor bedrijven, en wat je hele softwarestack per maand kost reken je uit met de tool-stack-planner.

Waarom is één wachtwoord voor meerdere accounts zo riskant?

Gebruik je overal hetzelfde wachtwoord, dan heeft iemand die het achterhaalt toegang tot al die accounts. Dat schrijft het NCSC in zijn uitleg over wachtwoordmanagers (bron: ncsc.nl, “Hoe kies ik een wachtwoordmanager?”). De KVK maakt het concreet: wordt de ene website gehackt, dan kan een crimineel met dezelfde gegevens ook inloggen op de andere.

Voor een bedrijf is dat geen theorie. Achter één mailadres met één wachtwoord zitten al snel de webshop, het boekhoudpakket, het bankportaal en de domeinregistratie. Het Britse NCSC merkt op dat een gemiddelde gebruiker tientallen wachtwoorden moet onthouden, niet alleen voor het werk, en dat mensen daarom gaan hergebruiken of veelgebruikte wachtwoorden kiezen. Juist die omwegen misbruiken aanvallers (bron: ncsc.gov.uk, “Password manager buyers guide”).

Unieke wachtwoorden voorkomen een lek niet, maar ze houden de schade klein: lekt de site van een leverancier, dan ligt alleen dat ene account op straat.

Hoe lang moet een zakelijk wachtwoord zijn?

Lengte telt zwaarder dan moeilijke tekens. De KVK adviseert minstens twaalf tekens en zegt dat het aantal tekens een wachtwoord veilig maakt, niet de mix. Een wachtwoordzin onthoud je bovendien makkelijker. Verder volgens de KVK: geen rijtjes van het toetsenbord, geen persoonlijke gegevens die online te vinden zijn, en bij vernieuwen echt een nieuw wachtwoord kiezen in plaats van een ander cijfer achter het oude te zetten. Van “Zomer2026!” naar “Herfst2026!” is dus geen verbetering.

Voor de meeste accounts hoef je hier zelf niet over na te denken: de wachtwoordmanager maakt een lange willekeurige reeks en vult die voor je in. Alleen het hoofdwachtwoord van de manager bedenk je zelf. Het NCSC noemt daarvoor minstens 12 tekens met letters, leestekens en cijfers, en vindt een langere wachtwoordzin met alleen kleine letters (bijvoorbeeld minimaal 16 tekens) veiliger dan een korte zin met alles erin. Onthoud het goed, schrijf het op en berg het veilig op (bron: ncsc.nl, “Hoe kies ik een wachtwoordmanager?”).

Mag je zakelijke wachtwoorden in de browser opslaan?

Liever niet. De KVK noemt de Autofill van de browser handig maar niet veilig: via een schadelijke plug-in of een gevaarlijk script op een webpagina kan een hacker de opgeslagen wachtwoorden stelen. Het NCSC wijst op een praktisch nadeel: wachtwoorden in de browser synchroniseren niet altijd tussen apparaten met verschillende besturingssystemen, terwijl een losse wachtwoordmanager vaak wel overal werkt en meer biedt, zoals meldingen over zwakke wachtwoorden en MFA bij het inloggen.

Voor een werkgever komt daar nog iets bij. Wachtwoorden in de browser van een collega zie jij niet, kun je niet delen en kun je bij vertrek niet centraal intrekken.

Sla je nu al wachtwoorden in de browser op? Zo stap je over:

1. Importeer de wachtwoorden in de nieuwe manager en controleer of alles is overgekomen.
2. Verwijder het exportbestand direct. Het Britse NCSC waarschuwt dat geëxporteerde wachtwoorden onbeschermd zijn, en adviseert dat een beheerder de exportfunctie kan uitzetten of controleren.
3. Wis de wachtwoorden uit de browser en zet de vraag “wachtwoord opslaan” uit, zodat niemand terugvalt op de oude gewoonte.

Hoe deel je wachtwoorden veilig met collega’s?

Begin bij de vraag of delen nodig is. Het NCSC adviseert persoonsgebonden accounts: elke medewerker een eigen gebruikersaccount, en geen generieke accounts die meerdere mensen delen (bron: ncsc.nl, basisprincipe 4). Veel zakelijke diensten laten je extra gebruikers toevoegen. Dan heeft iedereen een eigen login en trek je die bij vertrek los in.

Lukt dat niet, bijvoorbeeld bij een social-media-account of een leveranciersportaal met één login, deel het dan via de wachtwoordmanager. Het Britse NCSC raadt delen tussen personen af, maar schrijft dat een zakelijke manager een deel van de risico’s kan beperken zolang je nog geen alternatief hebt. Let dan op drie dingen: de manager legt vast wie een gedeeld wachtwoord wanneer opende, een beheerder bepaalt wie erbij mag, en een gewijzigd wachtwoord komt automatisch bij iedereen met toegang terecht.

Een indeling die werkt voor een bedrijf van vijf tot vijftig mensen:

1. Een persoonlijke kluis per medewerker voor de eigen accounts.
2. Een kluis per team, bijvoorbeeld verkoop, administratie en marketing.
3. Een beheerkluis voor de echte sleutels: domeinregistratie, beheer van Microsoft 365 of Google Workspace, bank en salarisadministratie. Daar hebben zo min mogelijk mensen toegang toe, maar altijd minstens twee.
4. Een kluis per klant als klanten je logins toevertrouwen.

Bij NordPass zit veilig delen al in Teams, samen met een overzicht van gebruikersactiviteit en MFA; delen per groep en per map komt erbij in Business (nordpass.com, 10 november 2026).

Welke rechten en instellingen leg je vast?

Een wachtwoordmanager is maar zo goed als de afspraken eromheen. Drie overheidsinstanties zeggen hierover grotendeels hetzelfde:

• NCSC (basisprincipe 4, beheer toegang tot data en diensten): leg per medewerker vast tot welke systemen en data die toegang nodig heeft, bijvoorbeeld in een rechtenmatrix. Pas rechten aan bij een nieuwe functie of vertrek, extra snel bij een plotseling vertrek van een systeembeheerder, en ook als je met een nieuwe leverancier of boekhouder gaat werken. Verwijder ongebruikte accounts.
• Autoriteit Persoonsgegevens: al bij een vrij laag risico hoort er een autorisatiematrix te zijn, gedetailleerd genoeg en actueel. MFA raadt de AP aan op alle systemen met toegangscontrole, ook op mail en zakelijke chat zoals WhatsApp. Logging helpt inbreuken eerder te ontdekken, maar is zelf ook een verwerking van persoonsgegevens: bepaal vooraf wat je logt en waarom.
• Rijksinspectie Digitale Infrastructuur: in de praktijk zijn toegangsrechten vaak ruimer ingericht dan nodig. Minimale toegang, gecombineerd met MFA en logging, voorkomt dat een aanvaller na een eerste inbraak vrij door je systemen loopt (bron: rdi.nl, basisprincipes digitale weerbaarheid).

Vertaald naar een checklist voor je wachtwoordmanager:

• MFA staat verplicht aan voor iedereen die de manager gebruikt.
• Op de zakelijke mail en chat staat MFA; gebruik passkeys waar een dienst dat aanbiedt (het NCSC noemt passkeys als optie).
• Elke gedeelde kluis heeft een eigenaar die weet wie erin zit.
• Medewerkers zien alleen de kluizen die bij hun functie horen.
• Er zijn minstens twee beheerders, zodat je niet buitengesloten raakt als één persoon ziek is of vertrekt.
• Je loopt elk kwartaal de lijst met gebruikers en rechten na en haalt weg wat niet meer nodig is.
• Het logboek staat aan en iemand kijkt er af en toe naar.

Zet de afspraken op één A4: welke manager jullie gebruiken, welke kluizen er zijn, wie beheerder is, dat delen alleen via de kluis gaat en wie je belt bij een vermoeden van een lek. Wil je verder kijken dan wachtwoorden, met MFA, updates, back-ups en endpoint security? De tien maatregelen op volgorde staan in cybersecurity voor het mkb.

Wat doe je als een medewerker vertrekt?

Ook bij een vertrek in goede harmonie wil je dat de toegang op de laatste werkdag stopt. Werk deze volgorde af:

1. Trek de toegang tot de wachtwoordmanager in. Daarmee verliest iemand in één keer de gedeelde kluizen. Kijk in het logboek welke items die persoon kon gebruiken.
2. Zet het hoofdaccount dicht. Bij Microsoft 365 reset je eerst het wachtwoord en kies je “Sign out of all sessions”. Volgens Microsoft moet iemand binnen een uur opnieuw inloggen, omdat een toegangstoken een uur geldig is. Blokkeren van het account kan tot 24 uur duren; daarom adviseert Microsoft om voor directe afsluiting eerst het wachtwoord te resetten (bron: learn.microsoft.com, “Prevent user sign-in and block access to Microsoft 365”).
3. Controleer herstelgegevens. Staat bij een belangrijk account een privémailadres of privénummer van de vertrekker als herstelmethode? Haal het weg.
4. Wijzig gedeelde wachtwoorden, de gevoeligste eerst: bank, betaalomgeving en salarisadministratie, dan beheeraccounts en externe toegang, daarna social media en leveranciersportalen. Met een manager zie je welke items die persoon kon openen; je hoeft niet te gokken.
5. Ruim op. Verwijder accounts die niemand meer gebruikt en pas de rechtenmatrix aan.

Alleen het hoofdaccount blokkeren is niet genoeg: gedeelde logins, in een browser opgeslagen wachtwoorden en API-sleutels blijven werken tot je ze wijzigt. Leg de stappen vast in je vertrekproces, naast het inleveren van laptop en pas. Het NCSC biedt bij basisprincipe 4 een template voor in- en uitdiensttreders. HR-pakketten met offboarding-workflows zetten zulke taken automatisch klaar; welke pakketten dat doen staat in HR-software voor het mkb vergeleken.

Wat doe je als een wachtwoord is gelekt?

Of je inloggegevens ooit zijn gelekt, kun je volgens de KVK controleren op de site van de politie of op haveibeenpwned.com. Staat een wachtwoord op straat, wijzig het dan direct, ook op elke plek waar je hetzelfde wachtwoord gebruikte, en controleer of MFA aanstaat. Zakelijke managers helpen hierbij: NordPass Business heeft monitoring van datalekken en van de sterkte van wachtwoorden.

Kwam het lek via een nagemaakte inlogpagina? Een wachtwoordmanager hoort je gegevens alleen in te vullen op de echte website, en kan nepsites volgens het Britse NCSC beter herkennen dan mensen. Hoe je team phishing zelf herkent, staat in de phishing-checklist voor je team.

Zijn bij het lek persoonsgegevens in verkeerde handen gekomen? Beoordeel dan of het een meldplichtig datalek is. Zo ja, dan meld je het binnen 72 uur na het ontdekken bij de Autoriteit Persoonsgegevens, via het meldloket datalekken. Twijfel je, dan raadt het NCSC aan toch te melden; blijkt het geen datalek, dan vul je de melding aan. Niet melden kan volgens het NCSC een boete opleveren; het NCSC raadt daarnaast aangifte bij de politie aan, zodat je schade kunt verhalen (bron: ncsc.nl, “Melden van een datalek”).

Welke aanpak past bij jouw bedrijf?

Wat kost een zakelijke wachtwoordmanager?

Als voorbeeld de prijzen van NordPass, per gebruiker per maand, excl. btw (nordpass.com/plans/business, gecontroleerd op 10 november 2026):

Bij een 2-jarenplan is het €1,79 voor Teams en €3,59 voor Business. Business kun je 14 dagen gratis proberen zonder creditcard. Van 21 oktober tot 9 december 2026 geeft NordPass met de code BF20OFF 20% korting op een nieuw 1- of 2-jarenplan Business of Enterprise, voor 5 tot 30 gebruikers. Volgens de actievoorwaarden geldt dat alleen voor nieuwe klanten en alleen voor de eerste looptijd; bij verlenging betaal je de gewone prijs.

Rekenvoorbeeld voor 10 gebruikers per jaar, excl. btw:

Een jaarplan bespaart bij Business dus €240 per jaar ten opzichte van het maandplan. Teams is het goedkoopst, maar je koopt altijd tien gebruikers en je mist delen per groep of map.

Kies NordPass Teams als je met zes tot tien mensen werkt en vooral een handvol logins deelt. Kies NordPass Business als je afdelingen hebt, per groep of map wilt delen of wilt weten wanneer een wachtwoord in een datalek opduikt. Zoek je een andere aanbieder, of SSO met Entra ID of Okta, vergelijk dan de vijf aanbieders in wachtwoordmanagers voor bedrijven. We hebben de pakketten niet zelf getest; prijzen en functies komen van de sites van de aanbieders.

Probeer NordPass Business 14 dagen gratis →

Krijg je subsidie voor een wachtwoordmanager?

Ja, als je op tijd bent. Via de regeling Mijn Cyberweerbare Zaak vergoedt de overheid 50% van de kosten van onder meer een wachtwoordmanager, met een maximum van €1.250 per aanvrager (bron: ncsc.nl/subsidie). Aanvragen kan bij RVO tot en met maandag 30 november 2026, 17.00 uur. Het budget van €1 miljoen wordt verdeeld op volgorde van binnenkomst; RVO raadt aan niet te wachten tot twee weken voor de sluiting.

De voorwaarden die voor een wachtwoordmanager het meest uitmaken (RVO):

• Je bedrijf staat ingeschreven bij de KVK, heeft maximaal 50 werknemers en had in het afgelopen boekjaar minder dan €10 miljoen omzet.
• De wachtwoordmanager telt mee voor maximaal 1 jaar.
• De subsidiabele kosten zijn minimaal €400.
• Alleen nieuwe of extra licenties tellen; een bestaand abonnement verlengen niet.
• Niet meer accounts dan er mensen werken. Een pakket van tien gebruikers bij zes medewerkers past daar slecht bij.
• De licentie is na 7 september 2026 afgenomen, ingevoerd én volledig betaald.
• Kreeg je in 2023, 2024 of 2025 al MCZ-subsidie voor een wachtwoordmanager, dan kun je dat niet opnieuw voor dezelfde categorie.
• Algemene abonnementen waarin beveiliging zit, zoals Microsoft 365 Premium of Google Workspace, tellen niet.

Rekenvoorbeeld met NordPass Business, 1-jarenplan, excl. btw:

€47,88 is €3,99 × 12 maanden per gebruiker. Drie dingen vallen op:

1. Met alleen NordPass Business haal je het minimum pas vanaf 9 gebruikers. Bij 8 gebruikers kom je op €383,04.
2. De actiekorting kan je onder de €400 duwen. Met BF20OFF kosten 10 gebruikers €383,04 in het eerste jaar (€478,80 × 0,8). Dan haal je het minimum niet, tenzij je meer gebruikers neemt (vanaf 11: €421,34) of een tweede maatregel toevoegt.
3. Het maximum van €1.250 haal je met alleen NordPass Business niet. Daarvoor zou je €2.500 moeten uitgeven, ruim 52 gebruikers, terwijl de regeling uitgaat van maximaal 50 werknemers en niet meer accounts dan er mensen werken.

Kom je onder de €400, combineer dan in één aanvraag met een andere maatregel uit de lijst: antivirussoftware voor een jaar, tweefactorauthenticatie voor interne systemen, back-ups of een cyber awareness training. Prijzen van zakelijke antivirus staan in zakelijke antivirus vergeleken, en wat een phishingtraining oplevert in de phishing-checklist. Of de btw meetelt voor de €400, staat niet op de RVO-pagina; RVO vraagt wel facturen met het bedrag inclusief en exclusief btw. Reken voor de zekerheid met bedragen excl. btw.

Zo vraag je aan (RVO):

1. Doe de CyberVeilig Check van het NCSC en bewaar het advies als pdf. Zonder dat advies wordt je aanvraag afgewezen.
2. Neem de wachtwoordmanager af, voer hem in en betaal volledig, bij voorkeur per bank: bij een creditcard kan het afschrift volgens RVO pas een maand later beschikbaar zijn.
3. Dien de aanvraag in met het advies, de factuur en het bankafschrift. Je logt in met eHerkenning, minimaal niveau 2+ met een machtiging voor RVO-diensten.

RVO beslist binnen 8 weken op een volledige aanvraag en betaalt een toegekende subsidie binnen 2 weken uit.

Bronnen

Gecontroleerd op 10 november 2026:

• NCSC: Hoe kies ik een wachtwoordmanager? (ncsc.nl/multifactor-authenticatie/hoe-kies-ik-een-wachtwoordmanager)
• NCSC: Basisprincipe 4, beheer toegang tot data en diensten (ncsc.nl/basisprincipes)
• NCSC: Subsidieregeling Mijn Cyberweerbare Zaak (ncsc.nl/subsidie)
• NCSC: Melden van een datalek (ncsc.nl/wet-en-regelgeving/melden-van-een-datalek)
• KVK: Sterke wachtwoorden bedenken? Gebruik een wachtwoordmanager
• Autoriteit Persoonsgegevens: Toegang tot persoonsgegevens
• RVO: Mijn cyberweerbare zaak (MCZ)
• Rijksinspectie Digitale Infrastructuur: Basisprincipes digitale weerbaarheid in de praktijk (rdi.nl)
• NCSC (Verenigd Koninkrijk): Password manager buyers guide (ncsc.gov.uk)
• Microsoft Learn: Prevent user sign-in and block access to Microsoft 365 (learn.microsoft.com)
• NordPass: prijzen en plannen voor bedrijven (nordpass.com/plans/business) en de actievoorwaarden van de BF20OFF-korting