- Datalekken, ransomware en menselijke fouten leiden tot verliezen van miljoenen euro's die de investeringen in preventieve cyberbeveiliging ver overstijgen.
- Er ontstaat een steeds grotere kloof tussen de kosten van cybercriminaliteit en de budgetten die worden toegewezen aan beveiliging, met name bij het mkb en in strategische sectoren.
- De nieuwe cyberbeveiligingswet verplicht duizenden bedrijven om grote bedragen te investeren in risicobeheer, incidentbestrijding en training.
- De kosten voor het voldoen aan deze vereisten zijn lager dan de financiële, juridische en reputatieschade van een ernstig cyberincident dat niet goed wordt beheerd.
Het gaat bij cybersecurity niet langer alleen om antiviruslicenties of het inhuren van een IT-specialist als er iets misgaat. Tegenwoordig lopen de kosten die een bedrijf loopt bij een ernstig beveiligingsincident veel hoger op dan een redelijke investering in bescherming , en gegevens van verzekeraars, adviesbureaus en overheidsinstanties maken dit overduidelijk.
Hoewel het aantal en de complexiteit van cyberaanvallen explosief toenemen, blijven veel bedrijven onvoldoende beschermd . Dit komt door krappe budgetten, fragmentarische maatregelen en een mentaliteit van "het overkomt mij niet", die, wanneer het eerste incident zich voordoet, zeer kostbaar blijkt. Van grote industriële en energieconcerns tot lokale mkb's, de discrepantie tussen het aangenomen risico en het daadwerkelijk toegewezen geld voor risicobeperking wordt steeds duidelijker.
De directe kosten van cyberincidenten: schrikbarende cijfers
Bij de analyse van grootschalige cyberverzekeringsclaims blijkt dat datalekken en inbreuken op de privacy het meest voorkomende type incident zijn en bovendien uiteindelijk de grootste financiële verliezen veroorzaken. Het gaat hierbij om gevallen variërend van een handvol getroffen personen tot incidenten die meer dan een miljoen klanten treffen, met alle gevolgen van dien op het gebied van meldingen, crisismanagement, juridische bijstand, boetes en reputatieschade.
Een wereldwijde studie, gebaseerd op 4.650 verzekeringsclaims in bijna 90 landen over een periode van tien jaar, schat de gemiddelde kosten van een cyberaanval op ongeveer 2,4 miljoen dollar per incident. Wanneer het probleem een massaal datalek betreft, neemt de impact nog verder toe: de gemiddelde kosten van een datalek bedragen ongeveer 3,9 miljoen dollar, inclusief technische, juridische, operationele en reputatieschade.
Bovendien is de impact van "grote incidenten" enorm: slechts 4% van de incidenten overschrijdt de grens van 10 miljoen dollar, maar deze kleine groep is verantwoordelijk voor ongeveer 91% van de totale geregistreerde verliezen. In extreme gevallen zijn sommige schadeclaims opgelopen tot duizelingwekkende bedragen van wel 331 miljoen dollar, wat de verwoestende potentie illustreert van een goed gerichte aanval op een zeer kwetsbare organisatie.
Een factor die steeds terugkomt, is het gebrek aan adequate beveiligingsmaatregelen . Ongeveer een kwart van de geanalyseerde verliezen is te wijten aan gebrekkige beveiliging: systemen zonder updates , zwakke toegangscontroles, gebrek aan toezicht door leveranciers of een gebrek aan respons- en herstelplannen die een snelle terugkeer naar de normale bedrijfsvoering mogelijk maken.
Belangrijkste oorzaken van verliezen: derden, menselijke fouten en ransomware.
Bij het onderzoeken van de oorsprong van veel van deze incidenten wordt duidelijk dat een aanzienlijk deel van de verliezen als gevolg van datalekken te wijten is aan leveranciers en derden . Ongeveer de helft van deze incidenten is het gevolg van storingen of aanvallen bij partners die klant- en werknemersgegevens opslaan of verwerken. Dit vereist een grondige en regelmatige cybersecurity-audit in de gehele toeleveringsketen, en niet alleen binnen de organisatie zelf.
Menselijke fouten blijven een klassieke boosdoener. Ongeveer 24% van de verliezen als gevolg van datalekken is te wijten aan onzorgvuldigheid of slechte werkwijzen van werknemers of partners: klikken op links in phishing-e-mails, reageren op frauduleuze berichten, gevoelige documenten naar de verkeerde ontvanger sturen of inloggegevens delen zonder voldoende voorzorgsmaatregelen. Een goed onboarding- en trainingsprogramma vermindert deze risico's aanzienlijk.
Ondertussen blijven ransomware- aanvallen toenemen. Dit type malware versleutelt of blokkeert systemen en gegevens en eist losgeld in ruil voor het herstellen van de toegang. In veel gevallen wordt dit gecombineerd met datadiefstal en publicatie om de druk op te voeren. Het model is zo geavanceerd geworden dat er aanbieders zijn ontstaan die ransomware-as-a-service aanbieden , waarbij ze kits, infrastructuur en ondersteuning leveren aan andere criminelen in ruil voor een percentage van het losgeld.
Dit scenario maakt een goed ontworpen, getest en actueel bedrijfscontinuïteits- en herstelplan essentieel : robuuste en geïsoleerde back-ups, duidelijke procedures voor het isoleren van gecompromitteerde systemen, gecoördineerde interne en externe communicatie en, bovenal, regelmatige oefeningen om improvisatie te voorkomen wanneer het bedrijf wordt aangevallen.
De kloof tussen risico en budget in cyberbeveiliging.
Terwijl aanvallers hun tools en methoden verfijnen, houden de uitgaven aan bescherming niet altijd gelijke tred. In markten zoals Spanje suggereren recente schattingen dat de kosten van cybercriminaliteit tegen 2028 met maar liefst 148% zouden kunnen stijgen tot ongeveer € 69.000 miljard. Het budget voor cyberbeveiliging groeit echter met iets minder dan 6% per jaar, waardoor een steeds zorgwekkender kloof ontstaat tussen de omvang van het risico en het niveau van de daadwerkelijke verdediging.
Deze situatie is met name kritiek in strategische sectoren , waar een verstoring van de activiteiten niet alleen economische verliezen veroorzaakt, maar ook de veiligheid, de bevoorrading en de essentiële diensten van een land aantast. In het afgelopen jaar was de maakindustrie verantwoordelijk voor ongeveer een kwart van de geregistreerde aanvallen, gevolgd door de energie- en toeleveringssector en het transport, die ook een aanzienlijk percentage incidenten telden.
Spraakmakende gevallen zoals de cyberaanval op een grote Britse autofabrikant, die wordt beschouwd als een van de kostbaarste in dat land, maken duidelijk dat een enkel incident de productie kan lamleggen, toeleveringsketens kan verstoren, de reputatie kan schaden en kan leiden tot schadeclaims van miljoenen dollars.
Ondanks dit vooruitzicht vertonen veel organisaties nog steeds een laag niveau van cybersecurityvolwassenheid. Recente rapporten geven aan dat slechts een klein deel van de bedrijven, ongeveer 2%, een alomvattende cyberweerbaarheidsstrategie heeft geïmplementeerd – dat wil zeggen een holistische aanpak die niet alleen gericht is op het voorkomen van aanvallen, maar ook op het weerstaan ervan en het snel en gecontroleerd herstellen ervan.
Het goede nieuws is dat een grote meerderheid van de leidinggevenden nu de noodzaak inziet om dit gebied te versterken. Meer dan driekwart van de bedrijven verwacht hun cybersecuritybudgetten op korte termijn te verhogen, en een aanzienlijk aantal plant zelfs een verhoging met dubbele cijfers. Zij zijn zich ervan bewust dat het uitstellen van deze investeringen de kosten in de toekomst alleen maar zal verhogen.
Digitalisering, connectiviteit en een nieuw aanvalsoppervlak
Digitale transformatie heeft de werkmethoden in uiteenlopende sectoren zoals hulpdiensten, logistiek, infrastructuuronderhoud en defensie radicaal veranderd. Dankzij verbonden mobiele telefoons en laptops hebben gebruikers toegang tot realtime informatie, kunnen ze routes optimaliseren, teams coördineren en de uitvaltijd verkorten. Deze connectiviteit vergroot echter ook het speelveld voor aanvallers . Digitale transformatie vereist specifieke maatregelen om te voorkomen dat het risico toeneemt.
In afgelegen of buitengebieden, waar direct toezicht van het IT-team beperkt of afwezig is, nemen de risico's toe: ongeautoriseerde toegang tot bedrijfssystemen, verlies of diefstal van apparaten met gevoelige gegevens, verbindingen met onbeveiligde draadloze netwerken en het gebruik van ongecontroleerde applicaties. Dit alles creëert een ideale situatie waarin een ogenschijnlijk kleine beveiligingsinbreuk kan uitgroeien tot een ernstig probleem.
Robuuste apparaten (draagbare laptops en tablets) die in deze sectoren worden gebruikt, zijn ontworpen om te functioneren onder extreme omstandigheden en bieden geavanceerde connectiviteit, of het nu 4G LTE of 5G is, zelfs in afgelegen gebieden. Meer connectiviteit zonder een goede beveiligingsstrategie is echter een recept voor rampspoed: meer toegangspunten, meer apparaten om te beveiligen en meer identiteiten om te beheren.
Om deze risico's te beperken, is een meerlaagse, op de eindpunten gerichte beveiligingsaanpak zinvol: hardware met verbeterde beveiligingsfuncties vanaf het firmwareniveau, besturingssystemen geconfigureerd met standaard beveiligingsprincipes, robuuste identiteitscontroles (zoals multifactorauthenticatie), volledige schijf- en communicatieversleuteling en monitoringtools die het mogelijk maken om verdachte activiteiten in realtime te detecteren.
Op basis hiervan is het raadzaam om extra beveiligingslagen toe te voegen, zoals het systematische gebruik van beveiligde VPN's voor toegang op afstand, strikte beleidsregels voor het beheren van software- en firmware-updates (om te voorkomen dat er openingen ontstaan voor bekende kwetsbaarheden) en incidentresponsplannen die rekening houden met de specifieke context van het werk in het veld.
Meet cyberrisico's en geef prioriteit aan investeringen.
Een van de grootste uitdagingen voor veel bedrijven is de overgang van beslissingen gebaseerd op intuïtie of algemene angsten naar een kwantitatieve aanpak van cyberrisicomanagement . De meeste managers zijn het erover eens dat het meten van cyberrisico's essentieel is om te bepalen waar budgetten aan moeten worden toegewezen, welke projecten prioriteit moeten krijgen en welke beheersmaatregelen het meest kosteneffectief zijn om de blootstelling te verminderen.
Slechts een minderheid van de organisaties geeft echter aan middelen toe te wijzen op een manier die daadwerkelijk is afgestemd op de gebieden met het hoogste risico. De meest voorkomende obstakels zijn onzekerheid over de werkelijke omvang van de bedreigingen , een gebrek aan betrouwbare gegevens, de moeilijkheid om die informatie om te zetten in voor de organisatie begrijpelijke meetbare waarden en wantrouwen jegens beschikbare kwantificeringsmodellen.
Desondanks wint het gebruik van financiële impactanalyses voor verschillende soorten incidenten aan populariteit. Deze oplossingen helpen bijvoorbeeld inschatten hoeveel een langdurige uitval van een kritiek systeem zou kosten, of wat de impact zou zijn van een grootschalig datalek bij klanten, afhankelijk van de sector, de geldende regelgeving en de reactiecapaciteit van het bedrijf.
Niet alleen grote bedrijven, maar ook mkb's zouden baat kunnen hebben bij eenvoudigere methoden om dit te kwantificeren, al was het maar om een geschatte waarde van potentiële verliezen te vergelijken met de huidige uitgaven aan beveiliging. Deze vergelijking is vaak onthullend en laat zien hoe goedkoop investeren in cyberbeveiliging eigenlijk is in vergelijking met de kosten van een ernstig incident.
In deze context kan nauwe samenwerking met verzekeraars en gespecialiseerde tussenpersonen zeer nuttig zijn. Het delen van informatie over aanbieders, technologiearchitectuur en bedrijfsprocessen maakt een betere afstemming van polislimieten, dekking en uitsluitingen mogelijk, waardoor de kans op onaangename verrassingen bij een schadeclaim kleiner wordt.
Wat wordt er daadwerkelijk uitgegeven: het geval van Spaanse mkb's
Als we kijken naar het niveau van kleine en middelgrote ondernemingen (mkb's), dan zien we dat de investeringen in cyberbeveiliging doorgaans erg laag zijn . Een recent onderzoek, gebaseerd op interviews met meer dan duizend Spaanse mkb's, toont aan dat bijna de helft van hen minder dan 500 euro per jaar besteedt aan digitale beveiliging. Dit is een duidelijk ontoereikend bedrag gezien de risico's waaraan ze blootgesteld worden.
In het volgende segment geeft ongeveer 18% van de mkb-bedrijven aan jaarlijks tussen de €500 en €2.000 te besteden, terwijl slechts een klein percentage de €2.000-grens overschrijdt. Een van de belangrijkste belemmeringen voor investeringen is de perceptie dat de implementatiekosten te hoog zijn , iets wat vaak meer voortkomt uit een gebrek aan begrip dan uit daadwerkelijke cijfers.
Andere belemmeringen zijn meer cultureel van aard of hebben te maken met perceptie: een kwart van de mkb-bedrijven gelooft dat er geen noodzaak is om verder te gaan dan wat ze al hebben (hoewel dat vaak neerkomt op weinig meer dan een basisantivirus). Daarbij komt nog het gevoel dat cybersecurity te complex is om te beheren of dat er geen gekwalificeerd personeel beschikbaar is, waardoor veel bedrijven de stap niet durven te zetten, ondanks het bestaan van beheerde oplossingen en diensten die zijn afgestemd op vrijwel elk budget.
Bovendien beschouwt ongeveer de helft van deze bedrijven de Europese regelgeving inzake digitalisering eerder als een belemmering dan als een hulp, waardoor ze moeten voldoen aan eisen die ze met hun huidige middelen moeilijk kunnen nakomen. Paradoxaal genoeg erkennen veel van deze organisaties dat investeringen in digitalisering en clouddiensten al economische voordelen en operationele efficiëntie opleveren.
Vier op de tien mkb-bedrijven geven aan al een positief rendement te behalen met digitalisering, en een aanzienlijk percentage ziet cybersecurity als een factor die een gunstige invloed kan hebben op hun winstgevendheid. Het probleem is meestal niet een gebrek aan bewijs voor de waarde, maar eerder de moeilijkheid om die waarde te vertalen naar concrete en duurzame budgettaire beslissingen.
AI, productiviteit en nieuwe veiligheidsuitdagingen
Een ander relevant aspect van de werkelijke kosten van cybersecurity is de toepassing van tools voor kunstmatige intelligentie . In het mkb geeft iets meer dan een derde aan al gebruik te maken van AI-oplossingen, waarbij generatieve assistenten een belangrijke rol spelen in documentbeheer, tekstverwerking, data-analyse en ondersteuning voor marketing, verkoop of klantenservice.
Voor degenen die deze technologieën al gebruiken, is de belangrijkste drijfveer het verhogen van de productiviteit en efficiëntie : het verminderen van handmatig werk, het versnellen van contentcreatie, het verbeteren van de klantenservice met chatbots of het faciliteren van besluitvorming door middel van geautomatiseerde analyses. Een aanzienlijk aantal van deze bedrijven is van plan om de komende maanden meer te investeren in AI.
Bij mkb-bedrijven die de overstap nog niet hebben gemaakt, is de grootste hindernis meestal niet de financiële kosten, die slechts een zeer klein percentage als voornaamste probleem noemt. Wat zwaarder weegt, is het ontbreken van een duidelijke toepassing in hun dagelijkse bedrijfsvoering of een gebrek aan kennis van de beschikbare oplossingen. Dit betekent dat veel organisaties kansen missen om hun concurrentievermogen te verbeteren en tegelijkertijd hun beveiliging te versterken met AI-gebaseerde tools.
Het is belangrijk om te onthouden dat AI zelf ook een wapen in handen van aanvallers is geworden. Automatisch gegenereerde phishing , deepfakes van spraak en video, en steeds geavanceerdere social engineering-aanvallen maken het steeds moeilijker om een frauduleuze poging te onderscheiden van legitieme communicatie. Dit zet bedrijven nog meer onder druk om hun AI-beveiligingsprogramma's en technische controles te versterken.
In deze context kan de combinatie van AI voor het verbeteren van processen en het detecteren van bedreigingen, samen met duidelijke beleidsregels voor het verantwoord gebruik van deze tools, het verschil maken tussen het behalen van efficiëntie zonder verlies van veiligheid, of het onbedoeld creëren van nieuwe kwetsbaarheden binnen de organisatie.
De rol van cyberrisicobeleid en de beperkingen ervan.
Cyberrisicoverzekeringen zijn een belangrijk onderdeel geworden van het risicomanagementsysteem. Over het algemeen dekt dit type verzekering claims die verband houden met incidenten zoals phishing met datalekken, bedrijfsstoringen, ransomware-aanvallen en andere gebeurtenissen met betrekking tot digitale systemen en activa.
Uit de analyse van schadeclaims blijkt dat bij de meeste datalekken ongeveer 94% van de verliezen gedekt is door deze polissen, mits het incident voldoet aan de contractuele voorwaarden. Wanneer de oorzaak van het probleem echter binnen de verzekerde organisatie zelf ligt, daalt dit percentage van de effectieve dekking tot ongeveer 83%.
Drie belangrijke oorzaken van conflicten in de dekking springen eruit: het indienen van claims buiten de gestelde termijn , het niet activeren van bepaalde clausules die specifieke acties van de verzekerde vereisten, en beslissingen van de verzekeringsmaatschappij zonder voorafgaande toestemming van de verzekeraar, die in sommige gevallen een deel van de garanties ongeldig kunnen maken.
Om dergelijke situaties te voorkomen, is het cruciaal dat organisaties volledig begrijpen wat hun polis dekt, wat de uitsluitingen zijn en wat hun verplichtingen zijn in geval van een incident. Vroegtijdige en vlotte communicatie met de verzekeringsmakelaar en verzekeraar, met informatie over kritieke leveranciers, gevoelige activa en bekende kwetsbaarheden, zorgt ervoor dat de verzekeringspolis daadwerkelijk is afgestemd op de risico's van het bedrijf.
Bovendien voorkomt de integratie van het beleid in een bredere strategie voor cyberweerbaarheid de valse indruk dat een verzekering alles oplost. Financiële dekking helpt de impact op te vangen, maar voorkomt aanvallen niet en vervangt evenmin de noodzaak van robuuste procedures, getraind personeel en geschikte technologie.
De nieuwe cyberbeveiligingswet en de kosten van naleving ervan.
In Europa legt de omzetting van de NIS2-richtlijn in een nieuwe cyberbeveiligingswet de lat hoger voor duizenden bedrijven, met name voor bedrijven die actief zijn in sectoren die als cruciaal of essentieel voor de economie en de samenleving worden beschouwd. In Spanje zullen naar schatting bijna 6.000 organisaties zich aan deze regelgeving moeten aanpassen en de bijbehorende implementatiekosten moeten dragen.
De wet maakt onderscheid tussen essentiële en belangrijke entiteiten . Essentiële entiteiten betreffen voornamelijk bedrijven in zeer kritieke sectoren (energie, transport, bankwezen, gezondheidszorg, waterbeheer, digitale infrastructuur, ICT-diensten voor derden, ruimtevaart of de nucleaire industrie) die ook bepaalde drempelwaarden voor omvang en omzet overschrijden, evenals aanbieders van betrouwbare diensten, domeinen en openbare communicatienetwerken, onder andere. Alle andere organisaties die onder de wet vallen maar niet aan de essentiële vereisten voldoen, worden beschouwd als belangrijke entiteiten.
De kosten voor aanpassing variëren aanzienlijk, afhankelijk van het uitgangspunt. Voor grote organisaties die hun cybersecurity-infrastructuur praktisch vanaf nul moeten opbouwen, bedragen de gemiddelde geschatte investering ongeveer € 180.000. Organisaties die al ongeveer 27% van de vereiste maatregelen hebben geïmplementeerd, kunnen te maken krijgen met aanpassingskosten van circa € 131.000.
Voor essentiële entiteiten schieten de bedragen omhoog: entiteiten die beginnen met een zeer laag implementatieniveau hebben mogelijk investeringen van meer dan € 2 miljoen nodig, terwijl entiteiten die al aan ongeveer de helft van de eisen voldoen, circa € 1,19 miljoen nodig hebben. Bedrijven die al onder het vorige kader (NIS1) vallen, hebben veel lagere extra kosten, in de orde van € 100.000, om zich aan de nieuwe eisen aan te passen.
Als al deze inspanningen worden gecombineerd, schat de regering dat de gehele getroffen productiesector zo'n 2.250 miljard euro zou kunnen investeren in de aanpassing aan de nieuwe wetgeving. Dit is een aanzienlijk bedrag, maar het moet worden geïnterpreteerd in het licht van de kosten, zowel financieel als maatschappelijk, van een reeks ernstige incidenten in strategische sectoren zonder een gemeenschappelijk minimumniveau van bescherming.
Vereiste maatregelen: van risicobeheer tot sancties
De cyberbeveiligingswet gaat verder dan algemene aanbevelingen: ze verplicht bedrijven die onder de wet vallen om een uitgebreid pakket maatregelen te treffen , variërend van risicobeheer tot personeelstraining. Belangrijke vereisten zijn onder meer het ontwikkelen van robuuste beveiligingsprotocollen, regelmatige risicoanalyses, systematisch kwetsbaarheidsbeheer en het opstellen van duidelijke procedures voor incidentafhandeling.
De noodzaak van frequente en betrouwbare back-ups, mechanismen voor noodherstel en crisismanagementprotocollen om te voorkomen dat beveiligingsincidenten de bedrijfsvoering dagen of wekenlang lamleggen, wordt eveneens benadrukt. Beveiliging van de toeleveringsketen staat opnieuw centraal, waardoor organisaties gedwongen worden de beveiliging van hun leveranciers en technologiepartners te bewaken.
Een ander belangrijk aspect is de afhandeling en rapportage van incidenten . Bedrijven moeten beschikken over diensten die snel kunnen reageren wanneer ze een probleem detecteren, de impact ervan kunnen beperken en de normale gang van zaken zo snel mogelijk kunnen herstellen. Daarnaast moeten ze de relevante autoriteiten en betrokkenen binnen vastgestelde termijnen en met heldere informatie op de hoogte stellen.
De regelgeving vereist ook de aanstelling van een functionaris voor informatiebeveiliging die fungeert als intern aanspreekpunt en contactpersoon met de autoriteiten. Het benadrukt het belang van continue training in cyberbeveiliging voor managers en medewerkers, en erkent dat technologie alleen onvoldoende is als mensen risico's niet kunnen herkennen en beheersen.
Om naleving te garanderen, zijn certificeringsmechanismen gepland voor essentiële entiteiten, begeleide zelfevaluaties voor belangrijke entiteiten en ruime bevoegdheden voor toezichthoudende autoriteiten, die audits kunnen uitvoeren, informatie kunnen opvragen en sancties kunnen opleggen. In de ernstigste gevallen kunnen boetes oplopen tot € 10 miljoen, en er wordt ook overwogen om maatregelen te nemen zoals het opschorten van certificeringen of het tijdelijk beperken van taken voor hoge functionarissen totdat de geconstateerde tekortkomingen zijn verholpen.
Als je de investeringsbedragen die nodig zijn om de beveiliging te versterken vergelijkt met de potentiële economische, juridische en reputatieschade van een ernstig incident, wordt het al snel duidelijk dat de ogen sluiten voor de risico's veel duurder uitpakt . Inzicht in de werkelijke kosten van cybersecurity betekent erkennen dat de bescherming van systemen, data en processen geen bijkomende kostenpost is, maar een essentieel onderdeel van het bedrijfsmodel; hoe eerder bedrijven dit beseffen, hoe minder ze de prijs zullen betalen voor passiviteit wanneer de volgende aanval plaatsvindt.
