Tussen ransomware, door AI aangedreven fraude en uitgebreide regelgeving, weegt het digitale risico nu zwaarder in de balansen dan de meeste traditionele schadegevallen. Het meten van het verschil tussen de werkelijke kosten van een cyberaanval en het beschermingsbudget dat door bedrijven is gemobiliseerd, helpt te begrijpen waarom de verzekeringsdekking zich heeft opgelegd als een strategische post.
Kosten van een cyberincident versus het beschermingsbudget: de werkelijke verschillen
De beschikbare cijfers schetsen een duidelijk onevenwicht. Het bureau Asterès schat dat honderdduizenden succesvolle cyberaanvallen elk jaar Franse organisaties treffen, met een totale kostenraming in miljarden euro’s. Vergeleken met het incident lijdt een Franse KMO gemiddeld aanzienlijke schade per aanval.
De losgeld, als dat er is, vertegenwoordigt slechts een fractie van de rekening. Het grootste deel van de schade komt voort uit de onderbreking van de activiteit, het herstel van de systemen en de erosie van de klantrelatie. Een bedrijf zoals Lise Charmel, dat in gerechtelijk herstel is geplaatst na een ransomware-aanval, illustreert deze onevenredigheid tussen de initiële vraag van de aanvallers en het effect op de exploitatie.
| Kostenpost | Aandeel in de schade | Gedekt door cyberverzekering |
|---|---|---|
| Onderbreking van de activiteit | Zwaarste post | Ja (verlies van exploitatie) |
| Herstel van de systemen | Variabel afhankelijk van de infrastructuur | Ja (herstelkosten) |
| Notification en naleving van de AVG | Vaste kosten per incident | Ja (juridische kosten en notificatie) |
| Schade aan de reputatie | Moelijk te kwantificeren, vaak duurzaam | Deels (crisiscommunicatie) |
| Eigenlijk losgeld | Minoritaire fractie van het totaal | Afhankelijk van contract en wetgeving |
Deze tabel benadrukt een vaak onderschat punt: de kosten van de schade overschrijden ruimschoots het losgeld zelf. Een cyberverzekering dient niet alleen om een aanvaller te betalen, maar absorbeert ook de nevenkosten die de activiteit werkelijk in gevaar brengen.
Om de mechanismen van dekking beter te begrijpen, de cyberrisicoverzekering beschrijft de typische garanties en hun samenhang met crisisbeheer.
NIS2 en AVG: dubbele regelgeving voor bedrijven
De AVG regelt de bescherming van persoonlijke gegevens al enkele jaren. De Europese richtlijn NIS2 voegt een extra laag van vereisten toe, die bijzonder significant is voor KMO’s en ETI’s. Het breidt de reikwijdte uit van entiteiten die onderworpen zijn aan formele verplichtingen voor risicobeheer en incidentnotification.
Concreet betreft NIS2 niet langer alleen de aanbieders van kritieke diensten. Middelgrote bedrijven, zodra ze betrokken zijn in de toeleveringsketen van een gereguleerd sector, zijn verplicht hun niveau van cybersecurity aan te tonen. Een opdrachtgever kan van zijn leveranciers eisen dat ze bewijs van een cyberverzekeringsdekking leveren voordat ze een contract aangaan.
Wat NIS2 toevoegt aan het bestaande kader
- Een verplichting tot incidentnotification binnen strakke termijnen, met kosten voor het mobiliseren van technische en juridische teams die door de verzekering kunnen worden gedekt
- Vereisten voor governance van digitale risico’s op directieniveau, niet alleen van de IT-afdeling
- Een logica van uitgebreide verantwoordelijkheid in de waardeketen, waarbij de niet-verzekerde schakel het hele systeem verzwakt
De AVG sanctioneert de lekken van persoonlijke gegevens. NIS2 sanctioneert het gebrek aan voorbereiding. Beide komen samen. Een bedrijf dat een aanval ondergaat zonder een gedocumenteerd responsplan of een passende dekking, loopt het risico op sancties aan twee fronten tegelijk.
Door AI aangestuurde bedreigingen: het aanvalsvlak breidt zich uit voor KMO’s
De klassieke phishingcampagnes waren gebaseerd op generieke e-mails, vaak vol fouten. Generatieve AI heeft dit waarschuwingssignaal gewist. Frauduleuze berichten reproduceren nu de stijl van een bekende gesprekspartner, met een niveau van personalisatie dat zelfs getrainde medewerkers misleidt.
Stem- en video-deepfakes maken het veel moeilijker om presidentfraude te detecteren. Een telefoontje dat de stem van een leidinggevende imiteert, is soms voldoende om een overschrijving te activeren. Deze aanvallen richten zich in de eerste plaats op structuren waar de validatie op een klein aantal mensen berust, wat de meerderheid van de KMO’s beschrijft.
Tegelijkertijd vermenigvuldigt de migratie naar de cloud de toegangspunten. Een verkeerde configuratie van toegangsrechten op een gehoste dienst stelt gegevens bloot zonder dat er kwaadaardige software nodig is. Identiteitsaanvallen en fouten in cloudconfiguratie vertegenwoordigen een groeiend aandeel van de schadegevallen die aan verzekeraars zijn gemeld.
Waarom cybersecuritytools alleen niet voldoende zijn
Firewalls, antivirus, multi-factor authenticatie: deze systemen verminderen de kans op een aanval. Ze elimineren echter het residuele risico niet. Een cyberverzekering komt precies in beeld voor dit residu, dat wil zeggen het incident dat ondanks de aanwezige bescherming plaatsvindt.
Verzekeraars hebben dit begrepen en stellen steeds vaker de ondertekening afhankelijk van een minimaal pakket aan technische maatregelen. Deze eis creëert een vicieuze cirkel: om verzekerbaar te zijn, moet het bedrijf zijn cybersecurity versterken, wat de frequentie van schadegevallen vermindert en de premies stabiliseert.
Dekkingsgraad van Franse KMO’s: een aanhoudende kloof
Ongeveer 60 % van de KMO’s in Frankrijk heeft geen enkele dekking tegen cyberbedreigingen. Dit cijfer staat in contrast met de realiteit van aanvallen: meer dan de helft van de Franse bedrijven meldde in 2021 slachtoffer te zijn geweest van een cyberaanval.
Meerdere factoren verklaren deze kloof. De waargenomen kosten van de premie remmen kleine structuren, terwijl het bedrag doorgaans bescheiden blijft in vergelijking met de potentiële schade. De complexiteit van de contracten, met hun uitsluitingen en technische vereisten, ontmoedigt ook leidinggevenden die geen toegewijde veiligheidsverantwoordelijke hebben.
De markt evolueert echter. Modulaire aanbiedingen verschijnen, afgestemd op KMO’s met vereenvoudigde vragenlijsten en garanties die zijn aangepast aan een beperkte omzet. Cyberverzekering is niet langer voorbehouden aan grote groepen met een CISO: het wordt toegankelijk voor structuren met een paar werknemers die klant- of leveranciersgegevens verwerken.
De doorslaggevende factor blijft de aard van het risico. Een bedrijf dat gezondheidsgegevens, bankgegevens of gevoelige contractuele informatie opslaat, heeft een hoog risicoprofiel, ongeacht de grootte. Het evalueren van dit profiel voordat een dekkingsniveau wordt gekozen, blijft de eerste nuttige stap, lang voordat de tarieven worden vergeleken.