Regelmatig wordt mij gevraagd hoe ik aankijk tegen het afsluiten van een cyberverzekering. De dooddoener dat het nut van een cyberverzekering in sterke mate afhankelijk is van de omstandigheden is uiteraard waar, maar niet erg behulpzaam. Daar zijn de vragenstellers doorgaans niet mee geholpen. Wat vaak wel helpt is om even een stapje terug te zetten en het verzekeringsvraagstuk te benaderen vanuit een risicomanagement perspectief.

Nog niet zo heel lang geleden konden bedrijven makkelijk een cyberverzekering afsluiten. Dat is niet meer het geval. Verzekeraars ontdekten namelijk al snel dat het uitkeringsrisico steeds groter werd en dat haalde de business case onderuit. Daarom moeten bedrijven tegenwoordig aan een flinke hoeveelheid eisen voldoen om uberhaupt in aanmerking te komen voor een cyberverzekering: alleen wanneer het risicoprofiel van jouw bedrijf binnen, voor verzekeraars, acceptabele grenzen valt, mag jij een cyberverzekering afsluiten. En eigenlijk is dat maar goed ook. Ik zal uitleggen waarom.

Risicomanagement

In de basis zijn er vier wijzen om een risico te behandelen en in sommige gevallen kunnen deze ook gecombineerd worden toegepast:

1. Accepteren  Er is voldoende risicobereidheid om het risico te laten bestaan. Vaak wegen de te maken kosten niet op tegen het risico. Bijvoorbeeld omdat de kans extreem laag is.
2. Vermijden  Iets niet doen, waardoor het bijhorende risico ook niet kan optreden. Bijvoorbeeld geen gebruik maken van een bepaalde technologie.
3. Verlagen  Het nemen van technische en-of organisatorische maatregelen, van preventieve, detectieve, respressieve of correctieve aard, om het bruto risico te verlagen tot een acceptabel restrisico. Er zijn tegenwoordig genoeg baselines, best practices of standaarden die beschrijven welke maatregelen je allemaal kunt nemen.
4. Overdragen  Hoewel het belangrijk is om te beseffen dat beveiligingsrisico s op zichzelf, doorgaans, niet overdraagbaar zijn, is het wel mogelijk om de, financiele, consequenties van het desbetreffende beveiligingsrisico over te dragen. Bijvoorbeeld aan een verzekeraar.

Een cyberverzekering is dus een voorbeeld van overdragen. Het maakt de kans en impact van een cyberincident niet kleiner, maar zorgt er wel voor dat de financiele gevolgen, deels, zijn gedekt. 

Deze versturen we 3-4x per jaar.