Wel of geen cyberverzekering?
Regelmatig wordt mij gevraagd hoe ik aankijk tegen het afsluiten van een cyberverzekering. De dooddoener dat het nut van een cyberverzekering in sterke mate afhankelijk is van de omstandigheden is uiteraard waar, maar niet erg behulpzaam. Daar zijn de vragenstellers doorgaans niet mee geholpen. Wat vaak wel helpt is om even een stapje terug te zetten en het verzekeringsvraagstuk te benaderen vanuit een risicomanagement perspectief.
Nog niet zo heel lang geleden konden bedrijven makkelijk een cyberverzekering afsluiten. Dat is niet meer het geval. Verzekeraars ontdekten namelijk al snel dat het uitkeringsrisico steeds groter werd en dat haalde de business case onderuit. Daarom moeten bedrijven tegenwoordig aan een flinke hoeveelheid eisen voldoen om uberhaupt in aanmerking te komen voor een cyberverzekering: alleen wanneer het risicoprofiel van jouw bedrijf binnen, voor verzekeraars, acceptabele grenzen valt, mag jij een cyberverzekering afsluiten. En eigenlijk is dat maar goed ook. Ik zal uitleggen waarom.
Risicomanagement
In de basis zijn er vier wijzen om een risico te behandelen en in sommige gevallen kunnen deze ook gecombineerd worden toegepast:
- Accepteren Er is voldoende risicobereidheid om het risico te laten bestaan. Vaak wegen de te maken kosten niet op tegen het risico. Bijvoorbeeld omdat de kans extreem laag is.
- Vermijden Iets niet doen, waardoor het bijhorende risico ook niet kan optreden. Bijvoorbeeld geen gebruik maken van een bepaalde technologie.
- Verlagen Het nemen van technische en-of organisatorische maatregelen, van preventieve, detectieve, respressieve of correctieve aard, om het bruto risico te verlagen tot een acceptabel restrisico. Er zijn tegenwoordig genoeg baselines, best practices of standaarden die beschrijven welke maatregelen je allemaal kunt nemen.
- Overdragen Hoewel het belangrijk is om te beseffen dat beveiligingsrisico s op zichzelf, doorgaans, niet overdraagbaar zijn, is het wel mogelijk om de, financiele, consequenties van het desbetreffende beveiligingsrisico over te dragen. Bijvoorbeeld aan een verzekeraar.
Een cyberverzekering is dus een voorbeeld van overdragen. Het maakt de kans en impact van een cyberincident niet kleiner, maar zorgt er wel voor dat de financiele gevolgen, deels, zijn gedekt.
Verder lezen bij de bronLees ons boek
Gemeenten. Bewustzijn. Privacy.
Nieuwsbrief
Deze versturen we 3-4x per jaar.
Recente blogs
Meer recente berichten
Belang van data ethiek en privacy in de digitale wereld | Verder lezen | |
Governance artikel in wetsvoorstel NIS2 geeft bestuurder te veel ruimte | Verder lezen | |
Cybersecurity vaak te laat in beeld: tips voor een fundamentele aanpak | Verder lezen | |
Britse toezichthouder roept publiek op om privacybeleid apps te lezen | Verder lezen | |
Ook AIVD kijkt kritisch naar AWS cloudverhuizingsplan van SIDN | Verder lezen | |
Nederlandse bedrijven richten zich op quick wins bij implementatie NIS2 | Verder lezen | |
Mogelijk steviger toezicht op cybersecurity gemeentelijke websites | Verder lezen | |
Slimme camera s geven ouderenzorg privacy | Verder lezen | |
Ook AIVD kijkt kritisch naar AWS cloudverhuizingsplan van SIDN | Verder lezen | |
Bestuurders moeten verantwoordelijkheid nemen voor cybersecurity | Verder lezen |