| Verwacht wordt dat de CrowdStrike-storing de belangstelling voor dekking voor systeemstoringen zal vergroten, maar cyberverzekeraars zullen in de toekomst waarschijnlijk de polisvoorwaarden en premies voor dergelijke gebeurtenissen herzien.
Een update die in juli door het Amerikaanse cyberbeveiligingsbedrijf CrowdStrike werd uitgegeven, zorgde ervoor dat 8,5 miljoen Microsoft Windows-systemen crashten, wat tot grote verstoringen leidde, waarbij de luchtvaart- en gezondheidszorgsector het zwaarst werden getroffen. Hoewel er binnen 24 uur een oplossing werd gevonden, hadden veel bedrijven weken nodig om te herstellen en achterstanden weg te werken.Het incident heeft naar schatting Amerikaanse Fortune 500-bedrijven 5,4 miljard dollar gekost, maar de verzekeringssector lijkt er lichtelijk vanaf te zijn gekomen. Schattingen van verzekerde schades variëren van $300 miljoen tot $1 miljard. Guy Carpenter heeft gemeld dat minder dan 1% van de bedrijven met een cyberverzekering wereldwijd getroffen werd. Veel bedrijven sluiten geen cyberverzekering af, of hebben geen dekking voor non malicious incidenten, zoals systeemstoringen, in hun cyberpolis.
De CrowdStrike-storing heeft nog geen significante impact gehad op de premies of dekking, maar heeft wel de vraag naar cyberverzekeringen onder Europese bedrijven aangewakkerd, aldus Gamze Konyar, Head of Cyber Europa bij Marsh. “De storing heeft de waarde van een cyberverzekering duidelijk gemaakt, en sommige klanten bekijken hun cyberverzekeringsdekking nu vanuit een breder perspectief.” Volgens Jack Holling, partner bij het Britse advocatenkantoor DAC Beachcroft, heeft het CrowdStrike-incident het belang benadrukt van het kopen van dekking voor niet-kwaadwillige incidenten. “Cyberverzekeringen reageren wanneer bedrijven worden gehackt door bedreigingsactoren, maar dit incident toont aan dat de problemen die worden veroorzaakt door fouten en fouten bij de implementatie of update van software of zelfs hardware net zo schadelijk kunnen zijn.”
Carlos Rodriguez Sanz, AXA XL’s regional product leader for cyber in APAC and Europe,, is van mening dat het CrowdStrike-incident verdere interesse en vraag naar dekking zou kunnen vergroten met betrekking tot systeemstoringen van uitbestede dienstverleners, afhankelijke bedrijfsonderbrekingen en reactie op systeeminbreuken. “Gebeurtenissen als deze dienen als herinnering voor organisaties om hun strategieën voor cyberriskmanagement opnieuw te beoordelen, inclusief de aanschaf van cyberverzekeringen.”Grootschalige cyberincidenten dragen bij aan het stimuleren van de vraag naar cyberverzekeringen, legt Rodriguez Sanz uit. “In dit geval hebben we een enorme wereldwijde IT-storing gezien als gevolg van een routinematige inhoudsupdate die een defect bevatte. Dit heeft bij onze klanten specifiek tot bezorgdheid geleid over het patchen en updaten, en meer in het algemeen over de risico’s die cyberbedreigingen voor toeleveringsketens met zich meebrengen.”.
Gartner voorspelt dat in 2025 45% van de organisaties wereldwijd te maken zal krijgen met aanvallen op hun softwaretoeleveringsketens – een verdrievoudiging ten opzichte van 2021. “Het is onwaarschijnlijk dat deze trend snel zal vertragen, omdat aanvallers hun technieken blijven verfijnen en misbruik maken van zwakke punten in het onderling verbonden ecosysteem van externe leveranciers en software”, aldus Rodriguez Sanz.De volledige omvang van het CrowdStrike-incident en de blijvende impact ervan op de cybermarkt wereldwijd blijft zich maanden na het incident ontvouwen, aldus Vanessa Maxwell, Global head of Financial Lines & Cyber bij Allianz Commercial. “Het evenement heeft technologiefalen opnieuw als risico onder de aandacht gebracht en onder de aandacht van klanten gebracht, wat de enorme impact aantoont die niet-kwaadwillige gebeurtenissen kunnen hebben op hun organisaties, op een schaal die potentieel net zo catastrofaal kan zijn als kwaadwillige cyberaanvallen.”
Dekking binnen cyberverzekeringspolissen voor dit soort incidenten is niet nieuw en is iets dat al vele jaren beschikbaar is, aldus Maxwell. “We blijven ons inzetten om deze dekkingen aan te bieden die onze klanten adequate oplossingen bieden en tegelijkertijd een continue stabiliteit van het aanbod garanderen.Terwijl verzekeraars zich hebben verzet tegen een reflexmatige reactie op de CrowdStrike-gebeurtenis, konden ze nu de relevante polisvoorwaarden, dekking en prijzen herzien in het licht van de storing.
“De impact van CrowdStrike kan ertoe leiden dat verzekeraars de dekkingsvoorwaarden moeten verduidelijken, vooral met betrekking tot specifieke soorten IT- en niet-IT-dienstverleners. Verzekeraars moeten mogelijk ook de prijzen voor bepaalde dekkingen opnieuw beoordelen om rekening te houden met het veranderende cyberrisicolandschap en potentiële veranderingen in de frequentie en ernst van cyberincidenten, evenals met de gevolgen voor systeemrisico’s”, aldus Rodriguez Sanz.De cybermarkt is momenteel echter dynamisch en competitief, aldus Holling. “De cyberverzekeringsgemeenschap probeert de waarde aan te tonen die cyberverzekeringen voor bedrijven bieden bij het beperken van de verstoring veroorzaakt door cyberincidenten. Hoewel de producten voortdurend evolueren, zou het beperken van de reikwijdte van de dekking dat doel ondermijnen”, zei hij. |
