Volgens Willis, een bedrijfsonderdeel van WTW, spreken besturen van ondernemingen vaak hun vertrouwen uit in hun cyberweerbaarheid. Recente, veelbesproken cyberincidenten tonen echter aan hoe kwetsbaar dat vertrouwen is zodra het op de proef wordt gesteld. Het nieuwe rapport ‘Cyber in Focus 2025’ van Willis, gebaseerd op 4.650 cyberclaims en gegevens op bestuursniveau, bevestigt dit beeld: de schades blijken langduriger, omvangrijker en kostbaarder dan leidinggevenden verwachten.
Het rapport, dat werd gepresenteerd tijdens de ‘Cyber Security Awareness Month’ , richt zich op vier gebieden die door besturen stelselmatig verkeerd worden ingeschat:
- Omzet (bedrijfsstilstand): Besturen gaan ervan uit dat uitval door ransomware enkele dagen duurt; uit claimgegevens blijkt echter een mediane duur van 24 dagen, met een gemiddeld schadebedrag door ransomware van $ 2,7 miljoen. Elke week dat een bedrijf offline is, betekent omzetverlies.
- Reputatie (risico’s bij toeleveranciers): Leidinggevenden beschouwen risico’s vanuit toeleveranciers vaak als bijzaak, terwijl ongeveer 50% van de inbreuken bij leveranciers begint (zoals MSP’s, SaaS-aanbieders of gespecialiseerde leveranciers). Gebrekkige bepalingen rondom aansprakelijkheid, audits en meldingsplichten jagen de kosten op; toezichthouders eisen bovendien steeds vaker bewijs van toezicht op toeleveranciers.
- Veerkracht (getoetste paraatheid): De meeste besturen geven aan over een plan te beschikken, maar slechts 68% heeft dit het afgelopen jaar ook daadwerkelijk getest. Toezichthouders en verzekeraars willen bewijs zien dat maatregelen in de praktijk werken – beleidsstukken alleen zijn onvoldoende.
- Regelgeving (toenemende verantwoordelijkheid): Nieuwe kaders, waaronder de EU AI Act, veranderende regelgeving in Amerikaanse staten en nieuwe wetgeving voor kritieke infrastructuur in Hongkong, verhogen de verwachtingen op het gebied van governance, incidentrespons en informatieverstrekking.
Enkele andere bevindingen uit het rapport:
- Beursgenoteerde ondernemingen zijn verantwoordelijk voor 36% van de totale schades, ondanks het feit dat zij met minder incidenten te maken krijgen.
- De grootste individuele claim bedroeg $ 331 miljoen. Hoewel besturen vooral de voordelen van AI benadrukken, laten claims nu al zien dat technologieën zoals deepfakes, synthetische identiteiten en generatieve malware worden ingezet voor fraude.
Ben DiMarco, Cyber & Technology Industry Leader voor de regio Pacific bij Willis, stelt: “Besturen en het senior management worden geconfronteerd met een complex dreigingslandschap, strengere regelgeving, toenemende schades door cyberincidenten en grotere blootstelling aan cybercriminaliteit. Deze factoren dwingen bedrijfsleiders tot het ontwikkelen van meer geïntegreerde en holistische strategieën. Toezichthouders, aandeelhouders en andere belanghebbenden verwachten uiteindelijk dat organisaties cyberrisicostrategieën hanteren die zowel beveiligingsmaatregelen en governancekaders als menselijke factoren en technische veerkracht omvatten.”
“Uit ons onderzoek blijkt dat sommige besturen deze uitdagingen onderschatten. Verzekeraars besteden steeds meer aandacht aan deze aspecten; zij toetsen kritisch de basis van de ‘cyberhygiëne’ binnen een organisatie, het toezicht op toeleveranciers, de continuïteitsplanning en het testen van de respons bij incidenten. In dit klimaat moeten besturen inzetten op robuuste, op feiten gebaseerde strategieën die hun organisatie beschermen en voorkomen dat zij in de problemen komen op de markt.”
Peter Foster, Chairman van Global FINEX Cyber and Cyber Risk Solutions bij Willis, voegt toe: “Besturen gaan er vaak vanuit dat cyberrisico’s onder controle zijn, maar de data laten een ander beeld zien. Ongeteste plannen, zwakke contracten met toeleveranciers en onduidelijke formuleringen zijn precies de punten waar bedrijven geld verliezen, hun reputatie schaden en in conflict kunnen komen met toezichthouders. De kosten van een gebrek aan geteste veerkracht uiten zich in gederfde inkomsten, geschillen met aandeelhouders en boetes – en deze kosten stijgen sneller dan besturen verwachten. Simulaties van ransomware-aanvallen, analyses van toeleveranciers, governance voor AI en het optimaliseren van beleid kunnen helpen om de kloof tussen zelfvertrouwen en de werkelijkheid te overbruggen
