Hoewel het toezicht van besturen op cyberrisico’s toeneemt, voelt minder dan de helft van de bestuurders zich voldoende geïnformeerd over de vraag of uitgaven aan cyberbeveiliging daadwerkelijk bijdragen aan risicovermindering. Cyberrisico’s zijn inmiddels een vast agendapunt voor besturen, maar veel bestuurders hebben nog steeds twijfels over de informatie die zij hierover ontvangen. Dit blijkt uit een wereldwijd onderzoek van WTW-bedrijfsonderdeel Willis,
In het rapport Directors’ and Officers’ Liability Insurance Survey 2026: Cyber in Focus komt naar voren dat 70% van de organisaties cyberrisico’s inmiddels formeel heeft opgenomen in het algemene riskmanagementkaderr op bestuursniveau. Ongeveer 65% van de besturen ontvangt ten minste per kwartaal een update over cyberbeveiliging en het dreigingslandschap.
Voor het eerst werd in het onderzoek gevraagd hoe vaak organisaties de potentiële financiële schade van een cyberincident kwantificeren. Zestig procent van de respondenten geeft aan dit te doen: 19% doet dit jaarlijks, terwijl 41% dit op continue basis bijhoudt.Voor het eerst werd in het onderzoek gevraagd hoe vaak organisaties potentiële financiële schades door een cyberincident kwantificeren. Zestig procent gaf aan dit te doen: 19% doet dit jaarlijks, 41% op continue basis.
.Een gebrek aan vertrouwen
Betrokkenheid vertaalt zich nog niet volledig in inzicht. Slechts 55% van de respondenten geeft aan zich goed geïnformeerd te voelen over de cyberrisico’s waarmee hun organisatie wordt geconfronteerd. Bovendien is slechts 46% van mening dat het bestuur voldoende op de hoogte is van de effectiviteit waarmee uitgaven aan cyberbeveiliging het risico daadwerkelijk verkleinen.
Glyn Thoms, Global FINEX Cyber Strategy Leader bij Willis: “Cyberrisico vormen inmiddels een kernrisico voor bedrijven, wat meer toezicht en verantwoording van de raad van bestuur vereist. Leidinggevenden zouden regelmatig de paraatheid en herstelcapaciteiten van hun organisatie moeten testen om operationele verstoringen te verminderen en hun vermogen om te reageren en te herstellen bij een incident te verbeteren.”
Helft beschikt over een cyberverzekering
Bijna de helft van de respondenten (48%) beschikt momenteel over een cyberverzekering, en nog eens 19% is van plan deze binnen twee jaar af te sluiten. Van de organisaties die verzekerd zijn, kiest 71% voor een specifieke cyberverzekering, terwijl 29% gedekt is via een algemene of gecombineerde polis.
Er is geen eenduidige aanpak voor de budgettering van deze verzekeringen. Ongeveer 48% van de organisaties neemt de premie op in het budget voor cyberbeveiliging, terwijl 52% hiervoor een apart budget hanteert. Volgens Thoms wijst het opnemen van de cyberverzekering in het beveiligingsbudget erop dat deze steeds vaker wordt gezien als een essentieel onderdeel van de organisatorische weerbaarheid. De waarde hiervan ligt niet alleen in risico-overdracht, maar ook in de toegang tot specialisten die ondersteuning bieden bij incidenten.
Phishing en ransomware blijven de grootste zorgen
Phishing en social engineering (48%) en ransomware (38%) vormen wereldwijd nog steeds de twee grootste cyberrisico’s. Kwetsbaarheden in software van derden (31%) en misbruik van AI (31%) staan inmiddels ook in de top vijf.Wat de paraatheid betreft: 78% van de organisaties beschikt over een plan voor de afhandeling van cyberincidenten, en 62% heeft dit plan de afgelopen 12 maanden getest. Ongeveer 63% voelt zich goed voorbereid om een incident aan te pakken.
Voor assurantietussenpersonen biedt dit onderzoek zowel kansen als ruimte voor verbetering. Aangezien minder dan de helft van de organisaties over een cyberverzekering beschikt – terwijl bijna een op de vijf overweegt er een af te sluiten – is er aanzienlijk groeipotentieel. Dit geldt in het bijzonder voor het mkb en particuliere ondernemingen, die het merendeel van de respondenten vormden.
De groep van 29% die vertrouwt op cyberdekking binnen algemene of gecombineerde polissen, verdient extra aandacht. Dergelijke polissen kennen vaak lagere limieten en beperktere voorwaarden dan een specifieke, zelfstandige cyberverzekering. Nu de zorgen verschuiven naar het falen van software van derden en misbruik van AI, moeten tussenpersonen controleren of gecombineerde polissen ook dekking bieden voor deze risico’s.
Het gebrek aan vertrouwen is bovendien een punt van zorg voor bestuurdersaansprakelijkheid (D&O). Bestuurders die niet kunnen aantonen dat zij cyberrisico’s begrijpen en hierop toezien, kunnen na een ernstig incident onder een vergrootglas komen te liggen. Tussenpersonen die besturen helpen bij het kwantificeren van cyberrisico’s en het vastleggen van hun toezichthoudende rol, ondersteunen daarmee zowel de cyberverzekering als de D&O-verzekering.
Thoms: “Ons onderzoek wijst op een verschuiving in de manier waarop naar cyberverzekeringen wordt gekeken. Het is niet langer enkel een oplossing voor risico-overdracht; het wordt in toenemende mate erkend als een middel om de weerbaarheid te vergroten. “Dat cyberverzekeringen worden opgenomen in budgetten voor cyberbeveiliging, onderstreept hun belang als instrument voor goed bestuur en financiële bescherming, en wijst bovendien op de toegang die ze bieden tot specialisten in incidentrespons.”
