In 2022 zullen bestuursbesluiten met betrekking tot cybersystemen en -controles steeds kritischer worden bekeken, met bijzondere aandacht voor betalingen aan aanvallers van ransomware. Regelgevende instanties in het Verenigd Koninkrijk en elders hebben nu al een aantal jaren duidelijk gemaakt dat zij kwesties als cyberveiligheid en systemen en controles van belang achten voor de raad van bestuur. Dat stelt advocatenkantoor Clyde & Co in een van haar ‘Predictions’ voor de verzekeringsbranche in 2022
Tijdens de Covid-19 pandemie verdubbelden de ransomware-aanvallen in het VK en stegen ze volgens de Britse spionagedienst GCHQ tot recordniveaus, en in de eerste zes maanden van 2021 zijn ze in sommige regio’s met wel 36% blijven stijgen. In 2020 zijn de gemiddelde losgeldbetalingen in Noord-Amerika en Europa met 171% gestegen en staan nu op ongeveer gemiddeld $ 310.000 dollar. Binnen het VK en de EU zijn de boetes in het kader van de GDPR (en de DPA 2018) aanzienlijk gestegen, met het huidige record van maar liefst 746 miljoen euro dat tegen Amazon is geheven.
Door de stijgende kosten en de frequentie van de vorderingen komen bestuurders en directeuren steeds meer in de schijnwerpers te staan met betrekking tot de vraag of zij hebben voldaan aan hun plicht om ervoor te zorgen dat de onderneming over adequate systemen en controles beschikte, en er zal bijzondere bezorgdheid zijn over ransomwarebetalingen. Een dergelijk onderzoek zal bijzonder acuut zijn voor de leiders van multinationals, gezien de verschillende benaderingen van de regelgevers ten aanzien van zowel de betaling van losgeld als het gebruik van verzekeringen.In de VS heeft de OFAC in september 2021 een adviesnota uitgebracht waarin de betaling van losgeld weliswaar niet wordt verboden, maar de grens wel veel dichter bij een verbod wordt gelegd.
“Het is onwaarschijnlijk dat de autoriteiten in 2022 de betaling van losgeld volledig zullen verbieden, maar de stemming wordt zeker donkerder. Als gevolg hiervan zullen we waarschijnlijk een gefragmenteerde reactie van de verzekeringssector zien, waarbij de risicobereidheid niet alleen per verzekeraar zal verschillen, maar per verzekeraar en jurisdictie, afhankelijk van welke jurisdicties en welke verzekerden zij schrijven”aldus Clyde & Co.
