Munich re
Cybwer Insurance Risk and trends 2026
“Als cybercriminaliteit een land zou zijn, zou het de op twee na grootste economie ter wereld zijn. Met een verwachte wereldwijde kostenpost van $ 14 biljoen in 2028 zal cybercriminaliteit de gecombineerde economische output van Duitsland, Japan en India overtreffen. Alleen de VS en China hebben een groter bruto binnenlands product”, zo stelt Munich Re’s in haar recente ‘Cyber Insurance Risks and Trends 20326’-rapport
CEO Reinsurance Thomas Blunck: “De wereld in 2026 wordt gekenmerkt door geopolitieke spanningen, gewapende conflicten en oorlogen, felle concurrentie in toekomstgerichte sectoren en een cyberdreigingslandschap dat een doortastend risicomanagement vereist. Cyberrisico’s – of het nu gaat om kwaadwillige aanvallen of niet-kwaadwillige incidenten – kunnen het voortbestaan van bedrijven bedreigen en enorme gevolgen hebben voor derden, zelfs voor hele economieën en samenlevingen .Cyberverzekeringen zijn relevanter en cyberrisico’s zijn actueler dan ooit”.
Het cyberrisicolandschap wordt voortdurend gevormd door een toename in de frequentie en impact van zowel cyberaanvallen als niet-kwaadwillende cyberincidenten. Over het algemeen is een groot deel van de cyberrisico’s onbeschermd. Vanuit het perspectief van Munich Re zijn de belangrijkste oorzaken van verzekerde schades ransomware, datalekken, Business Email Compromise (BEC) en Distributed Denial of Service (DDoS).
Alle sectoren getofffen
“Deze schadeoorzaken en andere aanvalspatronen treffen vrijwel elke sector. Volgens gegevens van Munich Re en Google Mandiant Underwriting Threat Intelligence zijn overheden, productiebedrijven en technologiebedrijven het meest kwetsbaar voor cyberaanvallen van financieel gemotiveerde daders, hacktivisten en door de staat gesponsorde actoren. Gezien de dynamische aard van het dreigingslandschap, dat hieronder in detail wordt beschreven, verwachten de experts van Munich Re dat deze trends zich zullen voortzetten.
Uit de claimgegevens van Munich Re over alle actief beheerde claims in hun portefeuille blijkt dat first party-claims (claims voor schade die een organisatie direct heeft geleden) met 62% dominant blijven ten opzichte van claims van derden (third party), die de aansprakelijkheid voor schade aan andere partijen dekken. De vergoeding van verzekerde claims wordt voornamelijk gedreven door bedrijfsonderbreking, privacyaansprakelijkheid en incidentrespons, zoals blijkt uit de schadecategorieën van de verzekerde. Hoewel de publieke aandacht nog steeds uitgaat naar grote bedrijven, treffen de meeste cyberincidenten en -claims micro-ondernemingen en het mkb.
(Niet)kwaadwillig
Uit de claimgegevens van Munich Re blijkt een algemene verhouding van drie op één voor kwaadwillige en niet-kwaadwillige toerekenbare schadegevallen, terwijl middelgrote en grote bedrijven een hoger percentage niet-kwaadwillige schadegevallen hebben gemeld, met name in de sectoren IT, gezondheidszorg en financiën. Beide soorten incidenten kunnen doorgaans worden verzekerd en beide kunnen leiden tot extreme schades.
Kijkend naar de claimtrend sinds 2021, blijven kwaadwillige incidenten duidelijk dominant, waarbij het algemene beeld sterk wordt beïnvloed door toenemende ransomware-aanvallen. Niet-kwaadwillige claims winnen echter ook aan betekenis. Deze zijn vaak toe te schrijven aan menselijke fouten, gebrekkige software of, in toenemende mate, aan rechtszaken over pixels.
Toekomstig dreigingslandschap
Belangrijke trends die het toekomstige dreigingslandschap vormgeven, zijn onder meer geopolitiek, toeleveringsketens en de toenemende complexiteit van cybercriminaliteit, evenals agentische en fysieke AI.
“In de context van extreme geopolitieke spanningen, die zelfs kunnen uitmonden in gewapende conflicten en oorlogen, is cyberspace een krachtig platform voor het behalen van politieke, economische en militaire voordelen. Geopolitieke breuklijnen bepalen dus de cyberdreigingen, die zowel de publieke als de private sector steeds meer in gevaar brengen.
Ongeveer 64% van de organisaties verwacht een potentieel doelwit te zijn van geopolitiek gemotiveerde cyberaanvallen (WEF). In kritieke toeleveringsketens en infrastructuur – bijvoorbeeld in de defensie-, energie-, financiële en telecommunicatie-industrie – lopen bedrijven een bijzonder hoog risico.
Toeleveringsketens
Digitale toeleveringsketens zijn essentieel geworden voor de wereldwijde, nationale en individuele bedrijfsbeveiliging. Hoewel meer dan twee derde van de grote organisaties de afgelopen 12 maanden minstens één cyberbeveiligingsincident door een derde partij heeft meegemaakt, schetsen experts een duidelijk beeld: de volgende generatie cyberaanvallen zal steeds vaker bestaan uit het imiteren van leveranciers, logistieke dienstverleners en aanbieders van digitale diensten, waarbij misbruik wordt gemaakt van het impliciete vertrouwen tussen organisaties en hun leveranciers.
Spoofingplatforms zullen evolueren om inlogportalen of betaalformulieren te klonen en gebruikersgegevens te stelen. Bovendien zullen cyberaanvallen steeds vaker worden gebruikt om software- en firmware-toeleveringsketens te infiltreren en te corrumperen met moeilijk detecteerbare aanpassingen of kwaadaardige logica.
Cybercriminaliteit
Cybercriminaliteit blijft zich volgens het rapport ontwikkelen als een hypergeorganiseerde, servicegerichte ‘industrie’, en de afnemende vaardigheids- en kapitaalvereisten voor deze criminele activiteit maken het aantrekkelijk voor nieuwe spelers: ransomware-as-a-service (RaaS)-aanbieders, deepfakes, stemklonen en synthetische identiteiten, die echte gebruikersgegevens combineren met valse informatie, infostealers en initial access brokers.
“Op basis hiervan zetten steeds frequentere en geavanceerdere aanvallen potentiële slachtoffers en cruciale toeleveringsketens onder druk, een zware last. Nu het gebruik van agent-gebaseerde AI steeds gangbaarder wordt, zal het de reikwijdte, snelheid en precisie van zowel offensieve als defensieve cybermaatregelen bepalen. Agent-AI zal steeds beter in staat zijn om meerfasige operaties te plannen en aan te passen, kwetsbaarheden effectiever te exploiteren, te leren van detectiereacties en met minimale menselijke tussenkomst te opereren.Vanuit het perspectief van Munich Re verwachten onze experts dat AI die als agent fungeert op korte termijn meer invloed zal hebben op de frequentie van aanvallen dan op de omvang ervan.”
Hoewel AI een tweesnijdend zwaard zal zijn – zowel voor goede als slechte doeleinden gebruikt – zijn de algemene perceptie en verwachtingen van risicoeigenaren positief: slechts 23% van de managers gaf aan dat AI een negatieve impact op hun bedrijf zal hebben, 66% verwacht een positieve impact en 57% vertrouwt bedrijven die AI gebruiken.
De robotica-industrie, die verwacht dat AI de komende vijf tot tien jaar op grote schaal in diverse toepassingen zal worden gebruikt, bespreekt openlijk de juridische en ethische onduidelijkheden en pleit voor duidelijke kaders. “Het is aan de betreffende risico-eigenaar om deze toegenomen connectiviteit te koppelen aan robuuste en actuele beveiliging. Belangrijke bedreigingen zijn onder andere kaping op afstand, malware en datadiefstal, wat kan leiden tot lichamelijk letsel, materiële schade of productiestilstand”, aldus Munich Re, volgens wie trends erop wijzen erop dat dreigingsscenario’s zich verder zullen ontwikkelen en veel verder zullen gaan dan ransomware.
Conclusies
Welke conclusies kunnen worden getrokken uit de verkregen inzichten voor cyberverzekeringsoplossingen? Munich Re: “Hoewel cyberdreigingen niet altijd kwaadaardig zijn, moeten ze altijd als prioriteit worden behandeld. Cyberrisicomanagement moet holistisch, integraal en continu worden geëvalueerd.Hoewel de publieke aandacht nog steeds uitgaat naar grote bedrijven, treft het merendeel van de cyberincidenten en claims die door Munich Re worden geregistreerd micro-ondernemingen en het mkb. Cyberbeveiliging is een kwestie voor bedrijven en sectoren van alle groottes.
“Cyberincidenten met betrekking tot digitale toeleveringsketens lijken eerder regel dan uitzondering te zijn en kunnen aanzienlijke gevolgen hebben als systeemrisico. AI-technologie vergroot de schaal van bestaande bedreigingen en kan de blootstelling vergroten. Dit geldt met name voor AI-agenten die steeds vaker worden ingebed in of verbonden met IoT- en OT-apparaten, waardoor AI en de fysieke wereld verder samensmelten.”
In 2025 veroorzaakten natuurrampen schades van in totaal $ 224 miljard, waarvan $ 108 miljard gedekt was door verzekeringen; 48% van de schades was verzekerd. “Verzekering is een relevante factor in riskmanagement voor de wereldeconomie als het gaat om natuurrampen. Hetzelfde moet worden bereikt voor cyberverzekeringen”, concludeert Munich Re.
Foto Munich re
