Bulletin over terugvorderbaarheid nr. 2
Stilstand, niet losgeld, is de werkelijke kostenpost van een cyberincident
Vraag eens rond in een directiekamer wat een cyberincident kost, en je zult horen over het losgeld, de advocaten, het forensisch onderzoeksbureau en de meldingsplichten. Maar de verzekeraars die die rekeningen betalen, houden beter boek dan wie dan ook, en zij wijzen in een andere richting:
Het grootste deel van de kosten van een cyberincident bestaat uit stilstand: de dagen en weken waarin het bedrijf niet op een bevredigend niveau kan functioneren.
Die bevinding komt voort uit de analyse van schadeclaims in het rapport ‘State of Recoverability Report 2026’ van Fenix24, en zou de manier waarop beveiligingsverantwoordelijken over uitgaven denken moeten veranderen. Van alle kosten die bij een cyberschadeclaim komen kijken, is downtime de enige die nog kan worden teruggedrongen zodra een aanvaller eenmaal binnen is. De gegevens over schadeclaims bevestigen beide aspecten daarvan.
De mensen die de rekeningen betalen, zijn het daarmee eens
Enkele van de meest betrouwbare getuigen van de werkelijke kosten van cyberincidenten zijn de verzekeraars die deze risico’s dekken, en hun schadecijfers komen tot een eenduidige conclusie. In de grootste onafhankelijke schadeclaimdatasets ter wereld is bedrijfsonderbreking de belangrijkste schadecomponent, die hoger ligt dan de som van losgeldbetalingen, forensisch onderzoek, juridische kosten en meldingskosten samen. Uit de analyse van Allianz Commercial voor 2025 blijkt dat bedrijfsonderbreking meer dan 50% van de waarde van grote cyberschadeclaims uitmaakt. Munich Re, dat uitgaat van zijn eigen gegevens, schat dit op 51% van de kostencomponenten van ransomware. Twee verzekeraars, twee datasets, één antwoord.
Uit het vijfjarige onderzoek naar schadeclaims van NetDiligence blijkt wat dat aandeel betekent voor het totaal. Schadeclaims met een component voor bedrijfsonderbreking kosten gemiddeld 650% meer dan claims zonder een dergelijke component, en ransomware was verantwoordelijk voor 81% van de claims bij het MKB die een dergelijke component bevatten. De gemiddelden binnen die schadeclaims geven een goed beeld van beide uiteinden van de markt. Voor het MKB bedroeg de bedrijfsonderbreking gemiddeld 1,2 miljoen dollar van de totale incidentkosten van 1,8 miljoen dollar, terwijl de kosten voor crisisdiensten 297.000 dollar bedroegen. Voor grote bedrijven bedroeg de bedrijfsonderbreking gemiddeld 26 miljoen dollar van een totaal van 36,1 miljoen dollar, tegenover 3,5 miljoen dollar voor crisisdiensten. Op beide schaalniveaus is de post ‘bedrijfsonderbreking’ vele malen hoger dan alle andere posten in de schadeclaim bij elkaar.
De enige kostenpost die nog steeds variabel is
Die cijfers zijn voor een beveiligingsverantwoordelijke niet alleen vanwege hun omvang van belang. Bedrijfsonderbreking gedraagt zich anders dan alle andere schadecomponenten.
Zodra zich een incident voordoet, liggen de kosten voor forensisch onderzoek, juridische bijstand en kennisgeving min of meer vast. De onderzoekers brengen in rekening wat ze in rekening brengen, advocaten rekenen wat het kost, en de brieven gaan naar alle betrokkenen. Wat de organisatie ook doet na de eerste dag, het verandert weinig aan die kostenposten. De kostenpost voor bedrijfsonderbreking ligt anders. Dat is een variabele, en de variabele die hiermee wordt gemeten, is de snelheid van het herstel. De schadeanalisten van Allianz merken op dat bedrijfsonderbrekingsschade rechtstreeks samenhangt met de kwaliteit van de respons en de uitvoering van de continuïteitsmaatregelen. Besluiteloosheid en slechte coördinatie zorgen ervoor dat deze schade langer aanhoudt.
Lees dit zoals een CFO dat zou doen. Alle andere beveiligingsresultaten zijn probabilistisch. Je investeert in preventie en de kans op een negatieve gebeurtenis daalt met een percentage dat niemand kan verifiëren. Herstelcapaciteit loont deterministisch. Als het bedrijf binnen veertig uur weer operationeel is in plaats van drie weken, is het verschil rekenkundig en komt dat terecht op de grootste post van de schadeclaim. Elk uur hersteltijd dat van tevoren wordt ingekocht, is een schadebedrag dat nooit wordt opgebouwd. Geen enkele andere beveiligingsinvestering heeft zo'n directe relatie met het grootste bedrag op de schadebalans.
Dit is ook de reden waarom de uitspraak „we hebben een cyberverzekering“ de kwestie niet afdoet. Verzekeraars baseren hun premies op wat ze uitkeren. Een organisatie die een kort, met bewijsmateriaal onderbouwd hersteltraject kan aantonen, heeft een claimprofiel dat vele malen kleiner is dan dat van een organisatie die dat niet kan. De polis draagt het verlies over. Ze verkleint het niet. De snelheid van het herstel verkleint het.
Het getal in je budgetoverzicht klopt niet
In de meeste begrotingsvoorstellen voor beveiliging wordt verwezen naar gemelde verliezen door ransomware, terwijl de instantie die deze cijfers publiceert, aangeeft dat dit niet moet gebeuren. Het IC3 van de FBI registreerde in 2025 3.600 klachten over ransomware, met een gemeld verlies van 32 miljoen dollar. In de eigen methodologie wordt opgemerkt dat het totaal over het algemeen geen rekening houdt met gederfde omzet, tijd, lonen, bestanden, apparatuur en herstelkosten door derden. Bovendien worden alleen de incidenten meegeteld die slachtoffers bij de FBI melden.
Het Cyentia Institute schat, op basis van de totale populatie van incidenten inclusief operationele kosten, dat de jaarlijkse verliezen door ransomware in 2023 bijna 95 miljard dollar zullen bedragen. De twee cijfers meten verschillende zaken, en dat is precies het probleem. De categorieën die het hoofdcijfer bewust buiten beschouwing laat, zijn juist dezelfde kosten door downtime die volgens de schadeclaimgegevens het grootste deel van de rekening uitmaken. Een begroting die is gebaseerd op gerapporteerde verliezen mist zijn grootste post, en een raad van bestuur die te horen krijgt dat er „landelijk 32 miljoen dollar aan ransomware-verliezen“ is, krijgt daarmee een reden om minder uit te geven, niet meer.
Cyberrisico’s moeten worden gemeten in uren bedrijfsonderbreking, niet in het aantal gelekte records. Uit de schadecijfers blijkt dit al.
Wat een uur kost, en hoe je daar achter kunt komen
Het meten van de blootstelling in uren klinkt eenvoudig, totdat je het getal probeert te berekenen, omdat ‘het bedrijf’ geen uurtarief heeft. Zakelijke diensten hebben dat wel, en die lopen enorm uiteen. Aan een uur zonder het e-commerceplatform is een omzetcijfer gekoppeld. Een uur zonder salarisadministratie kost op dinsdag weinig, maar op vrijdag – wanneer de salarisuitbetaling moet plaatsvinden – heel veel. Een uur zonder het productie-uitvoeringssysteem legt een fabriek stil, terwijl de loonkosten en contractboetes gewoon blijven oplopen.
De berekening van de blootstelling verloopt in drie stappen, en elke stap omvat werk dat de meeste organisaties nog niet hebben gedaan. Ten eerste: breng de bedrijfsdiensten in kaart die stilvallen wanneer de omgeving uitvalt, per dienst in plaats van per server. Ten tweede: bepaal voor elke dienst een uurbedrag, gebaseerd op omzet, onbenutte arbeidskrachten, SLA-boetes en de klanten die niet terugkomen. Ten derde, en dit is de stap die het verschil maakt tussen een schatting en harde feiten, moet u vaststellen hoeveel uur het zou duren om elke dienst weer operationeel te krijgen, op basis van geteste gegevens in plaats van een streefcijfer dat iemand in een plan heeft opgeschreven.
Dat derde cijfer is het cijfer dat bijna niemand heeft. Bij de opdrachten van Fenix24 werden in de vastgelegde hersteltijddoelstellingen doorgaans 24 tot 48 uur beloofd. Van de meer dan 800 klanten kwamen er vier in de buurt van die termijn voor een gedeeltelijke bedrijfsvoering. Vermenigvuldig de werkelijke kosten per uur met het verschil tussen de beloofde en de daadwerkelijk gerealiseerde tijdlijn, en je hebt je werkelijke risico. Voor de meeste organisaties is dit het grootste ononderzochte cijfer in het risicoregister.
Uren kopen voordat je ze nodig hebt
Als elk uur hersteltijd dat vooraf is aangekocht een claimwaarde is die nooit wordt opgebouwd, is de praktische vraag waar die uren te koop zijn. Vanuit de ervaring met meer dan 500 ransomware-incidenten is het antwoord duidelijk: de uren gaan verloren door omstandigheden die al lang bestonden voordat de aanvaller opdook. Teams moeten tijdens het incident de afhankelijkheden tussen applicaties reconstrueren omdat er geen actuele overzichtskkaart bestond. Back-ups die als succesvol werden gerapporteerd, blijken in de praktijk niet operationeel te kunnen worden hersteld. Herstelde gegevens kunnen nergens worden opgeslagen omdat niemand opslagruimte had gereserveerd voor een volledig herstel van de omgeving. Beslissingen lopen vast omdat niemand van tevoren had afgesproken wie om 3 uur ’s nachts de leiding neemt bij het herstelproces.
Al deze aspecten zijn in vredestijd meetbaar en oplosbaar, en elk ervan kan direct worden omgerekend in uren. Dat is het begrotingsgesprek dat deze claimgegevens mogelijk maken. In plaats van de raad van bestuur te vragen om financiering voor bescherming tegen een kans op een incident, kan een beveiligingsleider een prijs vaststellen voor een uur downtime voor elke kritieke bedrijfsdienst, de kloof tussen de beloofde en de daadwerkelijke hersteltijd laten zien, en de investering in herstel presenteren als een manier om die kloof te verkleinen. Het is een zeldzaam beveiligingsvoorstel dat een CFO kan beoordelen zoals elke andere kapitaalbeslissing, omdat het rendement voor één keer in dezelfde eenheid wordt uitgedrukt als het verlies.
Bekijk het volledige rapport
Het rapport ‘State of Recoverability 2026’ is volledig opgebouwd rond de vraag die elke raad van bestuur zich momenteel stelt: hoe lang zouden we daadwerkelijk buiten werking zijn? Het brengt schadeclaimgegevens, regelgevingsanalyses en enquêtes onder leidinggevenden van toonaangevende instellingen, waaronder Allianz, Munich Re en Accenture, samen en toetst dit alles aan de hand van de ervaringen die Fenix24 heeft opgedaan bij meer dan 500 daadwerkelijke hersteloperaties na ransomware-aanvallen. Geen enkel ander rapport combineert sectoranalyses met praktijkgegevens van het team dat wereldwijd meer hersteloperaties uitvoert dan wie dan ook. Het laat het verschil zien tussen wat organisaties zeggen over hun veerkracht en wat er daadwerkelijk gebeurt wanneer het systeem uitvalt.
Klik hier om het rapport ‘State of Recoverability 2026’ van Fenix24 te downloaden.
