Een recente publicatie van het Verbond van Verzekeraars laat zien hoe cyberaanvallen veranderen. Data is daarbij niet langer alleen het doelwit, maar vooral de brandstof voor nieuwe aanvallen. Gestolen gegevens worden gecombineerd, doorverkocht en opnieuw ingezet, waardoor phishing en fraude steeds geloofwaardiger worden. Tegelijkertijd is cybercriminaliteit uitgegroeid tot een volwassen businessmodel met toegankelijke tools en schaalvoordelen.
Deze ontwikkeling vraagt om een andere blik op cybersecurity. Niet als technisch probleem, maar als een vraagstuk van bestuur, risico en continuïteit.
Data verliest nooit zijn waarde
Veel organisaties beoordelen datalekken nog steeds op basis van directe schade: wat is er buitgemaakt en wat kost dat? Het rapport laat zien dat dit een onderschatting is. Eén enkel gegeven lijkt misschien onschuldig, maar in combinatie met andere data wordt het waardevol voor criminelen.
Voor bestuurders betekent dit dat de vraag niet is of data “gevoelig genoeg” is om te beschermen. De vraag is hoe data in samenhang risico’s creëert, ook buiten de eigen organisatie. Dat vraagt om een bredere risicobenadering: welke gegevens hebben wij, hoe kunnen die worden gecombineerd en welke rol spelen wij in een groter ecosysteem van data-uitwisseling?
Impact raakt de hele organisatie
De impact van cyberaanvallen wordt vaak nog gezien als financieel of technisch. In werkelijkheid is die breder. Organisaties verliezen geld, processen vallen stil en het vertrouwen van klanten, partners en toezichthouders komt onder druk te staan.
Juist dat laatste element wordt steeds bepalender. Vertrouwen wordt in toenemende mate verankerd in wet- en regelgeving, zoals NIS2 en DORA. Daarmee verschuift cybersecurity van een interne aangelegenheid naar een externe verantwoordingsplicht.
Voor bestuurders betekent dit dat cyberincidenten niet alleen operationele verstoringen zijn, maar direct raken aan reputatie, marktpositie en toezicht.
Digitalisering vergroot kwetsbaarheid
Het rapport wijst ook op een minder zichtbaar probleem: veel digitale processen zijn nog gebaseerd op oude, papieren werkwijzen. Denk aan formulieren, handtekeningen en eenvoudige authenticatie.
Deze “digitale kopieën van papier” creëren schijnzekerheid. Ze voelen vertrouwd, maar zijn juist kwetsbaar voor misbruik en fraude. Hier ligt een duidelijke verantwoordelijkheid bij de organisatie zelf. Niet de techniek, maar het ontwerp van processen bepaalt het risico.
ICT-leveranciers kunnen systemen leveren en beheren, maar zij bepalen niet hoe processen zijn ingericht of welke risicoafwegingen worden gemaakt. Dat is een bestuurlijke keuze. Een onafhankelijke security advisor kan helpen om keuzes expliciet te maken en te toetsen, maar neemt die verantwoordelijkheid niet over.
Cyberrisico is een ketenvraagstuk
Een belangrijk inzicht uit het rapport is dat gestolen data zelden binnen één organisatie blijft. Aanvallen hebben steeds vaker impact op ketenpartners en klanten.
Dat betekent dat organisaties niet alleen hun eigen weerbaarheid moeten organiseren, maar ook moeten begrijpen hoe zij onderdeel zijn van een groter geheel. Leveranciers, klanten en partners vormen samen het risicoprofiel.
Bestuurlijk vraagt dit om duidelijke afspraken: wie is verantwoordelijk voor welke risico’s, hoe worden incidenten gedeeld en hoe wordt gezamenlijk gehandeld bij verstoringen?
Bestuurlijke les
De kernboodschap is dat data nooit op zichzelf staat en cyberincidenten zelden geïsoleerd zijn. Wie cybersecurity benadert als een IT-kwestie, kijkt te smal.
De bestuurlijke vraag is breder: welke rol speelt onze organisatie in het datalandschap, welke afhankelijkheden accepteren wij en hoe borgen wij vertrouwen in de keten?
Cybersecurity begint daarmee niet bij techniek, maar bij expliciete keuzes in governance, risicobereidheid en samenwerking. Dat vraagt om actieve betrokkenheid van bestuur en directie, niet pas na een incident, maar juist daarvoor.
Over TT3P
TT3P is een onafhankelijk adviseur op het gebied van informatiebeveiliging en compliance, gevestigd in Rotterdam. Op de hoogte blijven van alle updates rondom cybersecurity? Volg dan onze LinkedIn-pagina.
