Cyberbeveiliging wordt meestal verkocht als bescherming tegen hackers. Maar er is een tweede laag die minder aandacht krijgt: wat anderen, verzekeraars, curatoren, financiers, met jouw digitale gezondheid doen op het moment dat het misgaat.
Verzekeraars: al staande praktijk
Bij cyberverzekeraars is dit al staande praktijk. Voordat je een polis krijgt, wordt steeds vaker concreet gevraagd naar MFA, backups en patchbeleid. Blijkt achteraf dat je basishygiene niet op orde was toen je werd getroffen, dan kan een verzekeraar de uitkering beperken of zelfs weigeren. Slechte digitale gezondheid is daar dus letterlijk een uitsluitingsgrond, geen bijzaak.
Curatoren: een indirecte maar reele link
Bij curatoren ligt het genuanceerder, maar de richting is voorspelbaar. Als een cyberincident mede heeft geleid tot een faillissement, en er waren geen basale maatregelen genomen, dan past dat in bestaand aansprakelijkheidsrecht als aanwijzing voor onbehoorlijk bestuur. Er is geen specifieke wet die dit cyberhygiene noemt, maar het onderzoek van een curator kijkt naar bestuursbeslissingen, en het bewust laten liggen van elementaire beveiliging is zo’n beslissing.
Geldschieters: nog niet uitgekristalliseerd maar voorspelbaar
Bij geldschieters en banken is het nog niet uitgekristalliseerd, maar de logica is hetzelfde als bij een continuiteitsplan of verzekeringsbewijs dat nu al gevraagd wordt bij financiering: een ransomware-aanval kan een bedrijf weken platleggen en de terugbetaalcapaciteit direct raken. Het is een kleine stap om digitale weerbaarheid op termijn net zo standaard te bevragen.
Het risico van ondoorzichtige scoring
Het risico zit in de manier waarop dit gemeten wordt. Een score die automatisch berekend wordt op basis van data die een bedrijf niet kan zien of corrigeren, kan tot oneerlijke uitsluiting leiden, net als de discussie rond geautomatiseerde kredietscoring nu al. Voor een ondernemer is de praktische les daarom niet alleen beveilig jezelf, maar ook kun je aantonen dat je het gedaan hebt. Documentatie van je basishygiene wordt zo geen administratieve last, maar het bewijsstuk waarmee je jezelf verdedigt, bij een verzekeraar, een curator, of straks een financier.
