De economische schade van cyberincidenten reikt verder dan de organisatie die wordt getroffen. Volgens nieuw onderzoek van PwC leidt iedere euro direct productiviteitsverlies gemiddeld tot minstens vijftig cent extra verlies bij organisaties in afhankelijke sectoren. Toch brengen veel organisaties deze risico's onvoldoende in kaart. Dat roept de vraag op hoe bestuurders de gevolgen van een cyberincident voor hun hele keten kunnen beoordelen.
Cyberincidenten kunnen bedrijfsprocessen stilleggen, dienstverlening onderbreken en leveranciers verhinderen hun verplichtingen na te komen. De gevolgen blijven daardoor niet beperkt tot het getroffen bedrijf. Ook klanten, leveranciers en andere organisaties kunnen economische schade ondervinden, zelfs wanneer hun eigen systemen niet zijn aangevallen.
Dat blijkt uit het op 27 oktober gepubliceerde onderzoek van PwC, waarin de economische doorwerking van cyberincidenten is onderzocht.
PwC berekent dat de negatieve economische impact op de productiviteit gemiddeld minimaal anderhalf keer zo groot is als het directe productiviteitsverlies bij de getroffen organisatie. Tegenover iedere euro direct verlies staat gemiddeld minstens een halve euro extra verlies in afhankelijke sectoren.
De omvang van die schade hangt onder meer af van de positie van een organisatie binnen de economische keten. Wanneer veel andere partijen afhankelijk zijn van één leverancier of dienstverlener, kan een verstoring zich verder verspreiden.
De berekening betreft uitsluitend productiviteitsverlies en de doorwerking daarvan. Andere schadeposten zijn niet volledig meegenomen, waardoor de totale economische impact groter kan zijn.
Volgens PwC kwantificeert slechts 16 procent van de organisaties cyberrisico's in significante mate. Daardoor blijft de mogelijke financiële impact van incidenten vaak onvoldoende zichtbaar in de besluitvorming.
Het onderzoek laat zien waarom organisaties verder moeten kijken dan hun eigen informatiebeveiliging. Ook de afhankelijkheid van externe partijen bepaalt hoe kwetsbaar bedrijfsprocessen zijn.
Een voorbeeld is de cyberaanval die in 2017 onder meer transportbedrijf Maersk trof. Wereldwijd raakten logistieke processen verstoord, terwijl Maersk niet het oorspronkelijke doelwit was. Het bedrijf rapporteerde destijds meer dan 300 miljoen dollar schade.
PwC adviseert organisaties om kritieke bedrijfsprocessen en de bijbehorende ketenafhankelijkheden in kaart te brengen. Daarbij gaat het niet alleen om directe leveranciers, maar ook om andere partijen waarvan essentiële activiteiten afhankelijk zijn.
Daarnaast moeten organisaties herstelprocessen gezamenlijk met belangrijke ketenpartners testen en cybersecurity nadrukkelijker verbinden aan bedrijfscontinuïteit en financiële besluitvorming.
Kunstmatige intelligentie kan deze opgave volgens PwC ingewikkelder maken. AI kan aanvallers helpen kwetsbaarheden te identificeren en organisaties te vinden waarvan de uitval grote gevolgen heeft voor andere partijen.
Voor bestuurders en riskmanagers ligt daarmee een concrete opgave: vaststellen welke processen bij een cyberincident minimaal moeten blijven functioneren, welke externe partijen daarvoor noodzakelijk zijn en wat uitval van die partijen financieel kan betekenen.
