Risicoklasseindeling Digitale Veiligheid als ingang
(Achtergrond door VVP) Financieel adviseurs kunnen de onlangs geïntroduceerde Risicoklasseindeling Digitale Veiligheid goed gebruiken om samen met de mkb-klant cyberrisico’s in kaart te brengen en controlemaatregelen te treffen. Dat zegt Wouter Wissink namens het Verbond van Verzekeraars. Een van de volgende stappen wordt een certificeringstraject voor aanbieders van cyberbeveiliging.
Wissink heeft een lange staat van dienst als risk engineer. Al sinds 2000 houdt hij zich ook bezig met cyberrisico’s. De laatste jaren zijn deze risico’s steeds duidelijker geworden, maar zo constateerde Wissink: “Vooral de grotere bedrijven zijn zich steeds meer bewust van cyberrisico’s en nemen maatregelen om zich te beschermen. Terwijl cyberrisico’s ook voor mkb-bedrijven zeer reëel zijn. Sterker nog, een mkb-onderneming kan voor cybercriminelen interessanter zijn dan een systeembank. Dit niet alleen omdat de cyberbeveiliging in het mkb regelmatig te wensen over laat. Maar ook omdat er hier meer geld te halen valt dan wel eens wordt gedacht.”
VRKI-model voor cyberrisico's
Wissink, als risk engineer ook bezig met brand- en inbraakrisico’s, vroeg zich af of een risicoklasseindeling zoals de VRKI (voor de inbraakbeveiliging van bedrijfspanden) mkb-bedrijven zou kunnen helpen om op een eenvoudige manier hun cyberweerbaarheid te vergroten. Ook binnen het Verbond van Verzekeraars leefde dit idee. “Marko van Leeuwen, beleidsadviseur bij het Verbond, en ik zijn het gesprek aangegaan met het Centrum voor Criminaliteitspreventie en Veiligheid (CCV), dat de VRKI beheert. Vervolgens haakten steeds meer partijen aan. Ons eigenlijke idee was om een eenvoudig en efficiënt hulpmiddel te ontwikkelen dat financieel adviseurs en verzekeraars aan hun mkb-klanten kunnen aanbieden. Maar het belang van zo’n instrument werd dus al snel veel breder onderkend. De ontwikkeling en lancering is dan ook door het CCV begeleid.”
Vier risicoklassen
De Risicoklasseindeling Digitale Veiligheid bestaat uit elf vragen (digitaltrustcenter.nl/risicoklasse). De vragen richten zich op bedrijven tot 250 medewerkers en een omzet tot 40 miljoen euro . De vragenlijst is vlot in te vullen, waarna een inventarisatie van kwetsbaarheden en beveiligingsmaatregelen wordt gepresenteerd. Wissink: “Belangrijk is dat de risicoklasse (daarvan zijn er vier, red.) overeen komt met de beleving van de ondernemer. Het zou immers raar zijn als een bedrijf dat bijvoorbeeld veel medische gegevens beheert, in de laagste risicoklasse uitkomt. De pilot heeft laten zien dat werkelijkheid en beleving goed op elkaar aansluiten.”
Blijvende aandacht
De komende tijd wordt nog een aantal zaken opgepakt. Hoe bijvoorbeeld te borgen dat de ondernemer ook daadwerkelijk beveiligingsmaatregelen treft? En hoe ervoor te zorgen dat de aandacht voor cyberweerbaarheid blijft? Wissink: “Wat dit laatste betreft, denken wij aan het inbouwen van repetitie; bijvoorbeeld een jaarlijkse scan of audit. Verzekeraars zouden dit kunnen voorschrijven.”
Verder wordt gewerkt aan een certificeringstraject voor leveranciers van cyberveiligheid, zodat ondernemers weten dat ze met goed gekwalificeerde aanbieders in zee gaan.
Wissink: “De Risicoklasseindeling Digitale Veiligheid zorgt voor bewustwording bij ondernemers en een veiliger bedrijf wanneer de concrete beveiligingsmaatregelen worden opgevolgd. De indeling zal verder aan belang winnen als verzekeraars haar gaan meewegen bij de acceptatie van cyberrisico’s.”
Aandacht voor cyberrisico’s is in elk geval cruciaal, meent Wissink. “De risico’s worden onderschat en dan met name het gevaar van ransomware. In 2018 was er heel veel aandacht voor de bescherming van persoonsgegevens, door de invoering van de AVG. Maar ransomware is het eigenlijke probleem. En dan kan het ook bij mkb-bedrijven om miljoenen gaan.”
Reactie toevoegen
Reacties
saskia Luyks - Klap Verzekeringsmakelaar 27 januari 2021
Bedankt Wouter, dit geeft inderdaad een mooi overzicht van risico's en te nemen acties!
Meer over
Adfiz: infographic zakelijke cyberrisico’s
Adfiz heeft een infographic zakelijke cyberrisico's gemaakt. Adfiz: "Zestig procent van de ondernemers in Nederland heeft al eens te maken gehad met cybercrime....
Risicoklasseindeling Digitale Veiligheid voor MKB bijna gereed
De stuurgroep Cyber ontwikkelt een tool waarmee MKB-bedrijven cyberrisico’s in kunnen schatten en maatregelen kunnen treffen. Deze tool wordt nu, na de testfase,...
Van IT-beslissers weet 28 procent niet of organisatie cyberdekking heeft
In onderzoek door Orange Cyberdefense geeft 35 procent van de 264 ondervraagde Nederlandse IT-verantwoordelijken aan een cyberverzekering te hebben. Achtendertig...
Cyberrisico's nog steeds zwaar onderschat
Het afgelopen jaar steeg het aantal politie-aangiftes van cybercrime met 66 procent, kregen ondernemers en kennisinstellingen te maken met gijzelsoftware en liep...
Ondernemers beschermen met drietrapsraket
(Kennisartikel Avéro Achmea VVP-special Cyber) Het MKB leunt wat achterover als het om cyberdreiging gaat. Nog geen kwart van de ondernemers maakt...
Koudwatervrees niet nodig bij advisering over cyberverzekeringen
(Kennisartikel Turien & Co. VVP-special Cyber) Regelmatig horen onze accountmanagers: ‘ja, daar moeten wij binnenkort wel wat mee doen’, als zij...
Pak als adviseur rol bij beheersen cyberrisico’s
Cyberrisico’s zijn reëel, als financieel adviseur ben je het daarom aan je stand verplicht over deze risico’s met de klant in gesprek te gaan....
Kijk naar de inhoud in plaats van de prijs
(Door Bram Grundmeijer, Klap) Klap verwacht dat cyber tot de kern gaat horen van het verzekeringslandschap. Nu wordt cyber vaak nog als cross-sell mogelijkheid...
VVP-special Cyber: pak als adviseur uw rol!
Pak als financieel adviseur uw rol bij cyberrisicomanagement. Dat is de boodschap van de VVP-special Cyber, gemaakt in samenwerking met kennispartners Allianz Nederland,...
ICT-bedrijven kunnen hun aansprakelijkheidsrisico’s zelf beperken
(door Chubb, Partner VVP) “Automatiseerders wacht stortvloed aan claims om schade door hackers”, zo kopte het FD in juni. De aanleiding? De rechter oordeelde...