Waarom cyberincidenten bij één organisatie doorwerken in de hele keten

PwC’s onderzoek 'When one firm falls, many pay: The economic ripple effect of cyber incidents' brengt een deel van deze verborgen impact in kaart. De analyse richt zich op het verlies aan productiviteit bij de direct getroffen organisatie en de economische doorwerking daarvan in andere sectoren. Het onderzoek komt uit op een gemiddelde multiplier van minimaal anderhalf: tegenover elke euro direct productiviteitsverlies staat gemiddeld nog eens een halve euro verlies bij organisaties in afhankelijke sectoren.

De belangrijkste bevindingen van ons onderzoek

• Voor elke euro direct productiviteitsverlies door een cyberincident ontstaat gemiddeld nog eens een halve euro verlies bij organisaties in afhankelijke sectoren. De gemeten negatieve economische impact op productiviteit is daarmee gemiddeld minimaal anderhalf keer zo groot als het directe productiviteitsverlies.
• De multiplier is een gemiddelde. De precieze doorwerking hangt mede af van de positie van een organisatie of sector in het economische netwerk. Hoe meer partijen ervan afhankelijk zijn, hoe groter het potentiële rimpeleffect.
• Slechts zestien procent van de organisaties kwantificeert cyberrisico’s in significante mate. Dit betekent dat 84 procent dit niet grondig genoeg doet, waardoor het lastig blijft om de potentiële financiële impact van cyberincidenten goed mee te wegen in besluitvorming.
  
• AI kan het risico verder vergroten. AI-aanvallers kunnen helpen kwetsbaarheden en structureel belangrijke punten in ketens te identificeren, waardoor aanvallen zich juist kunnen richten op organisaties waar de economische doorwerking het grootst kan zijn.

Wie alleen naar de directe schade van een cyberincident kijkt, ziet dus maar een deel van het economische risico. Dat vraagt om een andere blik op cyberweerbaarheid: niet alleen naar de eigen systemen, maar ook naar de positie en afhankelijkheden van de organisatie binnen het bredere economische ecosysteem.

Lees het volledige onderzoek

Van individueel cyberincident naar economische verstoring

Een cyberincident kan productieprocessen vertragen, dienstverlening onderbreken of de toegang tot essentiële informatie blokkeren. De schade blijft daarbij niet beperkt tot de getroffen organisatie. AlsWanneer een leverancier niet kan leveren, kunnen ook afnemers productie en omzet verliezen. Omdat processen, systemen en contracten vaak nauw op elkaar zijn afgestemd, is snel overstappen naar een andere partner niet altijd mogelijk.

De aanval op Maersk in 2017 maakte dat pijnlijk duidelijk. Dit is weliswaar een oud incident, maar het is een incident dat heel goed is onderzocht en gedocumenteerd. Wereldwijd werden haventerminals en logistieke processen verstoord en Maersk rapporteerde zelf een verlies van meer dan driehonderd miljoen Amerikaanse dollar. Maar juist het meest confronterende gegeven is dat Maersk niet het oorspronkelijke doelwit van de aanval was. De aanval verspreidde zich via onderling verbonden systemen en trof vervolgens Maersk.

De les is breder dan Maersk zelf: een organisatie hoeft niet het doelwit van een cyberaanval te zijn om toch grote economische schade te lijden. De relevante vraag is daarom niet alleen óf uw eigen organisatie rechtstreeks wordt aangevallen, maar ook via welke externe route een verstoring u kan raken.

Cyberincidenten veroorzaken meer productiviteitsverlies dan direct zichtbaar is

Ons onderzoek richt zich op het verlies van productieve capaciteit en de doorwerking daarvan in andere sectoren. Zoals gezegd is er sprake van een gemiddelde multiplier van anderhalf. De totale macro-economische schade aan productieve capaciteit is daarmee gemiddeld vijftig procent groter dan het directe verlies bij de getroffen organisatie.  

AI kan de dreiging verder versnellen

Daar komt een nieuwe ontwikkeling bij: kunstmatige intelligentie (AI). Ons onderzoek laat ziend dat AI een cyberdreiging kan versnellen. AI kan aanvallers niet alleen helpen om kwetsbaarheden te vinden, maar ook om structureel belangrijke schakels binnen een keten te identificeren. Daarmee ontstaat het risico dat aanvallen zich vaker richten op organisaties waar een verstoring een relatief groot economisch rimpeleffect kan veroorzaken.

Dat maakt inzicht in ketenafhankelijkheden belangrijker. Niet alleen de beveiliging van de eigen organisatie telt, maar ook de vraag waar kwetsbaarheden en afhankelijkheden zitten die een incident kunnen versterken.

Van reactief herstel naar proactieve weerbaarheid

Aanvallen op AI-incidenten is volgens een andere PwC-onderzoek naar cybersecurity het grootste tekort in de digitale paraatheid. Dit geeft extra urgentie aan de economische multiplier. Als de impact van een incident zich niet beperkt tot de eigen organisatie, volstaat het niet om vooral voorbereid te zijn op herstel nadat iets misgaat. Dit geeft extra urgentie aan de economische multiplier. Als de impact van een incident zich niet beperkt tot de eigen organisatie, volstaat het niet om vooral voorbereid te zijn op herstel nadat iets misgaat.

Dit leidt tot vier concrete prioriteiten:

• Breng kritieke processen in kaart. Bepaal welke activiteiten absoluut moeten blijven functioneren als systemen, leveranciers of andere essentiële schakels uitvallen.
• Maak ketenafhankelijkheden expliciet. Kijk niet alleen naar directe leveranciers, maar naar de externe partijen waarvan de continuïteit van cruciale processen daadwerkelijk afhankelijk is. De multiplieranalyse laat immers zien dat productiviteitsverlies zich via productienetwerken kan verspreiden.
• Test herstelprocessen samen met kritieke partners. Dat is extra relevant tegen de achtergrond dat in Nederland slechts acht procent van de organisaties significant meer investeert in proactieve dan reactieve cybersecurity.
• Verbind cybersecurity structureel met bedrijfscontinuïteit en financiële besluitvorming. Als 84 procent van de organisaties cyberrisico’s niet in significante mate kwantificeert, ligt hier een duidelijke kans om cyberrisico beter te verbinden aan bedrijfswaarde en continuïteit.

Ook overheden zijn aan zet

Omdat de schade van cyberincidenten deels terechtkomt bij andere organisaties, kunnen individuele bedrijven minder in cyberweerbaarheid investeren dan maatschappelijk wenselijk is. Overheden kunnen daarom in de eerste plaats toezicht, weerbaarheidsprogramma’s en publiek-private samenwerking richten op organisaties en sectoren waarvan uitval de grootste gevolgen heeft voor de rest van de economie. Daarnaast is een consistente nationale gegevensbasis nodig, waarin naast incidenten en directe financiële schade ook de duur van de uitval, het verlies aan productieve capaciteit en de gevolgen voor leveranciers en afnemers worden vastgelegd. Zo kunnen we sectorspecifieke multipliers nauwkeuriger bepalen en beleid gerichter inzetten.

Van multiplier naar minimum viable company

Ons onderzoek sluit direct aan op het concept minimum viable company (MVC): welke processen, mensen, systemen én externe partners zijn minimaal nodig om tijdens een ernstige verstoring de meest essentiële activiteiten te kunnen blijven uitvoeren?

Het gaat dus niet alleen om de vraag welke systemen moeten blijven draaien?, maar ook om van welke externe partijen zijn die processen afhankelijk? De multiplier maakt het economische risico van die onderlinge afhankelijkheid zichtbaar. MVC helpt organisaties vervolgens te bepalen welke afhankelijkheden cruciaal zijn voor het voortbestaan tijdens een ernstige verstoring.  

Door kritieke afhankelijkheden inzichtelijk te maken en herstelprocessen gezamenlijk te testen, kun je als organisatie gerichter investeren in weerbaarheid. Daarmee bescherm je niet alleen je eigen continuïteit, maar verklein je ook het risico dat een verstoring zich via je keten verspreidt.

Hoe groot is de werkelijke economische schade?

De multiplier van anderhalf moet je bewust als een minimale inschatting van de economische doorwerking lezen. In ons onderzoek hebben we de doorwerking van verlies aan productiviteit gemeten. Door beperkingen in de beschikbare data kunnen we niet de volledige economische impact van alle Nederlandse cyberincidenten bepalen.

De werkelijke schade kan dus groter zijn dan de multiplier alleen zichtbaar maakt. Daarmee is de beperking van het model juist onderdeel van de boodschap: zelfs als alleen de meetbare doorwerking van productiviteitsverlies wordt bekeken, ontstaat al een substantiële economische impact.

Veelgestelde vragen over de economische impact van cyberincidenten