Cyberrisico's: kijk verder dan je eigen IT-beveiliging

Je kunt je eigen IT-beveiliging uitstekend op orde hebben en toch stil komen te liggen door een cyberaanval. Bijvoorbeeld omdat een belangrijke leverancier wordt getroffen of omdat aanvallers toegang krijgen tot de besturing van je machines. Cyberrisico's beperken zich allang niet meer tot je eigen bedrijfsnetwerk.

In onze adviespraktijk zien wij het aantal cyberincidenten toenemen en daarmee ook de financiële gevolgschade. Een cyberincident is niet uitsluitend een IT-probleem. Het is een bedrijfsrisico dat de continuïteit van jouw organisatie direct raakt.

De vraag is dan ook niet of jij met een cyberincident te maken krijgt, maar wanneer. Dat geldt voor grote en kleine ondernemingen. Hoe beperk je jouw kwetsbaarheid en zorg je dat je voorbereid bent als het misgaat?

Het probleem: kwetsbaar via jouw bedrijf en via jouw leveranciersketen

Aanvallers kiezen de weg van de minste weerstand. Steeds vaker is dat niet jouw eigen organisatie, maar een leverancier, softwarepakket of cloudaanbieder waarvan jij mede afhankelijk bent.

Daarnaast zijn productiemiddelen en energiesystemen vrijwel altijd digitaal verbonden, vaak met toegang op afstand voor onderhoud en monitoring. Eén zwakke schakel kan jouw bedrijfsvoering stilleggen, ook als je eigen beveiliging op orde is. Het gevolg: stilstand, dataverlies, schade aan installaties, reputatieschade en claims van klanten.

Productiemiddelen en energiesystemen: het vergeten risico

Bij cyberrisico's denken we niet meteen aan besturingssystemen van machines, productielijnen en gebouwbeheersystemen. Of aan zonnepanelen met omvormers, batterijopslag, warmtepompen en laadpalen.

Deze systemen worden soms jarenlang niet geüpdatet, draaien op verouderde software, gebruiken standaardwachtwoorden of zijn via internet bereikbaar voor de leverancier of installateur. Een aanval kan hier niet alleen leiden tot stilstand, maar ook tot fysieke schade, productverlies, onveilige situaties of verstoring van de eigen energievoorziening.

Waar kun je in samenspraak met jouw IT-verantwoordelijke aandacht aan besteden?

• Een actueel overzicht van alle verbonden machines en installaties.
• Scheiding tussen het kantoornetwerk en het productie- en energienetwerk.
• Beveiligde en gecontroleerde toegang op afstand voor leveranciers.
• Het wijzigen van standaardwachtwoorden en het bijhouden van firmware-updates.
• Monitoring van afwijkend gedrag op deze systemen.

Preventie: de basis op orde

Met goede basismaatregelen kun je cyberincidenten deels voorkomen of de gevolgen ervan beperken. Het zijn bekende maatregelen, maar juist daarom mogen ze niet ontbreken:

• Multifactorauthenticatie (MFA) op alle accounts, zeker op e-mail en externe toegang.
• Back-ups die offline en/of niet-wijzigbaar zijn opgeslagen en waarvan periodiek wordt getest of herstel mogelijk is, inclusief configuraties en programma's van machines.
• Het tijdig patchen en updaten van systemen en software.
• Beperkte beheerdersrechten en segmentatie van het netwerk.
• Monitoring van netwerken op afwijkende gebeurtenissen.

Contractmanagement: leg afspraken vast

Contracten met IT-leveranciers, machinebouwers en installateurs zijn vaak medebepalend voor de vraag wie de schade draagt. Controleer daarom of daarin het volgende is geregeld:

• Concrete beveiligingseisen en het recht op audit.
• Voorwaarden voor toegang op afstand tot systemen en installaties.
• Hoe lang de leverancier beveiligingsupdates blijft leveren voor machines en energiesystemen.
• Een meldplicht bij incidenten, met een duidelijke termijn.
• Aansprakelijkheid en de hoogte van de limieten, bijvoorbeeld een beperking tot de factuurwaarde waardoor de restschade bij jou blijft, of uitsluiting van indirecte schade.
• Continuïteits- en exitafspraken, zoals escrow of datateruggave.
• Een verzekeringsplicht voor de leverancier.
• Een verwerkersovereenkomst conform de AVG, waar van toepassing.

Leveranciersketen: ken jouw afhankelijkheden

Breng in kaart welke leveranciers kritisch zijn voor de primaire processen. Wat gebeurt er als je ERP-, cloud- of betaalprovider een week uitvalt? Of als het onderhoudsplatform van de machinebouwer of het monitoringsysteem van jouw energie-installatie wordt gehackt?

Classificeer leveranciers naar risico, beoordeel hun beveiligingsniveau en zorg waar mogelijk voor alternatieven.

Incident response: voorbereid op het moment suprême

In de eerste uren na een incident wordt het verschil gemaakt. Een actueel incidentresponsplan met duidelijke rollen en bevoegdheden is dan onmisbaar. Daarin leg je in ieder geval het volgende vast:

• Specifieke draaiboeken voor productie en energie: hoe schakel je veilig af en kun je tijdelijk handmatig doorwerken?
• Contactgegevens van forensische experts, juridisch adviseurs, communicatieadviseurs, machinebouwers, installateurs en jouw verzekeraar, die ook offline beschikbaar zijn.
• Kennis van meldplichten, zoals het melden van een datalek aan de Autoriteit Persoonsgegevens binnen 72 uur wanneer het datalek meldplichtig is.

Bedrijfsschade: de grootste kostenpost

Na een cyberincident ligt een organisatie soms dagen tot weken (deels) stil. Bij productie- en energiesystemen duurt herstel vaak lang: systemen moeten opnieuw worden geconfigureerd, getest en veilig opgestart. Bovendien kunnen vervangende componenten lange levertijden hebben.

Ook verstoring in de fysieke distributie van inkomende en uitgaande goederen van het eigen bedrijf of toeleveranciers kan leiden tot bedrijfsschade. Omzetverlies, doorlopende vaste kosten, extra herstelkosten, bederf van grondstoffen of producten en contractuele boetes kunnen snel oplopen.

Weet jij hoe lang jouw organisatie zonder IT en zonder productie kan, hoe snel herleveringen kunnen plaatsvinden en wat een dag stilstand kost?

Bestuursverantwoordelijkheid

Continuïteit is ook een bestuurstaak. Onder de Europese NIS2-richtlijn worden bestuurders van ondernemingen die binnen de reikwijdte van deze wet vallen expliciet verantwoordelijk voor het beleid en de uitvoering hiervan.

Ook buiten NIS2 kan een bestuurder op grond van onbehoorlijke taakvervulling persoonlijk aansprakelijk worden gesteld als cyberrisico's aantoonbaar zijn genegeerd. Leg daarom vast welke risico's zijn afgewogen en welke besluiten zijn genomen.

Human error

De mens is vaak de zwakste schakel in het aanvalsoppervlak: het merendeel van de cyberincidenten is het gevolg van menselijk handelen of nalaten. Vergroot de weerbaarheid en het bewustzijn met training, opleiding en het testen van medewerkers. En vergeet daarbij uiteraard jezelf niet.

Verzekeringsdekking: het sluitstuk

Een verzekering vervangt geen preventie, maar vangt de financiële gevolgen deels op van wat je niet kunt voorkomen. Een goede cyberverzekering dekt onder meer:

• Eigen schade: kosten voor incident response, forensisch onderzoek, dataherstel en crisiscommunicatie.
• Bedrijfsschade: financiële gevolgen van bedrijfsstilstand als gevolg van een cyberincident.
• Directe toegang tot een 24/7 incidentresponseteam en vergoeding van de kosten daarvan.

Cyberrisico's beheersen begint met inzicht. In je eigen systemen, je afhankelijkheden en de mogelijke gevolgen van een incident. Preventie, duidelijke afspraken met leveranciers, een goede voorbereiding en passende verzekeringen horen daarbij. Want uiteindelijk gaat het om één vraag: hoe zorg je dat jouw onderneming kan blijven draaien als het misgaat?