Als mensen vragen wat een cyberincident kost, denken ze meestal aan de directe schade. Systemen herstellen, data terugzetten, een IT-bedrijf inhuren. Dat is echter maar een deel van het verhaal.
De werkelijke kosten zijn hoger, minder zichtbaar en duren langer dan de meeste organisaties verwachten.
De directe kosten
De meest voor de hand liggende kosten zijn de herstelkosten. Systemen die hersteld of opnieuw opgebouwd moeten worden, data die verloren is gegaan of versleuteld is door ransomware, externe specialisten die ingeschakeld worden om de schade te beperken.
Daarbij komt stilstand. Elke dag dat systemen niet beschikbaar zijn of medewerkers niet kunnen werken, kost geld. Voor sommige organisaties is dat een paar duizend euro per dag. Voor anderen veel meer.
De indirecte kosten
Minder zichtbaar maar minstens zo ingrijpend zijn de indirecte kosten.
Reputatieschade is er een van. Als klanten, partners of de pers weten dat er een incident heeft plaatsgevonden, heeft dat gevolgen voor het vertrouwen. Dat vertrouwen terugwinnen kost tijd en moeite, en soms lukt het niet volledig.
Bij een datalek komen daar juridische verplichtingen bij. Onder de AVG ben je verplicht een datalek te melden bij de Autoriteit Persoonsgegevens en in sommige gevallen bij de betrokkenen zelf. De boetes bij nalatigheid kunnen oplopen, maar de administratieve last en de reputatiegevolgen zijn vaak zwaarder dan de boete zelf.
Dan is er de managementtijd. Een incident legt beslag op de aandacht van de directie, de IT-afdeling en vaak ook HR en communicatie. Dat zijn uren die niet aan de normale bedrijfsvoering worden besteed.
De verborgen kosten
De meest onderschatte kosten zijn de verborgen kosten die pas later zichtbaar worden. Verhoogde verzekeringspremies. Klanten die afhaken of contracten niet verlengen. Medewerkers die het vertrouwen verliezen in de organisatie. Investeringen in beveiliging die na het incident alsnog gedaan moeten worden, maar nu onder druk en zonder de tijd om het goed te doen.
Wat dit in perspectief zet
De investering in preventie is bijna altijd een fractie van de kosten van een incident. Niet als bangmakerij, maar als rekensom. Een audit, een awareness training of een goede basisbeveiliging kost een veelvoud minder dan de gemiddelde hersteloperatie.
De vraag is niet of je je iets kunt veroorloven aan beveiliging. De vraag is of je je kunt veroorloven er niets aan te doen.
Benieuwd hoe jouw organisatie scoort?
Doe de gratis zelfscan en ontdek waar de risico's zitten.