I.2.3.3 Inhoud: afbakening begrippen

Cyber en cyberrisico

Het begrip ‘cyber’ kent geen eenduidige definitie in de literatuur en kan vanuit verschillende perspectieven worden benaderd. Een kernvraag in de context van verzekeringen is of ‘cyber’ slechts een voorvoegsel is waarmee een bepaalde technologie wordt aangeduid, of dat ‘cyber’ echt een nieuwe, separate risicocategorie inhoudt.1 Gelet op de wijze waarop ‘cyber’ in uiteenlopende (vak)literatuur wordt behandeld, lijkt dat laatste geregeld als uitgangspunt te worden gehanteerd. Dit volgt bijvoorbeeld ook uit het feit dat cyberverzekeringen als stand-alone verzekeringsproducten worden aangeboden, als separaat product naast traditionele verzekeringen.2

Deze benadering, die Van Eeten aanduidt als ‘cyber-exceptionalisme’, is niet zonder kritiek gebleven. Van Eeten schrijft dat

Uiteindelijk zullen de begrippen cyber en digitalisering verdwijnen, zo voorspelt Van Eeten.4

Van Eeten onderschrijft de verwevenheid van digitalisering met de bestaande maatschappij en de risico’s die zich daarin voordoen. Zijn betoog illustreert daarmee de complexe duiding van het begrip ‘cyber’. Mogelijk komt zijn voorspelling uit dat de term ‘cyber’ over een aantal jaar niet meer als zodanig wordt gebruikt. Niettemin meen ik dat de term ‘cyber’ zich in het kader van risicocalculatie en -classificatie vooralsnog wel van traditionele risico’s onderscheidt, gelet op de snelheid waarin de technologische ontwikkelingen zich voordoen en het gebrek aan breed gedragen kennis van effectieve beveiligingsmaatregelen. De specifieke discussie over de duiding van het begrip ‘cyber’ zal ik in dit onderzoek echter niet beslechten. Wel is deze relevant om in het achterhoofd te houden, bijvoorbeeld bij de vraag wat de toekomst is van cyberverzekeringen (zie vooral de conclusie van dit boek).

Hoewel een eenduidige definitie van ‘cyber’ dus ontbreekt, bestaat er consensus over twee kernelementen van dit begrip: (1) de betrokkenheid van IT en networked computers en (2) virtualiteit.5 Hiermee onderscheiden cyberrisico’s zich van traditionele risico’s – de bovenstaande discussie over exceptionalisme daargelaten. Op de eerste plaats illustreert het virtuele karakter van cyber de onstoffelijke, ontastbare aard van cyberrisico’s. Daarnaast brengt de betrokkenheid van IT en networked computers met zich dat cyber een grote mate van onderlinge samenhang en onderlinge afhankelijkheid kent en in hoge mate is onderworpen aan veranderlijkheid. Deze onderlinge afhankelijkheid maakt tevens dat cyberrisico’s deels systemisch van aard zijn.6

Waarin of hoe voornoemde elementen vervolgens zijn terug te zien in de definitie van ‘cyber’ en ‘cyberrisico’s’, is evenwel op verschillende manieren te benaderen. Zo kan de nadruk worden gelegd op de oorzaak van het risico (criminaliteit, fouten), maar ook op het gebruikte middel (malware, spam, Ddos), de bron (overheden, criminelen, terroristen) of juist het doel (gegevens of operationele processen).7 In de literatuur over cyberrisico’s komen dan ook uiteenlopende definities voor, die variëren van breed naar smal. Zo concentreert de ene auteur sterk op het criminaliteitsaspect van cyber en beperkt ‘cyberrisico’s’ daardoor tot enkel het gevolg van malafide handelingen.8 Een andere benadering is de focus op (louter) de informatietechnologie en dus op de gevolgen voor de vertrouwelijkheid, beschikbaarheid en integriteit van gegevens.9 Beide benaderingen acht ik voor dit onderzoek te beperkt. Deze laatste invalshoek sluit bijvoorbeeld immers een voor cyberverzekeringen belangrijk element uit, namelijk schade aan onderliggende processen, kritieke infrastructuur en productie- of leveringsketens met bedrijfsstagnatie als gevolg. Lloyd’s heeft dit aspect aangeduid als ‘operationele technologie’ (OT) tegenover informatietechnologie (IT).10

In Nederland heeft het Verbond van Verzekeraars in 2013 het begrip cyberrisico gedefinieerd als “het financiële nadeel dat een verzekerde oploopt door of via computer en/of IT systemen, zonder dat sprake is van materiële schade”.11 In deze definitie zijn de kernbegrippen van ‘cyber’ terug te zien, maar wordt het risico beperkt tot financieel nadeel en wordt materiële schade buiten de reikwijdte van de definitie gehouden.

Omdat in de bredere context van verzekeringen zowel de financiële schade als de mogelijke materiële schade die – al dan niet direct – door cyberrisico’s kan worden veroorzaakt relevant is, hanteer ik in dit onderzoek een brede definitie voor het begrip cyberrisico, namelijk: de risico’s die voortvloeien uit het gebruik van IT en computernetwerken.

Cyberverzekering

Een heldere afbakening van het object van dit onderzoek, de cyberverzekering, is niet onbelangrijk. Cyberverzekeringen zijn er in verschillende soorten en maten. Zo bestaan er niet alleen zelfstandige verzekeringsproducten die dekking bieden voor cyberrisico’s (stand-alone polissen), maar komt cyberdekking tevens voor als een ‘add on’ of ‘endorsement’ op traditionele polissen.12

Dit onderzoek richt zich primair op de stand-alone cyberverzekering. Slechts bij uitzondering zal ik refereren aan cyberdekking als uitbreiding op traditionele polissen, bijvoorbeeld indien bepaalde ontwikkelingen daartoe aanleiding geven.13

Cybersecurity en cyberweerbaarheid

Het begrip cybersecurity is een veelgehoorde term en wordt niet altijd met dezelfde betekenis gebruikt.14 Voor dit onderzoek sluit ik aan bij het onderscheid dat het Rathenau Instituut in een van zijn rapporten heeft gemaakt tussen cybersecurity en cyberweerbaarheid.15 De door mij gehanteerde definitie is evenwel een combinatie van de definitie in het Cybersecurity Woordenboek en de door het Rathenau Instituut gebruikte begripsomschrijving.16 Onder cybersecurity versta ik: “Alle beveiligingsmaatregelen die men neemt om schade te voorkomen door een storing, uitval of misbruik van een informatiesysteem of computer.”

Met het Rathenau Instituut ben ik het eens dat ‘cyberweerbaarheid’ een andere inhoud heeft, namelijk het vermogen om te kunnen reageren op een cyberincident, dus om de schade te kunnen beperken en de continuïteit zoveel mogelijk te kunnen garanderen. Cybersecurity is dus preventief, cyberweerbaarheid reactief.