3. Cybersecurityincidenten bij bedrijven

In het voorgaande hoofdstuk werd gekeken naar de maatregelen die bedrijven nemen om meer cyberweerbaar te worden. In dit hoofdstuk wordt ingegaan op de cybersecurityincidenten die plaatsvinden, ondanks de genomen maatregelen. Hierbij wordt allereerst gekeken naar interne incidenten, die door onopzettelijk of eigen toedoen ontstaan, en incidenten die ontstaan ten gevolge van een aanval van buitenaf (paragraaf 3.1). In de rest van het hoofdstuk wordt daarna specifiek ingegaan op ransomware-aanvallen (paragraaf 3.2) en datalekmeldingen bij de Autoriteit Persoonsgegevens (paragraaf 3.3).

3.1 Cybersecurityincidenten door eigen toedoen of een aanval van buitenaf

In de ICT‐enquête (zie paragraaf 2.1) worden twee soorten cybersecurityincidenten onderscheiden: incidenten met een interne oorzaak en incidenten door een aanval van buitenaf. Voor beide soorten incidenten worden drie varianten onderscheiden.

3.1.1 Cybersecurityincidenten per bedrijfsgrootteklasse

In de ICT‐enquête wordt aan bedrijven gevraagd hoe vaak ze te maken hebben gehad met de eerder genoemde cybersecurityincidenten in het jaar daarvoor. Ook wordt gevraagd of er kosten werden gemaakt ten gevolge van de cybersecurityincidenten.³⁾ Deze vragen zijn inmiddels acht opeenvolgende jaren voorgelegd. In het volgende deel worden de resultaten eerst per bedrijfsgrootteklasse besproken. Daarna wordt gekeken naar de ontwikkeling per bedrijfstak.

Cybersecurityincidenten komen vaker voor bij grote bedrijven

In figuren 3.1.1 en 3.1.2 wordt het percentage van bedrijven getoond naar bedrijfsgrootteklasse dat minstens één cybersecurityincident heeft gehad als gevolg van een aanval van buitenaf (figuur 3.1.1) of een interne oorzaak (figuur 3.1.2). Het linkerdeel van de staafjes geeft het percentage van bedrijven weer dat aangeeft dat er kosten met het incident gemoeid waren.

Over de jaren heen blijken grote bedrijven consistent vaker cybersecurityincidenten te hebben dan kleine bedrijven. Dit geldt voor zowel interne incidenten als incidenten door een aanval van buitenaf. Voor dit patroon kunnen meerdere oorzaken zijn. Zo kan bij interne incidenten, zoals uitval van ICT-systemen door hardware of software storingen, meespelen dat grote bedrijven vaker een grotere en complexere ICT-infrastructuur hebben. Een groter aantal computers of meer hardware binnen een bedrijf gaat immers gepaard met een grotere kans dat er schade aan één van de systemen optreedt. Bij incidenten door een aanval van buitenaf is het daarnaast aannemelijk dat grote bedrijven interessanter zijn voor cybercriminelen. Bij grote bedrijven valt immers meer te halen en daar is de (publiciteits)schade groter. Tot slot kan meespelen dat grote bedrijven vaak meer ICT-specialisten in dienst hebben. Hierdoor kan de kans op detectie van ICT‐veiligheidsincidenten groter zijn.

Aandeel bedrijven met cybersecurityincidenten neemt af

Het aandeel van bedrijven met ten minste één cybersecurityincident met een interne oorzaak (figuur 3.1.2) of een aanval van buitenaf (figuur 3.1.1) neemt door de jaren heen af. Deze daling is zichtbaar voor alle bedrijfsgrootteklassen. In 2016 had bijvoorbeeld nog bijna 40 procent van de grootste bedrijven (250 of meer werkzame personen) een cybersecurityincident door een aanval van buitenaf, terwijl dit in 2023 nog maar 16 procent was.

De daling van het aantal incidenten met een interne oorzaak schommelt over de tijd. Voor de grootste bedrijven (250 of meer werkzame personen) zien we bijvoorbeeld een toename voor jaren 2016-2019, gevolgd door een afname in de jaren daarna. Dit kan te maken hebben met het feit dat interne incidenten niet per se te voorkomen zijn; een hardwareonderdeel kan nu eenmaal kapotgaan. De afname na 2019 is daarnaast mogelijk deels te verklaren doordat de uitleg van de categorie ‘dataonthulling door eigen personeel’ is gewijzigd. Vanaf 2020 is hier uitdrukkelijk bij vermeld dat het gaat om onopzettelijke dataonthulling door eigen personeel, en niet om opzettelijk toedoen. Dit kan hebben geleid tot een afname van het aantal incidenten met een interne oorzaak.

Uitval ICT-systeem vaakst voorkomende type incident

Van alle cybersecurityincidenten kregen bedrijven het vaakst te maken met de uitval van een ICT-systeem met een interne oorzaak (figuur 3.1.2). Zo kreeg 9 procent van de bedrijven met 2 of meer werkzame personen in 2023 te maken met dit type incident. Een kleiner deel (3 procent) kreeg te maken met de uitval van een ICT-systeem door een aanval van buitenaf (figuur 3.1.1). De overige type incidenten (vernietiging of onthulling van data) deden zich voor bij 1 procent van de bedrijven. Dit geldt voor zowel de incidenten door een aanval van buitenaf als door een interne oorzaak.

Een vijfde van de cybersecurityincidenten gaat gepaard met kosten

Ten slotte laten figuren 3.1.1 en 3.1.2 zien dat lang niet alle cybersecurityincidenten ook gepaard gaan met kosten. Het aandeel van bedrijven met kosten aan het cybersecurityincident neemt daarnaast af met de tijd. Zo had in 2016 nog bijna 41 procent van de bedrijven met ten minste één cybersecurityincident met een interne oorzaak (2 of meer werkzame personen) ook daadwerkelijk kosten aan het incident, terwijl dit in 2023 nog maar 20 procent was. Van de bedrijven met ten minste één cybersecurityincident door een aanval van buitenaf (2 of meer werkzame personen) had in 2016 nog bijna 55 procent kosten aan het incident, terwijl dit in 2023 nog maar 20 procent was.

3.1.2 Cybersecurityincidenten per bedrijfstak

Figuren 3.1.3 en 3.1.4 tonen het aandeel van bedrijven met ten minste één cybersecurityincident met een interne oorzaak (figuur 3.1.3) of door een aanval van buitenaf (figuur 3.1.4) per bedrijfstak (2 of meer werkzame personen). Merk op dat alleen een selectie van bedrijfstakken wordt getoond, namelijk de bedrijfstakken waar de cybersecurityincidenten het meest uiteenlopen. Een overzicht van alle bedrijfstakken wordt getoond in tabel A.3.1 t/m A.3.8.

Cybersecurityincidenten het meest voorkomend in de ICT-sector

Cybersecurityincidenten door een aanval van buitenaf kwamen in 2023 het vaakst voor in de ICT-sector (7 procent), en het minst vaak in de horeca (3 procent) (figuur 3.1.3). Voor de horeca is dit niet vreemd, omdat de mate van digitalisering daar vaak lager is dan in andere bedrijfstakken, waardoor de kans op uitval door een hardware‐ of softwarestoring ook kleiner is. Cybersecurityincidenten met een interne oorzaak kwamen in 2023 het vaakst voor in de bedrijfstakken ‘Energie, water en afvalbeheer’ (18 procent) en ‘Gezondheids- en welzijnszorg’ (17 procent). In deze bedrijfstak gingen de cybersecurityincidenten ook redelijk vaak gepaard met kosten. In de bedrijfstak ‘Verhuur van en handel in onroerend goed’ en de horeca kwamen cybersecurityincidenten met een interne oorzaak het minst vaak voor (6 procent).

3.2 Ransomware-aanvallen

Sinds 2021 wordt er in de ICT‐enquête ook specifiek gevraagd naar ransomware-aanvallen. Bij een ransomware-aanval worden de ICT‐systemen van een bedrijf of particulier door middel van malware geblokkeerd, om zo het slachtoffer te chanteren om losgeld (‘ransom’) te betalen om de systemen weer vrij te geven. Ransomware wordt door de Nationaal Coördinator Terrorismebestrijding en Veiligheid als een belangrijk risico voor de nationale veiligheid gezien (NCTV, 2023).

Grotere bedrijven percentueel gezien vaker slachtoffer van ransomware-aanval

Figuren 3.2.1 en 3.2.2 tonen respectievelijk de percentages van bedrijven met een ransomware-aanval per grootteklasse en bedrijfstak in 2023.⁴⁾ Figuur 3.2.1 laat zien dat grotere bedrijven in 2023 percentueel gezien iets vaker te maken kregen met een ransomware-aanval dan kleine bedrijven. Zo kreeg 2 procent van de bedrijven met 50 of meer werkzame personen in 2023 te maken met een ransomware-aanval, tegenover 1 procent bij de bedrijven met minder dan 50 werkzame personen. Figuur 3.2.2 laat zien dat bedrijven in de ICT‐sector het vaakst werden getroffen door een ransomware-aanval (2 procent). In de bedrijfstakken ‘Bouwnijverheid’ en ‘Financiële dienstverlening’ was het aandeel van bedrijven met een ransomware-aanval het laagst (0 procent).

In het komende deel van deze paragraaf wordt ingezoomd op de bedrijven die in 2023 te maken kregen met een ransomware-aanval. Vanwege het beperkte aantal bedrijven dat deze vragen te zien heeft gekregen, is ervoor gekozen om deze resultaten alleen uit te splitsen naar bedrijfsgrootte.

Sinds 2024 wordt er in de ICT‐enquête een onderscheid gemaakt tussen twee soorten ransomware-aanvallen: (1) ransomware-aanvallen waarbij bestanden of ICT‐systemen versleuteld worden om alleen na betaling van losgeld weer vrij te geven, en (2) ransomware-aanvallen waarbij bestanden gestolen worden en gedreigd wordt dat de informatie openbaar gemaakt wordt. Figuur 3.2.3 laat zien hoe vaak beide typen ransomware-aanvallen in 2023 voorkwamen per grootteklasse. Het blijkt dat bijna de helft van de bedrijven met een ransomware-aanval (2 of meer werkzame personen) aangaf met beide typen ransomware-aanvallen te maken te hebben gehad (47 procent). Overigens hoeft dit niet te betekenen dat er sprake was van tweevoudige afpersing.⁵⁾ Beide typen aanvallen konden zich immers ook los van elkaar voordoen. Een groot deel van de bedrijven gaf aan alleen een ransomware-aanval te hebben gehad waarbij bestanden of ICT‐systemen versleuteld waren (44 procent). Het overige deel gaf aan alleen een ransomware-aanval te hebben gehad waarbij bestanden gestolen waren en gedreigd werd deze openbaar te maken (9 procent).

Slechts 2 procent van bedrijven met ransomware-aanval betaalt losgeld

Figuur 3.2.4 geeft het percentage weer van bedrijven met een ransomware-aanval dat losgeld betaald heeft. Van alle bedrijven met een ransomware-aanval met 2 of meer werkzame personen betaalde 2 procent in 2023 losgeld. Dit lage percentage komt voornamelijk door het grote aantal kleine bedrijven (2 tot 10 werkzame personen) dat aangaf geen losgeld te betalen. Door grotere bedrijven werd wel vaker losgeld betaald. Zo betaalde 10 procent van de bedrijven met 50 tot 250 werkzame personen met een ransomware-aanval in 2023 losgeld.

Naast losgeld kunnen bedrijven ook andere kosten hebben ten gevolge van een ransomware-aanval, zoals het vervangen van getroffen ICT-systemen, het inhuren van ICT-specialisten om de schade te beperken, of het eventuele productieverlies ten gevolge van de ransomware-aanval. Figuur 3.2.5 geeft weer welk percentage van bedrijven met een ransomware-aanval, aangeeft andere kosten te hebben gehad. Uit deze figuur blijkt dat ongeveer een derde van de bedrijven met een ransomware-aanval in 2023 andere kosten had ten gevolge van de ransomware-aanval. Grotere bedrijven hadden vaker andere kosten dan kleinere bedrijven.

Bedrijven met ransomware-aanval schakelen vaker een cybersecuritybedrijf in dan de politie

Figuren 3.2.6 en 3.2.7 tonen het percentage van bedrijven met een ransomware-aanval dat als gevolg daarvan hulp heeft ingeschakeld van respectievelijk de politie of een cybersecuritybedrijf. Van alle bedrijven met 2 of meer werkzame personen die in 2023 een ransomware-aanval hadden, schakelde 14 procent de hulp in van de politie (figuur 3.2.6). Een groter aandeel stapte naar een cybersecuritybedrijf (39 procent) (figuur 3.2.7). Het is hierbij uiteraard mogelijk dat een bedrijf hulp inschakelde van zowel de politie als een cybersecuritybedrijf. Opvallend is wel dat kleinere bedrijven minder vaak de hulp inschakelden van de politie of een cybersecuritybedrijf dan grotere bedrijven. Van de microbedrijven (2 tot 10 werkzame personen) stapte in 2023 bijvoorbeeld 14 procent naar de politie, tegenover 34 procent van de grote bedrijven (250 of meer werkzame personen).

3.3 Datalekmeldingen bij de Autoriteit Persoonsgegevens

Bedrijven en organisaties die een datalek hebben, dienen dit te melden bij de Autoriteit Persoonsgegevens (AP). In de eerste helft van 2024 kreeg de AP ruim 9,8 duizend keer een datalekmelding binnen. Hiermee ligt het aantal datalekmeldingen lager dan in de eerste helft van zowel 2023 als 2022 (beide 10,5 duizend).

Meestal kwam de datalekmelding voort uit een incident met een brief of postpakket met persoonsgegevens. In 41 procent van de datalekmeldingen in de eerste helft van 2024 ging het om zo’n incident. Ook in voorgaande jaren kwam dit type incident het meeste voor. Het gaat hier bijvoorbeeld om een brief of postpakket dat is verstuurd of afgegeven aan een verkeerde ontvanger, of een brief of postpakket dat geopend retour is ontvangen of is kwijtgeraakt. In 18 procent van de datalekmeldingen ging het om een incident waarbij er iets misging met persoonsgegevens in een email, zoals versturen aan een verkeerde ontvanger. In 8 procent van de datalekmeldingen vond er een vorm van cybercrime plaats, zoals hacking, malware of phishing. Bij de overige incidenten (33 procent) gaat het onder andere om persoonsgegevens die zijn toegevoegd aan een verkeerd dossier, persoonsgegevens van een klant die zijn getoond in het verkeerde klantportaal, of om een usb-stick of papier met persoonsgegevens dat is kwijtgeraakt.

Datalekmeldingen vooral van grote bedrijven

Bijna 70 procent van de datalekmeldingen werd gedaan door een groot bedrijf of grote organisatie (250 of meer werkzame personen). Hiermee vertegenwoordigen grote bedrijven of organisaties (0,2 procent van alle bedrijven in Nederland) een relatief groot aandeel in de datalekmeldingen. Veel minder meldingen kwamen van kleinere bedrijven (0 tot 50 of 50 tot 250 werkzame personen). Beide iets meer dan 1 400 meldingen.

De helft van de datalekmeldingen kwam vanuit de bedrijfstak ‘Openbaar bestuur, overheidsdiensten en verplichte sociale verzekeringen’ (ruim 2,5 duizend) of een organisatie in de bedrijfstak ‘Gezondheids- en welzijnszorg’ (2,4 duizend). Hierbij gaat het vooral ook om de grote bedrijven waar de datalekmeldingen vandaan kwamen.