3. Cybersecurityincidenten

In figuren 3.1.1(a) en 3.1.1(b) wordt voor de periode 2016–2021 per grootteklasse het percentage van bedrijven getoond dat minstens één ICT-veiligheidsincident heeft gehad als gevolg van respectievelijk een interne oorzaak of een aanval van buitenaf. Voor beide figuren worden dus de hiervoor genoemde type incidenten (uitval ICT-systeem, datavernietiging en dataonthulling) samengenomen. Het lichtgekleurde deel van de staafdiagrammen geeft het percentage bedrijven dat aangeeft dat er kosten met het ICT-incident gemoeid waren.

Grote bedrijven hebben over de jaren heen consistent meer incidenten dan kleine bedrijven. Dit geldt voor zowel interne incidenten als incidenten door een aanval van buitenaf. Dit patroon kan meerdere oorzaken hebben. Bij de interne incidenten, zoals uitval van ICT-systemen door hardware of software storingen, speelt mee dat grote bedrijven vaker een grote, meer complexe ICT-infrastructuur hebben. Een groter aantal computers of meer hardware binnen het bedrijf gaat gepaard met een grotere kans op schade aan één van de systemen. Wat betreft de incidenten door een aanval van buitenaf lijkt het aannemelijk dat grote bedrijven een grotere interesse hebben van cybercriminelen omdat er meer te halen valt of de (publiciteits) schade groter is. Wat verder een rol kan spelen, is dat grote bedrijven vaak meer ICT-specialisten in dienst hebben, waardoor de kans op detectie van ICT-veiligheidsincidenten waarschijnlijk groter is.

Figuren 3.1.1(a) en 3.1.1(b) laten een afname zien van het totaal aantal ICT-veiligheidsincidenten met zowel een interne oorzaak als door een aanval van buitenaf. Deze daling was zichtbaar onder bedrijven in alle grootteklassen. Voor de incidenten met een interne oorzaak is dit niet overal duidelijk, zeker niet voor de grootste bedrijven: bij deze groep zien we een toename over de jaren 2017–2019, gevolgd door weer een afname voor de jaren 2020–2021. Dit zou te maken kunnen hebben met het feit dat interne incidenten niet per se te voorkomen zijn: een kapot hardware onderdeel is iets wat nu eenmaal kan ontstaan.

Ook valt voor een deel deze daling te verklaren door de iets nauwere formulering van de categorie ‘dataonthulling door eigen personeel’. Vanaf 2020 is daar duidelijk bij vermeld dat het uitdrukkelijk gaat om onopzettelijke dataonthulling door eigen personeel, en niet om opzettelijk toedoen. In dat laatste geval valt het incident onder dataonthulling als gevolg van een aanval van buitenaf, omdat het hoort bij de categorie cybercrime. Door de duidelijkere omschrijving dat het gaat om onopzettelijke handelingen van eigen personeel, is het mogelijk dat dit heeft geleid tot een afname van incidenten in deze categorie

Voor de ICT-veiligheidsincidenten door een aanval van buitenaf is de afname voor alle grootteklassen over de periode 2016–2019 waar te nemen. In het jaar 2020 is juist weer een lichte toename van ICT-veiligheidsincidenten door een aanval van buiten te zien, wat in het laatste jaar 2021 weer iets daalt. Zo is te zien dat in 2016 bijna 40 procent van de grote bedrijven (250 of meer werknemers) met een ICT-veiligheidsincident door een aanval van buitenaf te maken heeft gehad, terwijl dat in 2019 was afgenomen tot 19 procent. In 2020 steeg het aantal grote bedrijven dat een ICT-veiligheidsincident door een aanval van buitenaf meldde tot 22 procent, maar in 2021 daalde dit weer tot 20 procent.

Wat figuren 3.1.1(a) en 3.1.1(b) ook laten zien is dat lang niet alle ICT-veiligheidsincidenten met kosten gepaard gaan. Ongeveer de helft van de bedrijven die ICT-veiligheidsincidenten hadden, ging dat gepaard met kosten. Voor 2020 en 2021 is het aandeel bedrijven met kosten zelfs nog wat gedaald vergeleken met het jaar daarvoor. In 2020 en 2021 gaat nog maar ongeveer een derde van de ICT-veiligheidsincidenten gepaard met kosten.

Ook als alleen naar de incidenten met kosten gekeken wordt, is te zien dat het aantal meldingen gehalveerd is: in 2016 gaf 19 procent van de grote bedrijven aan een ICT-veiligheidsincident met kosten gehad te hebben, terwijl dat in 2020 nog maar 9 procent was. In 2021 is dit nog wat verder afgenomen: bij 8 procent van de grote bedrijven vond een ICT-veiligheidsincident door een aanval van buitenaf plaats dat met kosten gepaard ging. Deze afname van het aantal ICT-veiligheidsincidenten door een aanval van buitenaf is waarneembaar voor alle grootteklassen. Toch zal verderop aangetoond worden dat deze afname wel iets genuanceerder bekeken moet worden, omdat het beeld is samengesteld uit drie verschillende soorten incidenten en de ontwikkelingen per type incident verschillen.

Het is dus vaak het geval dat er wel sprake was van een ICT-veiligheidsincident, maar dat dit niet direct heeft geleid tot kosten. Dit geldt voor zowel incidenten met een interne oorzaak als incidenten als gevolg van een aanval van buitenaf. Vanaf 2020 wordt aan bedrijven ook gevraagd hoe hoog de kosten waren als percentage van de omzet; deze resultaten worden later in dit hoofdstuk besproken.

In figuren 3.1.3(a1–c1) toont de linker kolom de interne ICT-veiligheidsincidenten voor respectievelijk uitval van ICT-systemen, datavernietiging en dataonthulling per grootteklasse. Figuren 3.1.3(a2–c2) geven de incidenten door een aanval van buitenaf voor dezelfde drie typen incidenten per grootteklasse.

Voor de interne incidenten zijn de eerder gevonden daling in het aandeel bedrijven met een intern ICT-incident ook terug te zien in de onderliggende specifiekere categoriëen van incidenten. Er was eerder al geconcludeerd dat het aandeel bedrijven met een interne incidenten toeneemt met de bedrijfsgrootte. Als we naar de drie typen interne incidenten kijken dan zien we dat deze toename voornamelijk toe te schrijven is aan de uitval van ICT-systemen door een hardware- of softwarestoring, zoals te zien is in figuur 3.1.3(a1): ongeveer 9 procent van de kleine bedrijven had in 2021 een uitval door een storing, terwijl dit voor grote bedrijven zo’n 42 procent was. Beide percentages zijn een stuk lager dan de in 2019 gemeten percentages (respectievelijk 24 en 56 procent).

Datavernietiging door een hardwarestoring komt bij minder dan 10 procent van de bedrijven voor; bovendien is de samenhang met de grootte van het bedrijf minder sterk aanwezig. Wel is te zien dat ook dataonthulling vaker bij grote dan bij kleine bedrijven voorkomt, maar omdat het aantal bedrijven met dergelijke incidenten gering is, draagt deze categorie een stuk minder bij aan het totaal van interne incidenten. De ontwikkeling over de tijd is voor de interne incidenten minder eenduidig en varieert naar categorie. Voor dataonthulling door een intern incident, getoond in figuur 3.1.3(c1), is tot voor 2020 een toename over de tijd te zien voor de grote bedrijven van 250 of meer werknemers, terwijl vanaf 2020 weer afneemt. Dit is anders dan de ontwikkeling voor het totaal aan interne incidenten. De ontwikkelingen variëren dus sterk naar type incident.

Figuur 3.1.3(a2–c2) laat zien dat alle typen incidenten als gevolg van een aanval van buitenaf vaker voorkomen bij grote bedrijven. Dit komt overeen met het eerder beschreven patroon voor het totaal van incidenten door een aanval van buitenaf. Dit is alleen toe te schrijven aan de afname van uitval van ICT-systemen en vernietiging van data door een aanval van buitenaf. Het aantal bedrijven dat dataonthulling als gevolg van een cyberinbraak meldt, is echter weer toegenomen over de afgelopen vier jaar, vooral als er naar de grote bedrijven gekeken wordt. Er kan dus geconcludeerd worden dat alleen kijkend naar de cijfers voor dataonthulling, we een toename van het aantal incidenten zien. Dit neemt echter niet weg dat als we de incidenten van datavernietiging en uitval van ICT-systemen meenemen, het aantal incidenten over de jaren afgenomen is.

Figuren 3.1.4(a1–c1) toont de linker kolom de interne ICT-veiligheidsincidenten voor respectievelijk uitval van ICT-systemen, datavernietiging en dataonthulling per bedrijfstak. Figuren 3.1.4(a2–c2) geven de incidenten door een aanval van buitenaf voor dezelfde drie typen ICT-veiligheidsincidenten per bedrijfstak. Net als we bij afname van ICT-veiligheidsincidenten per grootteklasse zien we dat voor de meeste bedrijfstakken een afname van het percentage van bedrijven per bedrijfstak dat een ICT-veiligheidsincident met een interne oorzaak en door een aanval van buiten meldt. Voor grote bedrijven zien we een stijging in het percentage bedrijven binnen de categorie ‘Onthulling door cyberinbraak’. Deze toename is alleen zichtbaar binnen de Financiële dienstverlening.

Figuur 3.1.5(b) laat dezelfde kostenverdeling voor interne ICT-veiligheidsincidenten per bedrijfstak zien. Hierbij worden alle bedrijven met 2 of meer werknemers meegenomen (ZZP dus niet). Meest opvallend is dat er relatief veel interne ICT-veiligheidsincidenten in de Financiële sector zijn, met ook relatief veel incidenten met kosten hoger dan 1 procent van de omzet. De Horeca heeft in 2021 te maken met de hoogste kosten bij interne ICT-incidenten: bij 1 op de 4 Horeca bedrijven die een intern ICT-veiligheidsincident met kosten hadden, waren de kosten tussen 10 en 50% van de totale omzet. Dit hangt samen met het feit dat de horeca veel kleine bedrijven bevat met een relatief lage omzet, zodat de kosten van ICT-veiligheidsincidenten eerder een groter percentage van de omzet omvat.

De kostenverdeling van ICT-veiligheidsincidenten door een aanval van buiten per bedrijfstak wordt getoond in figuur 3.1.6(b). Deze figuur laat zien dat de Financiële dienstverlening relatief vaak dit soort incidenten heeft, ook met hoge kosten tot gevolg. Ook worden in 2021 in deze sector beduidend meer incidenten gemeld dan in 2020, met een stijging van 2,2 naar 3,4 procent van de bedrijven die kosten had door een ICT-veiligheidsincident door een aanval van buiten. Ook bedroegen de kosten in 2021 relatief vaker meer dan 1 procent van de omzet, alhoewel het in 2020 vaker voorkwam dat de kosten tussen de 10 en 50 procent van de omzet lagen.

Figuur 3.1.7 laat zien dat in 2021 in totaal 6 300 ransomware-aanvallen bij bedrijven zijn geweest, waarvan 4 000 bij ZZP’ers en 2 300 bij bedrijven met 2 of meer personen. In dit figuur wordt het aantal unieke bedrijven aangegeven dat aangeeft een Ransomware-aanval te hebben gehad, om de omvang van het probleem goed weer te geven. Tabel 3.1.8 geeft naast de absolute getallen ook het percentage van bedrijven per grootteklasse weer dat meldt een ransomware-aanval gehad te hebben.

Hieruit blijkt procentueel gezien grote bedrijven meer last hebben van ransomware-aanvallen dan kleine bedrijven. Ransomware-aanvallen hebben zich bij 0,3 procent van de ZZP’ers in Nederland voorgedaan, terwijl 4 procentvan de bedrijven met 250 of meer werknemers zegt een Ransomware-aanval gehad te hebben.

Figuur 3.1.9 toont de percentages van bedrijven die een ransomware-aanval gehad per bedrijfstak voor bedrijven met 2 of meer werknemers. De bedrijfstak ‘Verhuur en handel onroerend goed’ is de bedrijfstak die het meest door ransomware getroffen is: 1,5 procent van de bedrijven uit deze sector melden een ransomware-aanval gehad te hebben. Ook de ICT-sector scoort relatief hoog. Een overzicht van alle cijfers is op Statline terug te vinden.

In figuren 3.1.11(a) en 3.1.11(b) wordt per grootteklasse en bedrijfstak de verdeling van de hoogte van het losgeld gegeven als percentage van de omzet van het bedrijf. Gemiddeld voor alle bedrijven met 2 of meer werknemers betaalt 11 procent van de bedrijven losgeld. In ongeveer de helft van de gevallen bedraagt het losgeld meer dan 50 procent van de omzet. Het is te zien dat dit voornamelijk komt door de kleine bedrijven met 2 tot 10 werknemers waarbij de omzet in het algemeen lager is. De impact voor het bedrijf dat zo’n hoog percentage van de omzet aan losgeld betaalt is groot, vooral als je mee neemt dat in een groot aantal gevallen het betalen van losgeld niet leidt tot het ontsleutelen van de data van het bedrijf. Van grote bedrijven met 250 of meer werknemers betaalt ongeveer een kwart van de bedrijven die losgeld betalen een bedrag tussen 1 en 2 procent van de totale omzet. De schade voor het bedrijf kan dus behoorlijk zijn.

In figuur 3.1.11(b) is het met name opvallend dat in de ‘Handel’ relatief veel bedrijven losgeld betalen en dat het betaalde bedrag ook hoog is: in 70 procentvan de gevallen wordt meer dan 50 procent van de omzet betaald. Dit duidt erop dat voornamelijk kleine bedrijven in de handel getroffen zijn. Inderdaad zijn het alleen de kleine Handels bedrijven met 2 tot 10 werknemers die 50 procent of meer van de omzet betalen.

Naast losgeld kan een bedrijf natuurlijk ook andere kosten aan een ransomware-aanval overhouden, zoals bijvoorbeeld het vervangen van getroffen ICT-systemen, het inhuren van ICT-specialisten om de schade te beperken, maar ook het eventuele productieverlies ten gevolge van de ransomware-aanval. Figuren 3.1.12(a) en 3.1.12(b) geven per grootteklasse en bedrijfstak de verdeling van de overige kosten weer als gevolg van de ransomware-aanval. Het is meteen duidelijk dat bedrijven met een ransomware-aanval vaker kosten hebben aan overige zaken dan aan de betaling van losgeld. Zo is in figuur 3.1.12(a) te zien dat voor alle bedrijven met 2 of meer werknemers die een ransomware-aanval gehad hebben bijna de helft (48 procent) meldt dat ze andere kosten dan losgeld aan de aanval hebben gehad. Weer zijn deze kosten uitgesplitst naar percentages van de omzet. In de meeste gevallen blijven de kosten onder de 1 procent van de omzet, maar te zien is dat voor kleine percentages bedrijven de overige kosten behoorlijk op kunnen lopen: zo meldt bijvoorbeeld 5 procent van de bedrijven met 50 tot 250 werknemers dat de overige kosten tussen de 10 en 50 procent van de omzet van het bedrijf liggen. Als per bedrijfstak in figuur 3.1.12(b) gekeken wordt, valt op dat met name de Industrie veel andere kosten heeft aan een ransomware-aanval. Maar ook de ‘Handel’, ‘Bouwnijverheid’ en ‘Speciale zakelijk dienstverlening’ scoren relatief hoog.

De gezondheids- en welzijnssector (waaronder ziekenhuizen, apotheken en GGZ-instellingen) had het hoogste aandeel in het aantal meldingen van datalekken in 2022, namelijk 41 procent. In absolute aantallen is het aantal meldingen daar wel afgenomen van ongeveer 9 200 naar 8 670. Ook bij het openbaar bestuur (zoals Rijksoverheid en gemeenten) en in de financiële sector kwamen relatief veel meldingen van datalekken voor (respectievelijk 23 en 9 procent). Bij de financiële sector is het aantal datalekmeldingen sinds 2019 wel fors afgenomen. Gezamenlijk waren deze drie sectoren dus goed voor 73 procentvan alle gemelde datalekken in 2021 (figuur 3.1.15).

In eerdere jaren vormden deze drie bedrijfstakken ook al de top-3 van sectoren met de meeste gerapporteerde datalekken. In bijna alle eerdere jaren kwamen de meeste meldingen uit de gezondheids- en welzijnssector. Alleen in 2019 was het aantal gerapporteerde datalekken nog hoger binnen de financiële sector.

In de genoemde sectoren worden veel en ‘gevoelige’ persoonsgegevens verwerkt en opgeslagen. Ook het aantal bedrijven en instellingen en organisaties in een sector speelt een rol bij de hoeveelheid meldingen.

In 2022 was verreweg de meest gemelde oorzaak van het ontstaan van een datalek een brief, postpakket of email met persoonsgegevens die verstuurd of afgegeven werd aan de verkeerde ontvanger(s) (10 192 meldingen per post en 3 347 meldingen per e-mail) Daarna was de meest voorkomende oorzaak is ‘Hacking, malware en/of phishing’ (cyberaanvallen) en omvatte 11 procentvan het aantal meldingen in 2022 (1 825 meldingen). In 2021 was deze categorie incidenten goed voor 9 procent(2210 meldingen) van het totaal aantal meldingen. Overige oorzaken waren persoonsgegevens die toegevoegd werden aan een verkeerd dossier, verloren of gestolen gegevensdragers (zoals usb-sticks) en persoonsgegevens die in het klantportaal aan de verkeerde klant getoond werden.