Persbericht : Cyber nadert een kantelpunt nu AI het risico vergroot

De Europese cyberverzekeringsprijzen blijven dalen ondanks aanhoudende schadegevallen, toenemende digitale afhankelijkheden en groeiende regelgevings- en AI-gerelateerde risico's, schrijft Oliver Delvos, hoofd cyber en tech E&O voor Europa bij LSM.

Oorspronkelijk gepubliceerd door Global Reinsurance en gereproduceerd met vriendelijke toestemming van de redacteur.

Op een moment dat cyberrisico's toenemen door AI-gestuurde bedreigingen, uitbreidende digitale afhankelijkheden en evoluerende regelgevingskaders, verzacht de markt. De tarieven blijven dalen, de concurrentie blijft hevig en de dekking wordt steeds breder. Dit gebrek aan samenhang tussen risico en prijsstelling wijst op een sector die een kritiek kantelpunt nadert.

Het afgelopen jaar heeft de Europese cyberverzekeringsmarkt een aanhoudende verzachting gekend. Overvloedige capaciteit, gecombineerd met het feit dat cyber als een veelbelovende groeikans wordt gezien, heeft geleid tot dalende premies en bredere voorwaarden. Toch hoeft dit niet noodzakelijk te worden gezien als een weerspiegeling van verbeterde risicogrondlagen. Integendeel, de schadeactiviteit blijft evolueren in zowel frequentie als ernst.

Deze dynamiek staat in contrast met de opkomende trendwijziging op de Amerikaanse markt, waar de prijsstelling zich heeft gestabiliseerd en in sommige gevallen zelfs weer positief is gaan bewegen, en waar de acceptatiediscipline grotendeels gehandhaafd is gebleven. De divergentie creëert een inconsistent wereldbeeld dat uiteindelijk tot volatiliteit kan leiden.

Naarmate de capaciteit niet langer in lijn is met het onderliggende risico, nadert de markt waarschijnlijk een prijsbodem. De geschiedenis leert dat wat hierop kan volgen een mogelijke marktcorrectie is, hoewel het nog maar de vraag is of die de ernst van de verstrakking van 2020 zal evenaren.

Aan deze onzekerheid draagt ook het vooruitzicht bij van consolidatie onder verzekeraars en toegenomen investeringen in verzekeringsbetechnologie. Naarmate de marges krimpen, zullen alleen die verzekeraars die schaalgrootte weten te combineren met geavanceerde risicobeoordelingsmogelijkheden, concurrerend blijven.

Artificiële intelligentie (AI) introduceert geen volledig nieuwe cyberdreigingen; het versterkt en versnelt bestaande dreigingen veeleer. Wat echter nieuw is, is de geleidelijke verschuiving van automatisering naar autonomie. Bedreigende actoren maken nu gebruik van AI om de snelheid, omvang en efficiëntie van aanvallen drastisch te verhogen, inclusief het opsporen van kwetsbaarheden en het automatiseren van delen van het exploitatieproces.

Door AI aangedreven tools testen toegangspunten en voeren steeds vaker exploits uit met minimale menselijke tussenkomst, waarbij meerdere lage-ernstige problemen worden samengevoegd tot één onderling verbonden, exploiteerbaar aanvalspad. Deze ontwikkeling verlaagt de kosten van aanvallen en de drempel voor cybercriminaliteit, waardoor minder geavanceerde actoren met ongekende effectiviteit kunnen opereren.

De implicaties zijn verstrekkend. Schadescenario's die vroeger voorbehouden waren aan grote ondernemingen, worden snel basislijnrisico's voor middelgrote bedrijven en kmo's naarmate deze tools toegankelijker worden. Naarmate AI-tools democratischer worden, breidt het aanvalsoppervlak zich uit — niet alleen in omvang, maar ook in toegankelijkheid.

Het profiel van cyberverliezen verschuift ook. Traditionele cyberincidenten zoals systeemstoringen of datalekken worden steeds vaker aangevuld, of zelfs vervangen, door verliezen zoals identiteitscompromittering van geldige gebruikersaccounts, wat leidt tot systeemtoegang en gegevensexfiltratie, fraude en bestuursfalen.

Tegelijkertijd hervatten en moderniseren aanvallers oudere tactieken. Situaties waarbij gecompromitteerde inloggegevens worden gebruikt om grootschalige rekenworkloads op de infrastructuur van slachtoffers uit te voeren, duiken opnieuw op in nieuwe vormen. Deze aanvallen kunnen aanzienlijke financiële verliezen genereren door gestegen energie- en IT-kosten, wat eerdere exploitatiegolven weerspiegelt.

We zien ook steeds geavanceerdere aanvalsmethoden, waaronder door AI aangestuurde imitatie, gemanipuleerde documentatie en aanvallen gericht op multifactorauthenticatie via herstelingsmechanismen, wat traditionele beveiligingscontroles verder onder druk zet. Dit laatste legt meer nadruk op goed functionerende controles zonder lacunes in hun implementatie. Daarnaast zullen patchingcycli verder moeten worden verkort om de patchingkloof tot een absoluut minimum te beperken.

Parallel hieraan neemt de regelgeving toe, met name in Europa, waar nieuwe regelgevingskaders naar voren komen als een cruciale en vaak onderschatte drijfveer voor investeringen in IT-weerbaarheid en beveiliging van de toeleveringsketen.

Een golf van wetgevende ontwikkelingen, waaronder de EU AI Act, de Cyber Resilience Act, de Richtlijn Netwerk- en Informatiebeveiliging 2 (NIS2), de Digital Operational Resilience Act (DORA) en updates van de Productaansprakelijkheidsrichtlijn, hervormt het governance- en aansprakelijkheidslandschap.

Tegelijkertijd zal de AVG opnieuw relevanter worden nu door AI aangestuurde tools het gemakkelijker maken om claims op grond van de wet te identificeren, na te streven en in toenemende mate te automatiseren. Nu rechtbanken een groeiende hoeveelheid jurisprudentie opbouwen die schade duidelijker kwantificeert, zullen aansprakelijkheidsrisico's op zowel cyber- als technologielijnen voor fouten en nalatigheden waarschijnlijk toenemen, met grotere gevolgen voor nalevingsfouten en verdedigingskosten.

Zoals reeds verplicht gesteld door DORA voor financiële instellingen, strekt de kwestie van weerbaarheid zich nu volledig uit tot externe IT-leveranciers en managed servicebedrijven, aangezien zij een kritiek storingspunt vormen. Dit toeleveringsketenrisico breidt zich nu uit naar fysieke leveranciers en operationele afhankelijkheden. Een cybergebeurtenis die één knooppunt in de toeleveringsketen treft, kan zich uitbreiden over meerdere organisaties en wijdverspreide verstoring veroorzaken in zowel digitale als fysieke omgevingen.

De dekking heeft zich hieraan aangepast, maar met een grotere reikwijdte komt grotere complexiteit. Verzekeraars moeten verder gaan dan individuele risicobeoordeling en een meer diepgaand portfolioniveau-overzicht van afhankelijkheden en systemische blootstellingen hanteren, rekening houdend met verschillende toeleveringsketenscenario's.

Zoals hierboven opgemerkt met betrekking tot de toeleveringsketen, is een van de belangrijkste ontwikkelingen van de afgelopen jaren de opkomst van cyberphysiek risico. Cyberincidenten zijn steeds vaker in staat tastbare schade te veroorzaken, van vernietiging van eigendommen tot operationele stilleggingen, inclusief verstoring van geïntegreerde productieomgevingen en robotica.

Dit is met name zichtbaar in omgevingen waar operationele technologie is geïntegreerd met IT-systemen. Bedrijfsonderbrekingsverliezen gekoppeld aan cybergebeurtenissen worden steeds vaker en vaak ernstiger.

Het onderschrijven van cyberphysiek risico brengt echter unieke uitdagingen met zich mee. Er zijn beperkte historische gegevens, waarderingsmethodologieën variëren per verzekeringstak, en traditionele grenzen tussen cyber-, eigendoms- en mogelijk energiepolissen vervagen. De implicatie is duidelijk: cyberrisico kan niet langer geïsoleerd worden onderschreven. Het moet worden begrepen als onderdeel van een breder risicoecosysteem. Verzekeraars hebben continue monitoring, real-time zichtbaarheid en geavanceerde analyses nodig om risico's effectief te begrijpen en te beheren.

Risicoselectie is van het grootste belang. Sommige toonaangevende verzekeraars investeren zwaar in eigen tools, door AI aangestuurde kwetsbaarheidsscanning en geïntegreerde cyberrisicoengineering-capaciteiten om de besluitvorming te verbeteren. Het vermogen om gegevens, technologie en expertise te combineren zal in de komende jaren de excellentie in het onderschrijven bepalen.

Een van de complexere en nog steeds evoluerende vragen waarmee de sector wordt geconfronteerd, heeft betrekking op de impact van kunstmatige intelligentie op verzekeringsportefeuilles. Net zoals de sector een decennium geleden worstelde met "silent cyber", begint de aandacht zich te richten op hoe AI-gerelateerde risico's het risicolandschap in andere takken vormgeven.

AI-gerelateerde aansprakelijkheden kunnen zich al ophopen over meerdere verzekeringstakken, vaak zonder expliciete erkenning of prijsstelling, wat bredere vragen oproept over hoe deze risico's worden geïdentificeerd en beheerd.

Hoewel dit een gebied van voortdurende overweging blijft in plaats van een volledig gedefinieerde marktpositie, benadrukt het de behoefte aan voortdurende duidelijkheid over hoe opkomende technologieën intersecteren met gevestigde verzekeringsdekking.

Naarmate de markt een potentieel kantelpunt nadert, zullen discipline en fundamenten steeds belangrijker worden. Verzekerden moeten prioriteit geven aan basiscyberhygiëne en robuust identiteits- en toegangsbeheer, naast patching, monitoring van randapparaten en effectief wijzigingsbeheer.

Voor verzekeraars zal de toekomst niet worden bepaald door hoeveel capaciteit wordt ingezet, maar door hoe intelligent risico wordt begrepen, geprijsd en toegewezen. Dit omvat het anticiperen op opkomende dreigingen, het navigeren door regelgevingscomplexiteit en het investeren in de tools en talenten die nodig zijn om voorop te blijven.

De Europese cyberverzekeringsmarkt gaat een periode van verhoogde onzekerheid in. Maar binnen die onzekerheid ligt kansen voor degenen die bereid zijn zich aan te passen. In een wereld gevormd door AI, onderling verbonden systemen en evoluerende aansprakelijkheden, zal succes afhangen van helderheid, wendbaarheid en, bovenal, een diepgaand begrip van risico in al zijn vormen.