Cyberincident: kosten die je kunt verwachten en hoe je ze begrijpt

Wat bedoelen we met cyberincidentkosten?

Cyberincidentkosten zijn de uitgaven (en soms ook de aantoonbare derving of extra inspanning) die samenhangen met het ontstaan, de afhandeling en de gevolgen van een cyberincident. In de praktijk gaat het zelden om één vaste kostenpost; het is meestal een optelsom van verschillende kostensoorten.

Belangrijk om onderscheid te maken tussen:

• Kosten voor directe incidentafhandeling: bijvoorbeeld onderzoek, analyse, herstel van systemen en het beperken van schade.
• Kosten door bedrijfsverstoring: bijvoorbeeld uitval, vertragingen, herwerk en tijdelijke maatregelen om dienstverlening te continueren.
• Kosten voor communicatie en compliance: activiteiten rondom melding, documentatie, betrokkenheid van adviseurs en het op orde brengen van gegevens.

Omdat geen incident hetzelfde verloopt, is de uiteindelijke hoogte sterk afhankelijk van de context. Zonder details kun je dus alleen spreken over aannames en plausibele kostencomponenten, niet over exacte bedragen.

Hoe ontstaan cyberincidentkosten: werking in stappen

Een bruikbaar denkmodel is om de incidentafhandeling te zien als een keten van activiteiten. Kosten ontstaan doorgaans in een (deels) overlappende volgorde:

1. Detectie en triage: tijd en inzet om te bepalen of er sprake is van een incident, hoe urgent het is en welke systemen geraakt zijn.
2. Onderzoek en begrenzing: analyse om de oorzaak en omvang te begrijpen en maatregelen om verdere verspreiding te stoppen.
3. Herstel en hardening: terugzetten of vernieuwen van getroffen onderdelen, plus het verbeteren van beveiligingsmaatregelen om herhaling te beperken.
4. Operationele herstart: het weer op gang brengen van processen en het opvangen van tijdelijke beperkingen.
5. Nazorg: documenteren, evalueren, leren en waar nodig aanpassen van procedures, inrichting en toegang.

Bij elk van deze stappen horen verschillende soorten inspanningen (mensuren, externe specialisten, tooling, IT-werkzaamheden). Ook loopt de tijd door: naarmate het langer duurt voordat je kunt herstellen, nemen verstoringskosten vaak toe.

Kostensoorten en variabele factoren (wat verandert de rekening?)

Bij het inschatten of herkennen van cyberincidentkosten is het vooral nuttig om te letten op variabelen. Dit bepaalt welke kostenposten waarschijnlijker zijn en hoe groot die kunnen uitvallen.

1) Incidenttype en omvang

• Een incident dat zich snel beperkt tot één systeem kan andere kosten geven dan een incident met wijdverspreide impact.
• Meer systemen, meer gebruikers en meer datastromen vergroten doorgaans het onderzoeks- en herstelwerk.

2) Gegevens en afhankelijkheden

• Als kritieke data of processen geraakt zijn, kunnen de hersteltijd en herwerkposten hoger uitvallen.
• Externe afhankelijkheden (ketenpartners, cloudcomponenten, leveranciersprocessen) kunnen extra coördinatievragen opleveren.

3) Tijd tot containen en tijd tot herstel

• Hoe sneller je begrenst, hoe kleiner de kans dat schade doorwerkt.
• Hoe sneller je weer operationeel bent, hoe kleiner de verstoring.

4) Beschikbaarheid van documentatie en voorbereiding

• Incidentresponse is efficiënter wanneer rollen, toegang, back-ups, logging en procedures vooraf zijn ingericht.
• In de praktijk leidt beperkte voorbereiding vaak tot extra inzet voor “zoeken” en “uitvinden”, wat kosten kan verhogen.

5) Aannames en bewijsvoering Voor elke kostenpost heb je meestal aannames nodig (bijvoorbeeld over welke activiteiten zijn uitgevoerd, welke periode relevant is en welke systemen geraakt zijn). Daarom is het voor een onafhankelijke inschatting belangrijk om de onderbouwing te kunnen koppelen aan feiten: logregels, ticketing, urenregistratie, rapportages en herstelwerkzaamheden.

Controlepunten: zo maak je kostenposten inzichtelijk zonder aannames te verzwijgen

Je kunt kosten redelijk systematisch in kaart brengen met controlepunten die geen “gokken” vereisen:

1. Maak een kostenschema per fase Koppel kosten aan een fase van detectie t/m nazorg. Zo voorkom je dat een post dubbel telt of juist ontbreekt.

2. Werk met tijdvakken en activiteiten Leg vast welke periode je als relevant aanmerkt en welke activiteiten daarin zijn uitgevoerd. Noteer hierbij ook waar je nog onzekerheid hebt.

3. Splits intern werk en externe inzet Onderbouw intern gemaakte uren apart van kosten voor externe specialisten of derden. Daarmee wordt het makkelijker om later te verifiëren wat precies is gedaan.

4. Bewijs de “reden” van de uitgave Niet elke uitgave is automatisch incident-gerelateerd. Leg vast waarom de activiteit noodzakelijk was voor onderzoek, herstel of het beperken van verdere schade.

5. Behandel onzekerheid expliciet Als je een inschatting maakt op basis van voorlopige informatie, vermeld dan welke aannames voorlopig zijn en wat je nodig hebt om ze te bevestigen.

Als je wilt, kun je ook gerichte verdieping zoeken naar verwante onderwerpen zoals cyberincident: eigen risico en kosten in bredere zin. Dat helpt om onderscheid te maken tussen kosten die uit de verstoring voortkomen en kosten die voortkomen uit verzekerings- of contractuele mechanismen.

Wanneer kosten lastig vast te stellen zijn (belangrijke uitzondering)

Er zijn situaties waarin cyberincidentkosten moeilijk exact te kwantificeren zijn, zelfs wanneer je activiteiten goed documenteert. Veelvoorkomende oorzaken:

• Verschuivende impact: de omvang van het incident wordt pas later duidelijk.
• Werk dat doorloopt: herstel loopt door terwijl de operatie al gedeeltelijk draait, waardoor kosten zich mengen met reguliere werkzaamheden.
• Beperkte causaliteit: niet elke extra uitgave is aantoonbaar direct gevolg van het incident.

In zulke gevallen is het essentieel om de afbakening strak te houden: wat is incident-gerelateerd, gedurende welke periode, en op welke gronden. Zonder die afbakening krijg je al snel discussies over “welke kosten horen erbij”.