De kern van de inzichten van underwriters - Cyber
Senior Underwriter Cyber
De bouwsector is belangrijk voor de manier waarop wij kijken naar operationele verstoringen en bedrijfsstilstandsschade. De sector kent een hoge mate van digitalisering binnen projectgedreven omgevingen, waarbij IT systemen, operationele technologie (OT), omgevingen van derden en ketenpartners gelijktijdig en dynamisch verbonden en afhankelijk van elkaar zijn.
Voor de cyberverzekering betekent dit dat cyberrisico’s in de bouw niet los kunnen worden beoordeeld van de operationele afhankelijkheid. Kernonderwerpen daarbij zijn onder meer:
- afhankelijkheid van digitale plannings-, ontwerp- en besturingssystemen;
- de termijn waarop uitval van deze systemen impact heeft op de bouwplaats;
- in hoeverre processen handmatig of op een alternatieve manier kunnen worden voortgezet.
In Nederland spelen deze risico’s zich ook nog eens af binnen een steeds strenger juridisch- en contractueel kader. De invloed van NIS2 vertaalt zich indirect in eisen van opdrachtgevers, hoofdaannemers en (semi-)publieke klanten.
Cyberrisico’s worden daarnaast steeds nadrukkelijker beoordeeld als onderdeel van operationele weerbaarheid. Niet alleen preventie, maar ook het vermogen om operationele verstoringen te doorstaan en gecontroleerd te herstellen, spelen hierin een belangrijke rol. Richtlijnen en verwachtingen van onder meer het NCSC vormen hierin een belangrijk referentiekader.
Cyberincidenten in de bouw leiden vaak maar beperkt tot datalekken, maar veel meer tot uitval van planningssystemen, verlies van toegang tot ontwerpbestanden of ERP systemen en in sommige gevallen tot uitval van gekoppelde OT systemen (bijvoorbeeld toegangscontrole, installaties of gebouwbeheersystemen).
Cyberincidenten ontstaan daarnaast juist vaak uit onderliggende structurele kwetsbaarheden in de basisbeheersing, zoals:
- legacy systemen binnen projecten of dochterentiteiten die niet of beperkt patchbaar zijn;
- onvoldoende scheiding tussen kantoor IT en OT omgevingen;
- afhankelijkheid van IT dienstverleners met ruime toegangsrechten;
- succesvolle social engineeringaanvallen.
Acceptatie richt zich daarom nadrukkelijk op de kwaliteit van deze fundamenten, zoals segmentatie tussen IT en OT, omgang met legacy systemen en trainingen voor het personeel.
De kern van de inzichten van underwriters - Cyber
Senior Underwriter Cyber
De bouwsector is belangrijk voor de manier waarop wij kijken naar operationele verstoringen en bedrijfsstilstandsschade. De sector kent een hoge mate van digitalisering binnen projectgedreven omgevingen, waarbij IT systemen, operationele technologie (OT), omgevingen van derden en ketenpartners gelijktijdig en dynamisch verbonden en afhankelijk van elkaar zijn.
Voor de cyberverzekering betekent dit dat cyberrisico’s in de bouw niet los kunnen worden beoordeeld van de operationele afhankelijkheid. Kernonderwerpen daarbij zijn onder meer:
- afhankelijkheid van digitale plannings-, ontwerp- en besturingssystemen;
- de termijn waarop uitval van deze systemen impact heeft op de bouwplaats;
- in hoeverre processen handmatig of op een alternatieve manier kunnen worden voortgezet.
In Nederland spelen deze risico’s zich ook nog eens af binnen een steeds strenger juridisch- en contractueel kader. De invloed van NIS2 vertaalt zich indirect in eisen van opdrachtgevers, hoofdaannemers en (semi-)publieke klanten.
Cyberrisico’s worden daarnaast steeds nadrukkelijker beoordeeld als onderdeel van operationele weerbaarheid. Niet alleen preventie, maar ook het vermogen om operationele verstoringen te doorstaan en gecontroleerd te herstellen, spelen hierin een belangrijke rol. Richtlijnen en verwachtingen van onder meer het NCSC vormen hierin een belangrijk referentiekader.
Cyberincidenten in de bouw leiden vaak maar beperkt tot datalekken, maar veel meer tot uitval van planningssystemen, verlies van toegang tot ontwerpbestanden of ERP systemen en in sommige gevallen tot uitval van gekoppelde OT systemen (bijvoorbeeld toegangscontrole, installaties of gebouwbeheersystemen).
Cyberincidenten ontstaan daarnaast juist vaak uit onderliggende structurele kwetsbaarheden in de basisbeheersing, zoals:
- legacy systemen binnen projecten of dochterentiteiten die niet of beperkt patchbaar zijn;
- onvoldoende scheiding tussen kantoor IT en OT omgevingen;
- afhankelijkheid van IT dienstverleners met ruime toegangsrechten;
- succesvolle social engineeringaanvallen.
Acceptatie richt zich daarom nadrukkelijk op de kwaliteit van deze fundamenten, zoals segmentatie tussen IT en OT, omgang met legacy systemen en trainingen voor het personeel.
Daarnaast is het in de bouw essentieel om de standaarddekking van cyberverzekering toe te spitsen op een aantal specifieke risico’s, zoals:
Projectgebonden samenwerkingen en joint ventures (JV’s)
Bouwprojecten worden vaak uitgevoerd binnen tijdelijke JV structuren of combinaties, met gedeelde IT omgevingen, projectnetwerken en data. Vanuit verzekeringsperspectief is hierbij belangrijk of en wie deze combinatie verzekerd, voor welk deel van het project. Onduidelijkheid over verzekerde entiteiten, verantwoordelijkheid en verdeling van schade kunnen bij een cyberincident leiden tot discussies of lacunes in de dekking.
Penvoerderschap en centrale IT verantwoordelijkheid
Indien de verzekerde optreedt als penvoerder of leidende partij, ligt de verantwoordelijkheid voor project IT, toegang voor partners en informatiebeveiliging vaak (impliciet) bij één partij. Een cyberverzekering dient hier op aan te sluiten.
Kosten en verliezen tijdens aanbestedings- en tenderfasen
In de bouw worden aanzienlijke kosten gemaakt in aanbestedingen, calculaties en ontwerptrajecten. Cyberincidenten zoals dataverlies, ransomware of sabotage in deze fase kunnen leiden tot verloren tenders of vertraging, terwijl dekking hiervoor niet altijd vanzelfsprekend is.
Uiteindelijk accepteren en verzekeren we binnen de bouwsector niet alleen cyberincidenten, maar cyberrisico en bedrijfsschade in samenhang, waarbij operationele afhankelijkheid, ketenintegratie en herstelvermogen bepalend zijn voor dekking, voorwaarden en prijsstelling.
Daarnaast is het in de bouw essentieel om de standaarddekking van cyberverzekering toe te spitsen op een aantal specifieke risico’s, zoals:
Projectgebonden samenwerkingen en joint ventures (JV’s)
Bouwprojecten worden vaak uitgevoerd binnen tijdelijke JV structuren of combinaties, met gedeelde IT omgevingen, projectnetwerken en data. Vanuit verzekeringsperspectief is hierbij belangrijk of en wie deze combinatie verzekerd, voor welk deel van het project. Onduidelijkheid over verzekerde entiteiten, verantwoordelijkheid en verdeling van schade kunnen bij een cyberincident leiden tot discussies of lacunes in de dekking.
Penvoerderschap en centrale IT verantwoordelijkheid
Indien de verzekerde optreedt als penvoerder of leidende partij, ligt de verantwoordelijkheid voor project IT, toegang voor partners en informatiebeveiliging vaak (impliciet) bij één partij. Een cyberverzekering dient hier op aan te sluiten.
Kosten en verliezen tijdens aanbestedings- en tenderfasen
In de bouw worden aanzienlijke kosten gemaakt in aanbestedingen, calculaties en ontwerptrajecten. Cyberincidenten zoals dataverlies, ransomware of sabotage in deze fase kunnen leiden tot verloren tenders of vertraging, terwijl dekking hiervoor niet altijd vanzelfsprekend is.
Uiteindelijk accepteren en verzekeren we binnen de bouwsector niet alleen cyberincidenten, maar cyberrisico en bedrijfsschade in samenhang, waarbij operationele afhankelijkheid, ketenintegratie en herstelvermogen bepalend zijn voor dekking, voorwaarden en prijsstelling.
Artikel