Een koeling vol slappe pizza's en bedorven vissticks: wie draait op voor die kosten? Cyberverzekeringen dekken vaak geen fysieke schade en ook de schuldvraag moet worden uitgeplozen. Het komt er volgens experts waarschijnlijk op neer dat supermarkten de pijn zelf dragen.
De telefoon stond maandag roodgloeiend bij cyberverzekering Baobab Risk Solutions. Er kwamen volgens general manager Tim van Lier zo'n dertig aanvragen binnen van nieuwe klanten, vooral van supermarkten en koelvriesbedrijven.
Onbekende hackers hadden in de nacht van zondag op maandag koelinstallaties op afstand in de ontdooistand gezet. Winkels in meerdere Europese landen werden getroffen. In Nederland gaat het om minstens zeventien bedrijven, vooral slagerijen en buurtwinkels. Volgens Vlaamse media werd hetzelfde mechanisme gebruikt als bij de aanval op honderden Franse winkels begin oktober.
Een totaalbedrag aan schade is er nog niet. Wel zijn er losse schattingen. De eigenaar van supermarkt Delhaize in Hoeilaart schat zijn schade volgens vaksite AGF.nl op minstens 100.000 euro, exclusief de omzet die hij is misgelopen doordat de winkel tot 12.00 uur dicht bleef.
Bij een Delhaize in Hoepertingen ging voor ongeveer 60.000 euro aan voedsel de stortkoker in. En een slager in Hove zag volgens Reuters voor zo'n 15.000 euro aan vlees langzaam onverkoopbaar worden.
Van Lier kreeg een schaderapport van een Nederlandse ondernemer onder ogen van 80.000 euro. Die bedragen zijn niet zomaar op te tellen: het gaat om schattingen en om verschillende soorten schade.
Een cyberverzekering vergoedt doorgaans alleen herstel van de IT en de kosten van incidentbestrijding, maar geen bedorven boterhamworst. Bederf van voorraad en andere fysieke schade vallen er in de regel buiten, terwijl die er steeds vaker bij elkaar horen.
"Denk aan een transportbedrijf dat wordt gehackt, waardoor de bezorger op pad gaat met een gemanipuleerde vrachtbrief", legt verzekeringsexpert Van Lier uit. "De ladingen worden naar verkeerde adressen gestuurd en daar verduisterd. Bij een lading appels is die schade te overzien, maar bij twee Porsches niet."
Baobab is een nieuwkomer in de verzekeringswereld en springt in op de fysieke schade bij cyberaanvallen. "In het begin hoorden we vaak de opmerking dat we heel rare, onmogelijke dekkingen bedachten: bederf, contaminatie en beschadiging door cyberaanvallen. Het zijn James Bond-scenario's, maar je ziet dat ze nu waarheid worden."
In Frankrijk zijn gesprekken over aansprakelijkheid inmiddels gaande. Intermarché liet weten dat de verzekering de schade van de aanval in oktober niet dekt. Topman Thierry Cotillard van moederbedrijf Les Mousquetaires zei dat de kosten landelijk kunnen oplopen tot tientallen miljoenen euro's en dat de supermarkten een juridische strijd beginnen over wie verantwoordelijk is.
Peter Kager is als jurist bij ICT Recht gespecialiseerd in cybersecurity, productaansprakelijkheid en IT-contracten. Hij vindt de schuldvraag een lastige. Ten eerste zijn die hackers schuldig. "Is het daarnaast ook een beetje je eigen schuld, dan gaat een verzekeraar echt niet uitkeren. Maar dat is altijd een spannende vraag in de verzekeringswereld. Had een supermarkt het kunnen voorkomen?"
Supermarktmanagers moeten zich volgens Kager gaan afvragen: wat doen we als dit ons overkomt? En waar hebben we hulp bij nodig? "Want het kan iedere supermarkt gebeuren."
Net zoals je jaarlijks een ontruimingsoefening houdt en de bedrijfshulpverlening oefent, zou je volgens Kager ook moeten oefenen met een digitale crisis. Cyberaanvallen moeten dus omhooggeschoven worden op het prioriteitenlijstje.
Ook ons Nationaal Cyber Security Centrum loopt achter de feiten aan, zegt Van Lier. "Nu komen ze met een waarschuwing voor supermarkten, maar dat hadden ze na de hack in Frankrijk toch meteen moeten doen?"
Er is inmiddels meer bekend over de beveiliging van de koelsystemen. De koelinstallaties waren via internet bereikbaar en sommige systemen waren onvoldoende beveiligd, waardoor hackers de normale bediening van de koeling konden misbruiken.
Koelingsfabrikant Danfoss zei over de Franse aanval dat veel getroffen apparaten verouderd waren en geen updates meer kregen. Dat zie je bij veel operationele techniek, zegt Van Lier. Daarbij gaat het om systemen die fysieke apparaten en processen aansturen. Koelingen, pompen, sluizen, liften en machines: het zijn miljoeneninvesteringen van decennia geleden die nu verouderd en kwetsbaar zijn.
"Bestuurders die dit meemaken zitten dicht tegen een trauma aan als zoiets gebeurt", zegt Van Lier over de enorme kosten. De hack heeft het belang van cyberveiligheid benadrukt. "Dat je emailadres is gejat vinden we vaak niet zo interessant. Lege schappen, weggegooid voedsel en schaarste wél."
Source: Nu.nl economisch