Cyberrisico's ontbreken in veel jaarverslagen

Dat blijkt uit onderzoek van KPMG onder 800 beursgenoteerde bedrijven wereldwijd.

60 procent van alle ondervraagde bedrijven meldt totaal niets in hun jaarverslagen over de mogelijke cyberrisico’s die zij lopen. Slechts een kwart van de bedrijven heeft minimaal één paragraaf opgenomen in het jaarverslag waarin maatregelen worden beschreven die zij nemen om zich te beschermen tegen cyberaanvallen. Wereldwijd ziet ook maar 20 procent van de beursgenoteerde bedrijven ICT-beveiliging als een verantwoordelijkheid van het bestuur.

Nederland uitblinker

Er zijn wel grote geografische verschillen. Vooral Europese bedrijven zijn transparant over de cyberrisico’s die zij lopen. Nederland blinkt op veel vlakken uit. Zo beschrijft 90 procent van de Nederlandse beursgenoteerde organisaties de risico’s die zijn op het gebied van cybercrime lopen wèl in hun jaarverlagen en heeft 80 procent de verantwoordelijkheid voor ICT-beveiliging bij het bestuur belegd. Volgens Ben Krutzen, partner bij KPMG Cyber, is dat voor een groot deel te danken aan “de aandacht die de Nederlandse overheid nu al een aantal jaren besteedt aan cyberveiligheid.”

Wel ziet hij de aandacht wat verslappen. “De verslaggeving over cyber stokt en nog altijd geeft één op de tien bedrijven geen inzicht in de risico’s. En we zien dat cyberveiligheid nog altijd een uitdagend onderwerp is voor veel bestuurders. Zij zien cyber veelal als een verantwoordelijkheid van de IT-afdeling en zijn in het algemeen niet in staat om de juiste kritische vragen te stellen. Het valt op dat met name de klassieke preventieve maatregelen, zoals het vergroten van het bewustzijn voor de risico’s, veel aandacht krijgen in de jaarverslagen. Dat staat in schril contrast met de bewegingen in de markt. Daar zien we dat detectieve maatregelen de boventoon voeren.”

Uit het onderzoek blijkt ook dat er een duidelijk verband is tussen omzet en de aandacht voor cyberbeveiliging. Vooral de bestuurders van kleine bedrijven met een omzet van zo’n 20 miljoen euro en de zeer grote bedrijven met een omzet van rond de 200 miljard euro meer dan gemiddeld aandacht besteden aan ICT-beveiliging.