Is cyberrisico bij ondernemingen te voorspellen?

Cyberrisico is voor ondernemingen niet alleen een IT-probleem. Het illustreert ook hun operationele en financiële kwetsbaarheid. Een cyberaanval verstoort vaak systemen en processen en brengt gegevens in gevaar. Het weegt uiteindelijk ook op de financiële prestaties. Cyberveiligheid omvat alle maatregelen om ondernemingen daartegen te beschermen.

Maar hoe meet je cyberrisico vóór een aanval plaatsvindt? Onderzoekers ontwikkelden een nieuwe indicator, op basis van 404.940 kwartaalgesprekken met analisten van 14.316 beursgenoteerde ondernemingen in 91 landen. Ze gingen na hoe vaak 247 termen zoals ‘cyberattack’, ‘malware’, ‘data breach’ en ‘data security’ voorkomen. Ze brachten zo de blootstelling aan cyberrisico per onderneming en per kwartaal in kaart.

Hoe meten we het cyberrisico van een onderneming?

De cyberrisico-indicator kijkt niet alleen naar de gemelde incidenten. Uitspraken van het management en vragen van analisten tellen ook mee. Ongeveer de helft van de gemeten blootstelling komt uit de presentaties van het management. De andere helft komt uit de vraag-en-antwoordsessies. Dat maakt de indicator breder en actueler dan een telling van alleen de bekende cyberaanvallen.

De blootstelling aan cyberrisico blijkt sterk te verschillen tussen ondernemingen en sectoren. De gemiddelde blootstelling steeg duidelijk sinds 2013. Ze bereikte een piek tijdens de coronapandemie.

Heeft cyberrisico invloed op de beurskoers?

Onderzoek toont dat ondernemingen met een hogere blootstelling aan cyberrisico gemiddeld lagere aandelenrendementen kennen. Ze vertonen ook meer beursvolatiliteit.

Het risico is ook op de optiemarkt zichtbaar. De bescherming tegen koersdalingen en andere risico’s is duurder bij ondernemingen met een hogere cyberblootstelling. De onderzoekers vonden daarnaast een verband met lagere winstgevendheid, minder cashflow en zwakkere kwaliteitsratings. De omvang van het effect op de optiemarkt is vergelijkbaar met die van politiek risico. Cyberrisico is daarmee niet alleen een technisch of operationeel probleem. Het is ook een risico dat de financiële markten mee inprijzen.

Kan cyberrisico een hele sector treffen?

De onderzoeksresultaten wijzen in die richting. Een hogere blootstelling op sectorniveau hangt samen met lagere aandelenrendementen, meer volatiliteit, duurdere bescherming tegen neerwaarts risico en een lager rendement op activa. Er zijn ook aanwijzingen voor spill-overs of overloopeffecten. Ondernemingen uit hetzelfde land en uit dezelfde sector, die zelf weinig directe cyberblootstelling hebben, worden zo mee getroffen.
De nieuwe indicator bevat zelfs informatie waarmee toekomstige cyberaanvallen beter kunnen worden ingeschat en voorspeld. Cyberveiligheid wordt daardoor voor beursgenoteerde ondernemingen ook een kwestie van economische en financiële weerbaarheid.