Het Verbond van Verzekeraars stelt nieuwe vragen over de invloed van kunstmatige intelligentie op cyberweerbaarheid. In Nederland schuurt de inzet van AI tussen betere verdediging en zwaardere digitale risico’s. De discussie speelt nu, terwijl NIS2 en de Europese AI-verordening ingaan. Verzekeraars willen duidelijkheid voor preventie, dekking en aansprakelijkheid.
AI vergroot én dempt risico’s
Generatieve systemen zoals GPT-4o, Gemini 1.5 en Llama 3 kunnen worden misbruikt voor overtuigende phishing, deepfakes en het testen van zwakke plekken. Daarmee stijgt de snelheid en schaal van digitale aanvallen. Spraakklonen en synthetische video maken fraude eenvoudiger, ook bij Nederlandse organisaties en hun klanten.
Tegelijk helpen AI-tools bij de verdediging. Microsoft Copilot for Security en Google Chronicle AI analyseren grote hoeveelheden logdata en geven analisten sneller context. Dit verkort de tijd tot detectie en herstel, mits de basisbeveiliging op orde is.
Het resultaat is een wapenwedloop. Aanvallers automatiseren social engineering en verkenning, terwijl defenders hun detectie en respons versnellen. Kleine en middelgrote bedrijven lopen extra risico als zij geen duidelijke drempels zetten, zoals multifactor-authenticatie en netwerksegmentatie.
Verzekeren wordt moeilijker meetbaar
AI vergroot de kans op gelijktijdige incidenten bij veel klanten, bijvoorbeeld door misbruik van hetzelfde lek of dezelfde clouddienst. Dat maakt het inschatten van schade en accumulatierisico lastiger. De spanning tussen brede dekking en betaalbare premies neemt daardoor toe.
Verzekeraars scherpen hun eisen aan om de kans op schade te verkleinen. Denk aan verplichte MFA, actuele patches, offline back-ups en een getest herstelplan. Zonder deze basismaatregelen wordt een polis duurder of zelfs niet beschikbaar.
Moderne premiemodellen vragen om actuele incidentdata en gestandaardiseerde metingen van cyberhygiëne. Scenario’s met AI-gedreven aanvallen worden onderdeel van stresstests. Herverzekeraars letten daarbij op ketenafhankelijkheden, zoals gedeelde cloudplatformen en toeleveranciers.
AI-verordening: gevolgen voor overheid
NIS2 verplicht “essentiële” en “belangrijke” organisaties tot strengere beveiliging, ketenbeheer en snelle melding van incidenten. Dit raakt ook Nederlandse overheden, vitale sectoren en hun leveranciers. Boetes en toezicht nemen toe, net als eisen aan training en governance.
NIS2 verlangt een vroege waarschuwing binnen 24 uur en een incidentmelding binnen 72 uur, gevolgd door een eindrapport met oorzaken en maatregelen.
De Europese AI-verordening (AI Act) gaat gefaseerd gelden vanaf 2025 en 2026. Aanbieders van algemeen toepasbare AI, zoals OpenAI, Google en Meta, moeten technische documentatie en risico-informatie delen. Organisaties die AI inzetten, moeten beoordelen of hun toepassing hoog risico is en zorgen voor menselijk toezicht en duidelijke procedures.
Voor de overheid betekent dit: inkoop met AI-eisen, DPIA’s onder de AVG en aantoonbare logging en monitoring. Transparantie over datagebruik en herkomst van modellen wordt een vast onderdeel van audits en aanbestedingen.
Data delen met waarborgen
Voor betere risicomodellen is sectorbrede data-uitwisseling nodig, bijvoorbeeld over aanvalsmethoden en herstelduur. Veel organisaties aarzelen echter door reputatierisico en juridische onzekerheid. Toch kan tijdige, veilige deling van dreigingsinformatie schade beperken.
De AVG stelt grenzen, maar laat ruimte met dataminimalisatie, pseudonimisering en versleuteling. Duidelijke doelen en bewaartermijnen zijn verplicht. Met privacy by design kunnen ook incidentdetails bruikbaar worden gemaakt zonder herleidbare persoonsgegevens te delen.
In Nederland ondersteunen het Nationaal Cyber Security Centrum en het Digital Trust Center uitwisseling via sectorale ISAC’s. Europees werken ENISA en het CSIRTs-netwerk aan gedeelde standaarden. Dit helpt verzekeraars en bedrijven om trends sneller te zien en maatregelen beter te richten.
Basismaatregelen blijven doorslaggevend
AI-tools leveren pas waarde als de fundering staat. Denk aan MFA op alle kritieke systemen, tijdig patchen en goede netwerksegmentatie. Offline, versleutelde back-ups en regelmatige hersteltests beperken de impact van ransomware.
Continue monitoring en endpoint-beveiliging met AI verkleinen detectietijd. Oplossingen zoals Microsoft Defender XDR of CrowdStrike Falcon helpen patronen te herkennen die mensen missen. Zorg wel voor duidelijke escalatiepaden en 24/7-alarmen.
Training van medewerkers blijft essentieel, juist nu phishing en deepfakes realistischer worden. Oefen met realistische scenario’s en spreek een communicatieplan af voor als het misgaat. Dit versnelt herstel en vergroot de kans op dekking onder de polis.
Aansprakelijkheid vraagt heldere afspraken
Wie draagt de schade als een AI-tool fout advies geeft of een deepfake tot fraude leidt? Zonder heldere contracten ontstaan snel discussies tussen leverancier, afnemer en verzekeraar. Organisaties hebben daarom behoefte aan auditbare logs, uitlegbare beslissingen en duidelijke rollen.
De herziene Europese Productaansprakelijkheidsrichtlijn breidt aansprakelijkheid uit naar software en AI. Op het moment van schrijven werken lidstaten aan omzetting en detailregels voor bewijs en toegang tot technische informatie. Dit moet slachtoffers en verzekeraars helpen om oorzaken beter te achterhalen.
Leg in contracten servicelevels, updateplicht, beveiligingsnormen en SBOM’s vast, en vraag om onafhankelijke toetsen. Normen als ISO/IEC 27001 voor informatiebeveiliging en ISO/IEC 42001 voor AI-management geven houvast. Zo wordt het spanningsveld tussen innovatie en zekerheid kleiner.
Voor bedrijven en overheden is de kern dezelfde: bewijsbare preventie, duidelijke documentatie en snelle respons. Dat maakt verzekerbaarheid beter en verkleint de kans op langdurige uitval. AI kan dan veilig helpen om incidenten te voorkomen en sneller te herstellen.