Laat gehackt bedrijf belasting betalen over losgeld

Met prof. Michael Faure (hoogleraar rechtseconomie)

Nederlandse organisaties die losgeld betalen als hun systemen zijn gehackt, maken van ons land een aantrekkelijke markt voor cybercriminelen. Een belasting op losgeldbetaling is een goede prikkel om als bedrijf je cybersecurity op orde te hebben.

Aanvallen met ransomware (gijzelsoftware) zijn in onze hedendaagse, digitale wereld een gegeven – zie de hack bij de KNVB vorige week. Het ene moment werkt een computersysteem naar behoren, het volgende zijn alle bestanden versleuteld door een groep hackers die een flinke smak losgeld eisen. Gijzelsoftware vormt daarom een grote bedreiging voor organisaties en bedrijven en bedreigt volgens het Nationaal Cyber Security Centrum (NCSC) zelfs onze nationale veiligheid.

Cybercriminelen die gijzelsoftware maken zijn gewoon ondernemers. Malafide ondernemers weliswaar, die investeren in activiteiten waar ze het meeste rendement verwachten. Alleen als cybercriminelen in de praktijk merken dat in Nederland de kans klein is dat losgeld wordt betaald, zullen ze hun pijlen richten op andere landen waar bedrijven eerder geneigd zijn om te betalen.

Voor Nederland als geheel zou het dus beter zijn als er geen losgeld meer wordt betaald. Het is de enige manier om van de huidige gijzelsoftware-'epidemie' af te komen. Maar de NCTV signaleert dat het betalen van losgeld steeds vaker voorkomt. Om die reden zou het beter zijn als de overheid het losgeld fiscaal gaat belasten.

Losgeld

Bedrijven betalen losgeld met het argument dat anders essentiële gegevens verloren gaan waardoor het voortbestaan van de organisatie in gevaar komt. Dat is niet in alle gevallen waar: veel bedrijven hebben hun cybersecurity simpelweg niet op orde.

De keuze om het losgeld wel of niet te betalen is voornamelijk een bedrijfseconomische afweging. Losgeld betalen is vaak goedkoper dan het opschonen of vervangen van de IT-infrastructuur. Als er geen adequate back-ups zijn staat een bedrijf bijvoorbeeld met de rug tegen de muur. Soms zijn deze back-ups maar enkele weken oud, waardoor niet-betalen een goedkopere optie wordt. In het beste geval is losgeld betalen helemaal niet goedkoper: de gemeente Buren betaalde vorig jaar bijvoorbeeld geen losgeld omdat zij goede back-ups had.

Voor bedrijven die niet in cyberweerbaarheid investeren is de fiscale aftrekbaarheid van het losgeld een perverse prikkel. Daarmee blijven deze bedrijven een zwakke schakel in de Nederlandse cyberveiligheid én spekken ze de criminele beurs.

Belasten

Door betaling van losgeld fiscaal te belasten wordt het een stuk duurder én minder aantrekkelijk. Bedrijven worden zo aangemoedigd om meer tijd en geld in cyberveiligheid te stoppen, in plaats van deze investeringen voor zich uit te schuiven.

Ook kan de belasting worden gezien als een straf. Een te rechtvaardigen straf, voor bedrijven die de zaken niet goed op orde hebben. Bezwaarlijk gedrag moet worden ontmoedigd, goed gedrag juist gestimuleerd. Een bedrijf dat niet ingaat op de eisen van de hackers steekt immers een spaak in het wiel van het verdienmodel van cybercriminelen.

Natuurlijk zijn er veel praktische vragen en bezwaren. Er is bijvoorbeeld geen landelijke database die gijzelsoftware-aanvallen bijhoudt. De cijfers zijn daarom incompleet. Toch is een belasting nog altijd een veel betere optie dan een verbod op losgeldbetalingen. Met het afschrikwekkende effect van een belasting voorkomen we namelijk toekomstige aanvallen met gijzelsoftware.

Het artikel is ook te lezen op FD.nl: https://fd.nl/opinie/1473466/laat-gehackt-bedrijf-belasting-betalen-over-losgeld-izd3caX4cgty