Wensdenken. Data is geld waard linksom of rechtsom.

Makkelijk te omzeilen: een ransomware verzekering bij een buitenlandse partij die vervolgens wel mag betalen.

Hoezo trouwens verbieden te betalen en ook nog een meldplicht als je wil betalen? Verplicht jezelf aangeven?

Voor de publieke sector wordt het verboden, voor de rest van de bedrijven een meldplicht.

De boete even hoog maken als het losgeld bedrag.

Dan het boete bedrag wel gebruiken om cyber crime tegen te gaan.

En als ze zelf een keer flink geraakt worden dan gaan ze wel betalen zeker want het is toch belasting geld.

Serieus? De Britse overheid wil het betalen van losgeld bij ransomware-aanvallen gaan verbieden. Op papier klinkt dat misschien logisch: “We pakken het businessmodel van criminelen aan, en dan houden ze wel op.” Maar in de praktijk? Dat is een heel ander verhaal. Het is verbazingwekkend hoe simpel er soms gedacht wordt over een probleem dat zo complex is.

Want laten we eerlijk zijn: als een ziekenhuis volledig plat ligt en patiënten niet geholpen kunnen worden, ga je als organisatie écht niet wachten tot je via een formele procedure toestemming hebt om iets te doen. In een crisissituatie draait alles om snelheid en overleven, niet om bureaucratische regels of adviesgesprekken met het National Crime Agency. Hoe denkt de overheid dit in hemelsnaam te handhaven? Gaan ze een boete opleggen aan een ziekenhuis dat levens probeert te redden?

En dan het argument dat criminelen zullen afhaken omdat “het businessmodel niet meer werkt.” Echt? Alsof ransomwaregroepen netjes de BBC lezen en denken: “Oh, ze hebben een verbod ingevoerd, laten we iets anders proberen.” In werkelijkheid zullen criminelen gewoon naar nog creatievere methoden grijpen, of simpelweg nog harder toeslaan in landen waar wél betaald wordt. Het probleem verschuift alleen maar, het verdwijnt niet.

Bovendien: wie bepaalt of een organisatie wel of niet mág betalen? En hoe effectief is dit als er geen realistische alternatieven zijn? Offline back-ups en herstelplannen klinken fantastisch, maar hoeveel organisaties hebben dat écht op orde? Als je als overheid al jaren ziet dat bedrijven worstelen met basale cyberhygiëne, waarom zou dit dan ineens anders zijn?

Het idee van een meldplicht en beter inzicht voor opsporingsdiensten is prima – daar valt wat voor te zeggen. Maar een totaalverbod op betalingen voelt meer als symboolpolitiek dan als een werkbare oplossing. Het is makkelijk scoren in de media, maar in de praktijk kan dit levens, banen en complete organisaties in gevaar brengen. Misschien moet de overheid zich eerst richten op het afdwingen van basismaatregelen, in plaats van slachtoffers in een hoek te drijven waar ze nog minder opties hebben.