Cyberverzekering

Een cyberverzekering dekt de schade van een digitaal incident: het herstel, de onderbreking van uw bedrijf, en de aansprakelijkheid richting anderen. Het is een aanvulling op uw maatregelen, geen vervanging ervan, en dat onderscheid bepaalt of hij uitkeert.

Wat doorgaans gedekt is

• Herstelkosten: onderzoek, forensisch specialisten, opnieuw opbouwen van systemen
• Bedrijfsschade: gemiste omzet tijdens de uitval, meestal na een eigen risico in uren
• Aansprakelijkheid: claims van klanten van wie gegevens zijn gelekt
• Boetes voor zover verzekerbaar; AVG-boetes zijn dat in Nederland maar beperkt
• Crisiscommunicatie en juridische bijstand
• Losgeld bij gijzelsoftware, bij sommige polissen en onder voorwaarden

Wat er standaard buiten valt

• Schade door bekende kwetsbaarheden die u niet heeft verholpen
• Incidenten die al liepen voordat de polis inging
• Uitval bij een leverancier, tenzij expliciet meeverzekerd
• Reputatieschade en verlies van toekomstige omzet
• De kosten van beveiligingsverbeteringen die u toch al had moeten doen

Dat eerste punt is het belangrijkste en de meest voorkomende reden voor afwijzing. Wist u van een lek en heeft u niets gedaan, dan is dat geen onvoorziene gebeurtenis meer.

Wat verzekeraars van u eisen

De acceptatievragenlijst is de afgelopen jaren aanzienlijk strenger geworden. Terugkerende eisen:

• meervoudige authenticatie op alles wat van buiten bereikbaar is, en zeker op beheeraccounts
• back-ups die losstaan van de productieomgeving en aantoonbaar getest zijn
• een afgesproken termijn waarbinnen kritieke updates worden doorgevoerd
• een incidentresponsplan dat bestaat en beproefd is
• bewustwording en training van medewerkers

Dit is vrijwel dezelfde lijst als de zorgplicht uit NIS2. Wie zijn NIS2-dossier op orde heeft, kan de vragenlijst grotendeels invullen met wat er al ligt, en betaalt vaak minder premie.

Let op de vragenlijst zelf

De antwoorden op de acceptatievragenlijst worden onderdeel van de polis. Vult u in dat u meervoudige authenticatie overal heeft aanstaan terwijl dat voor de beheeraccounts niet zo is, dan heeft u bij een claim een probleem dat groter is dan het incident.

Vul de lijst daarom in met iemand die weet hoe het er technisch werkelijk voor staat, en leg vast waarop u de antwoorden baseert.

Verhouding tot de Cyberbeveiligingswet

Een verzekering neemt uw wettelijke verplichtingen niet over. U blijft zelf verantwoordelijk voor registratie, zorgplicht en de melding binnen 24 uur, en een polis verandert daar niets aan. Boetes van een toezichthouder zijn bovendien maar beperkt verzekerbaar.

Wat de verzekering wel doet: de financiële klap opvangen en u direct toegang geven tot specialisten op het moment dat u die nodig heeft. Dat laatste is bij een incident vaak meer waard dan de uitkering zelf.

Wat het kost

De premie hangt af van uw omzet, sector en het beveiligingsniveau dat u aantoont. Voor een mkb-organisatie met een verzekerd bedrag van een half miljoen tot een miljoen ligt de premie doorgaans tussen de 1.500 en 6.000 euro per jaar. Wie zijn maatregelen goed kan aantonen betaalt aan de onderkant van die reeks.

Wat klaarligt vóór er iets gebeurt

Een claim indienen tijdens een incident gaat sneller als u niet op dat moment nog moet uitzoeken waar de polis staat. Bewaar de polis, het telefoonnummer van de schademeldlijn en de naam van uw contactpersoon buiten uw eigen systemen, bijvoorbeeld op papier of in een los account. Bij gijzelsoftware is precies dat digitale archief vaak het eerste dat onbereikbaar is, op het moment dat u het nodig heeft.

Houd daarnaast een actuele lijst bij van wat verzekerd moet zijn: uw omzet, het aantal medewerkers, en een globaal overzicht van welke systemen en gegevens u heeft. Die gegevens vraagt de verzekeraar sowieso op bij een claim, en ze klaar hebben liggen scheelt dagen in de afhandeling.

De claim stap voor stap

1. Meld het incident direct bij uw verzekeraar, ook als u nog niet alle feiten heeft.
2. Laat de verzekeraar de eerste specialisten aanwijzen voor zover de polis dat regelt; zelf iemand inschakelen buiten die afspraak om kan de dekking beperken.
3. Houd een logboek bij van elke stap, elke beslissing en elke kostenpost vanaf het begin.
4. Verzamel bewijs van uw maatregelen op het moment van het incident, zoals uw MFA-overzicht en back-uplogs.
5. Volg de meldtermijnen uit de polis, meestal 24 tot 48 uur, naast uw wettelijke meldplichten.

Verschil per organisatiegrootte

Een kleine onderneming sluit vaak een standaardpolis af via een tussenpersoon, met een beperkte vragenlijst. Een grotere organisatie krijgt te maken met een uitgebreidere acceptatievragenlijst en soms een technische beoordeling vooraf. Hoe groter het verzekerd bedrag, hoe grondiger de verzekeraar wil weten wat er al staat, en dat is meteen de reden waarom een op orde zijnd NIS2-dossier het hele traject verkort.

Wat er in de praktijk misgaat

• De polis alleen digitaal bewaren. Onbereikbaar precies op het moment dat u hem nodig heeft.
• Zelf al specialisten inschakelen voordat de verzekeraar akkoord is, waardoor die kosten buiten de dekking kunnen vallen.
• Geen logboek bijhouden tijdens het incident, waardoor de onderbouwing van de schade achteraf lastig rond te krijgen is.
• Denken dat de verzekering de zorgplicht vervangt. Een polis vangt de financiële klap op, maar uw wettelijke verplichtingen en uw incidentresponsplan blijven gewoon van u.

Wat het kost aan tijd om de vragenlijst in te vullen

Voor een organisatie die haar maatregelen al heeft vastgelegd binnen de zorgplicht, is de acceptatievragenlijst een kwestie van een paar uur overtypen van wat er al ligt. Zonder die vastlegging kost het uitzoeken van de antwoorden al snel dagen, en bestaat het risico dat er onbedoeld iets te rooskleurig wordt ingevuld.

Veelgestelde vragen

Is een cyberverzekering verplicht?

Nee. Wel eisen steeds meer opdrachtgevers hem in contracten, vergelijkbaar met een aansprakelijkheidsverzekering.

Keert de verzekering uit bij gijzelsoftware?

Herstelkosten en bedrijfsschade doorgaans wel. Of losgeld gedekt is verschilt per polis en is aan voorwaarden gebonden.

Helpt ISO 27001 bij de premie?

Vaak wel. Een certificaat maakt het beoordelen makkelijker en leidt regelmatig tot betere voorwaarden.

Wat moet ik doen bij een incident?

Meld het direct bij uw verzekeraar, meestal binnen 24 tot 48 uur. Te laat melden is een reguliere reden voor afwijzing, net als bij de wettelijke meldplicht.

Wat moet ik klaarleggen voor een snelle claim?

De polis en contactgegevens buiten uw eigen systemen, plus een actueel overzicht van uw omzet, medewerkers en systemen.

Moet ik de polis buiten mijn systemen bewaren?

Ja. Bij gijzelsoftware is uw digitale omgeving vaak juist het deel dat niet toegankelijk is wanneer u de polis nodig heeft.

Verandert de premie als ik mijn NIS2-maatregelen aantoon?

Vaak wel. Aantoonbare maatregelen maken de beoordeling voor de verzekeraar makkelijker en leiden regelmatig tot betere voorwaarden.

Kan ik zonder tussenpersoon een polis afsluiten?

Dat kan bij sommige verzekeraars, maar bij een eerste polis helpt een tussenpersoon vaak om de juiste dekking voor uw situatie te vinden.