Cyberverzekering

Een cyberverzekering dekt de schade van een digitaal incident: het herstel, de onderbreking van uw bedrijf, en de aansprakelijkheid richting anderen. Het is een aanvulling op uw maatregelen, geen vervanging ervan, en dat onderscheid bepaalt of hij uitkeert.

Wat doorgaans gedekt is

• Herstelkosten: onderzoek, forensisch specialisten, opnieuw opbouwen van systemen
• Bedrijfsschade: gemiste omzet tijdens de uitval, meestal na een eigen risico in uren
• Aansprakelijkheid: claims van klanten van wie gegevens zijn gelekt
• Boetes voor zover verzekerbaar; AVG-boetes zijn dat in Nederland maar beperkt
• Crisiscommunicatie en juridische bijstand
• Losgeld bij gijzelsoftware, bij sommige polissen en onder voorwaarden

Wat er standaard buiten valt

• Schade door bekende kwetsbaarheden die u niet heeft verholpen
• Incidenten die al liepen voordat de polis inging
• Uitval bij een leverancier, tenzij expliciet meeverzekerd
• Reputatieschade en verlies van toekomstige omzet
• De kosten van beveiligingsverbeteringen die u toch al had moeten doen

Dat eerste punt is het belangrijkste en de meest voorkomende reden voor afwijzing. Wist u van een lek en heeft u niets gedaan, dan is dat geen onvoorziene gebeurtenis meer.

Wat verzekeraars van u eisen

De acceptatievragenlijst is de afgelopen jaren aanzienlijk strenger geworden. Terugkerende eisen:

• meervoudige authenticatie op alles wat van buiten bereikbaar is, en zeker op beheeraccounts
• back-ups die losstaan van de productieomgeving en aantoonbaar getest zijn
• een afgesproken termijn waarbinnen kritieke updates worden doorgevoerd
• een incidentresponsplan dat bestaat en beproefd is
• bewustwording en training van medewerkers

Dit is vrijwel dezelfde lijst als de zorgplicht uit NIS2. Wie zijn NIS2-dossier op orde heeft, kan de vragenlijst grotendeels invullen met wat er al ligt, en betaalt vaak minder premie.

Let op de vragenlijst zelf

De antwoorden op de acceptatievragenlijst worden onderdeel van de polis. Vult u in dat u meervoudige authenticatie overal heeft aanstaan terwijl dat voor de beheeraccounts niet zo is, dan heeft u bij een claim een probleem dat groter is dan het incident.

Vul de lijst daarom in met iemand die weet hoe het er technisch werkelijk voor staat, en leg vast waarop u de antwoorden baseert.

Verhouding tot de Cyberbeveiligingswet

Een verzekering neemt uw wettelijke verplichtingen niet over. U blijft zelf verantwoordelijk voor registratie, zorgplicht en de melding binnen 24 uur, en een polis verandert daar niets aan. Boetes van een toezichthouder zijn bovendien maar beperkt verzekerbaar.

Wat de verzekering wel doet: de financiële klap opvangen en u direct toegang geven tot specialisten op het moment dat u die nodig heeft. Dat laatste is bij een incident vaak meer waard dan de uitkering zelf.

Wat het kost

De premie hangt af van uw omzet, sector en het beveiligingsniveau dat u aantoont. Voor een mkb-organisatie met een verzekerd bedrag van een half miljoen tot een miljoen ligt de premie doorgaans tussen de 1.500 en 6.000 euro per jaar. Wie zijn maatregelen goed kan aantonen betaalt aan de onderkant van die reeks.

Veelgestelde vragen

Is een cyberverzekering verplicht?

Nee. Wel eisen steeds meer opdrachtgevers hem in contracten, vergelijkbaar met een aansprakelijkheidsverzekering.

Keert de verzekering uit bij gijzelsoftware?

Herstelkosten en bedrijfsschade doorgaans wel. Of losgeld gedekt is verschilt per polis en is aan voorwaarden gebonden.

Helpt ISO 27001 bij de premie?

Vaak wel. Een certificaat maakt het beoordelen makkelijker en leidt regelmatig tot betere voorwaarden.

Wat moet ik doen bij een incident?

Meld het direct bij uw verzekeraar, meestal binnen 24 tot 48 uur. Te laat melden is een reguliere reden voor afwijzing, net als bij de wettelijke meldplicht.