Een cyber liability-verzekering dekt een deel van de financiële schade na een cyberaanval, maar lang niet alles. De verzekering vergoedt doorgaans directe kosten zoals herstelwerkzaamheden, juridische bijstand en crisismanagement. Wat er precies gedekt wordt, hangt sterk af van de polisvoorwaarden en de staat van jouw ICT-beveiliging op het moment van de aanval.
Voor MKB-ondernemers is dit een relevant vraagstuk. Cybercriminelen richten zich steeds vaker op kleinere organisaties, en een verzekering lijkt dan een logische stap. Maar een polis zonder een solide beveiligingsfundament biedt minder bescherming dan je verwacht. Dit artikel beantwoordt de meest gestelde vragen over cyberverzekeringen en wat ze in de praktijk opleveren.
Wat valt er typisch wel en niet onder een cyberverzekering?
Een cyberverzekering dekt doorgaans de directe kosten die voortvloeien uit een digitaal incident: forensisch onderzoek om de oorzaak te achterhalen, herstel van systemen en data, juridische kosten, crisismanagement en communicatie naar getroffen partijen. Sommige polissen vergoeden ook bedrijfsonderbreking en losgeld bij ransomware-aanvallen.
Wat er niet onder valt, is minstens zo belangrijk om te weten. Standaarduitsluitingen zijn:
- Schade door bekende kwetsbaarheden die je niet tijdig hebt gepatcht
- Aanvallen via onbeveiligde systemen of verouderde software
- Schade door eigen nalatigheid, zoals het ontbreken van basisbeveiliging
- Indirecte gevolgschade, zoals verlies van klanten of omzet op de lange termijn
- Schade aan systemen van derden, tenzij expliciet meeverzekerd
De polisvoorwaarden verschillen sterk per verzekeraar. Lees de kleine lettertjes goed door en let specifiek op uitsluitingsclausules rondom nalatigheid en onvoldoende beveiligingsmaatregelen. Veel polissen bevatten een basisvereistenlijst waaraan je organisatie moet voldoen om überhaupt aanspraak te kunnen maken op dekking.
Hoe werkt de schadeafhandeling na een cyberaanval?
Na een cyberaanval meld je het incident zo snel mogelijk bij je verzekeraar, bij voorkeur binnen 24 tot 72 uur. De verzekeraar schakelt vervolgens een crisismanagementteam in, dat bestaat uit forensische experts, juristen en soms een communicatieadviseur. Zij nemen de regie over de eerste respons en documenteren de schade.
Het proces verloopt globaal in deze stappen:
- Melding: Je informeert de verzekeraar direct na ontdekking van het incident.
- Forensisch onderzoek: Experts brengen in kaart hoe de aanval heeft plaatsgevonden en welke systemen zijn geraakt.
- Schadevaststelling: De verzekeraar beoordeelt welke kosten onder de polis vallen en stelt de vergoeding vast.
- Herstel: Systemen worden hersteld en data worden waar mogelijk teruggeplaatst.
- Afhandeling: De verzekeraar vergoedt de gedekte kosten, minus het eigen risico.
Een belangrijk aandachtspunt is dat je tijdens het incident geen eigen herstelacties mag uitvoeren zonder afstemming met de verzekeraar. Doe je dat toch, dan kan de verzekeraar de dekking weigeren omdat bewijsmateriaal verloren is gegaan of de schadeomvang niet meer te valideren is.
Welke voorwaarden stellen verzekeraars aan ICT-beveiliging?
Verzekeraars stellen steeds strengere eisen aan de ICT-beveiliging van organisaties voordat zij een cyberpolis afsluiten of uitkeren. De minimale basisvereisten die vrijwel elke verzekeraar hanteert zijn: actuele antivirussoftware, een actief patchbeleid, multifactorauthenticatie (MFA) op kritieke systemen en een recente, geteste back-up.
Aanvullende eisen die steeds vaker voorkomen zijn:
- Aantoonbaar security awareness-beleid voor medewerkers
- Gesegmenteerde netwerken om verspreiding van aanvallen te beperken
- Gedocumenteerde incidentresponsplannen
- Regelmatige penetratietesten of kwetsbaarheidsscans
- Naleving van relevante wet- en regelgeving, zoals de AVG en in sommige sectoren de NIS2-richtlijn
Voldoe je op het moment van de aanval niet aan de gestelde voorwaarden, dan kan de verzekeraar de uitkering weigeren of sterk verlagen. Verzekeraars controleren dit actief tijdens de schadeafhandeling. Het loont daarom om je beveiligingsstatus te documenteren en periodiek te toetsen, zodat je bij een claim kunt aantonen dat je aan de vereisten voldeed.
Dekt een cyberverzekering ook reputatieschade en boetes?
Reputatieschade wordt door de meeste cyberverzekeringen niet of nauwelijks gedekt. Verzekeraars vergoeden doorgaans wel de kosten van crisiscommunicatie en PR-advies direct na een incident, maar het langetermijnverlies aan klanten, omzet of merkwaarde valt buiten de dekking. Dat is een belangrijk onderscheid.
Voor boetes geldt een genuanceerder beeld. Boetes opgelegd door de Autoriteit Persoonsgegevens (AP) wegens een datalek vallen in de meeste gevallen niet onder de dekking, omdat Nederlandse en Europese regelgeving het verzekeren van bestuurlijke boetes in veel gevallen verbiedt of sterk beperkt. Sommige polissen vergoeden wel de juridische kosten om een boete te betwisten, maar de boete zelf niet.
Wat sommige polissen wel dekken rondom reputatie en aansprakelijkheid:
- Kosten voor notificatie van getroffen klanten of betrokkenen
- Juridische verdediging bij claims van derden
- Schadevergoeding aan derden wier persoonsgegevens zijn gelekt
- PR-kosten voor crisiscommunicatie in de acute fase
Controleer expliciet in jouw polis of en in hoeverre aansprakelijkheid jegens derden is meeverzekerd. Dit is voor MKB-bedrijven die klantdata verwerken een relevant onderdeel van de dekking.
Is een cyberverzekering voldoende bescherming voor het MKB?
Een cyberverzekering is geen vervanging voor goede ICT-beveiliging, maar een aanvulling erop. Voor het MKB geldt dat een verzekering financiële schade na een incident gedeeltelijk opvangt, maar de aanval zelf niet voorkomt, de operationele schade niet volledig dekt en reputatieverlies niet herstelt. Bescherming begint bij preventie.
Veel MKB-bedrijven onderschatten hoe groot de impact van een cyberincident is. Denk aan dagen of weken stilstand, verlies van klantvertrouwen en de kosten van herstel die de verzekering niet volledig vergoedt. Een polis zonder onderliggende beveiligingsmaatregelen is bovendien kwetsbaar: verzekeraars kunnen uitkering weigeren als blijkt dat basisbeveiliging ontbrak.
Een realistisch beschermingsniveau voor het MKB bestaat uit drie lagen:
- Preventie: Firewalls, MFA, patchbeheer, back-ups en awareness-training voor medewerkers.
- Detectie en respons: Actieve monitoring van systemen zodat aanvallen vroeg worden opgespoord en gestopt.
- Financiële buffer: Een cyberverzekering als vangnet voor resterende schade na een incident.
Alleen de combinatie van deze drie lagen geeft je als MKB-ondernemer een realistisch beschermingsniveau.
Hoe wij helpen met cybersecurity voor het MKB
Bij IC-Automatisering helpen we MKB-organisaties om de beveiligingslaag te bouwen die verzekeraars vereisen en die aanvallen daadwerkelijk stopt. Ons cybersecuritypakket is opgebouwd rond vier pijlers: beleid en organisatie, medewerkers en gedrag, techniek en continu inzicht.
Concreet bieden we:
- Security 0-meting: een assessment door onze partner ThreadStone dat de huidige staat van jouw beveiliging in kaart brengt en directe verbeterpunten oplevert
- Awareness-trainingen via KnowBe4: inclusief realistische phishingsimulaties, gecertificeerd via het CCV Awareness Keurmerk
- Managed Detection & Response (MDR): 24/7 bewaking van alle endpoints, zodat verdachte activiteiten direct worden gedetecteerd en gestopt
- Penetratietesten: uitgevoerd door CCV-gecertificeerde specialisten die kwetsbaarheden identificeren voordat aanvallers dat doen
- Informatiebeveiligingsbeleid: afgestemd op ISO 27001, NEN7510 en de NIS2-richtlijn, zodat je ook aan de eisen van verzekeraars en toezichthouders voldoet
Wil je weten hoe sterk jouw beveiliging er nu voor staat en of je voldoet aan de voorwaarden die verzekeraars stellen? Neem contact met ons op voor een vrijblijvend gesprek of vraag direct een Security 0-meting aan.
Related Articles
- Hoe voorkom je dat een cyberaanval jouw bedrijfsreputatie permanent beschadigt?
- Wat is netwerksegmentatie en hoe beschermt het jouw bedrijf bij een aanval?
- Hoe beheer je de beveiliging van tientallen zakelijke apparaten tegelijk?
- Hoe werkt een ransomware-aanval stap voor stap?
- Hoe herken je verdacht verkeer in jouw bedrijfsnetwerk?