Wat verzekeraars voor je cyberverzekering eisen: zo vul je het formulier eerlijk in

Staat de verlenging van je cyberverzekering eraan te komen, dan valt het je waarschijnlijk op: het formulier is langer dan de vorige keer. Wat verzekeraars voor je cyberverzekering eisen, wordt elk jaar preciezer uitgevraagd. En specifieker. Waar vorig jaar één vinkje stond over back-ups, staan er nu drie vervolgvragen. Waar MFA een ja-of-nee was, wordt nu per systeem uitgevraagd.

Elke toevoeging aan de eisen is terug te voeren op schade die verzekeraars hebben uitgekeerd. Ze vragen niet naar techniek omdat het leuk is, maar omdat een ontbrekende maatregel in eerdere claims het verschil maakte tussen een vervelend incident en een miljoenenschade.

Dit artikel gaat over de eisen achter dat formulier en over hoe je het invult. Waarom het langer werd, wat elke sectie eigenlijk wil weten, hoe je eerlijk antwoordt zonder jezelf mooier voor te doen, en wat je in de dertig dagen vóór indienen nog kunt rechtzetten. Want de duurste fout op zo’n formulier is niet een nee. Het is een ja die na een schade niet blijkt te kloppen.

Waarom het formulier langer werd

Drie soorten incidenten hebben de huidige generatie vragenlijsten gevormd.

Kwetsbaarheden bij een leverancier. Toen in 2023 een lek in een veelgebruikt bestandsuitwisselingsproduct werd misbruikt, raakten in één klap duizenden organisaties getroffen — niet omdat zij iets fout deden, maar omdat hun leverancier dat product gebruikte. Verzekeraars keerden uit over de hele keten en vragen sindsdien door over de software van derden die bij jouw gegevens kan. Zie ook je softwareketen beveiligen.

Ransomware die de bedrijfsvoering stillegt. Grote incidenten waarbij een hele sector wekenlang plat lag, hadden vaak één gemeenschappelijke oorzaak: een toegangspunt zonder tweede stap. Dat heeft de MFA-vragen en de back-upvragen scherper gemaakt.

Fraude met deepfakes. Het bekendste geval is een ingenieursbureau waar een financieel medewerker na een videovergadering met wat leek op de CFO en collega’s een reeks overboekingen deed. Alle gesprekspartners waren nagemaakt. Sindsdien staat verificatie via een tweede kanaal op elke checklist. Achtergrond: deepfakes herkennen en factuurfraude voorkomen in je betaalproces.

Werk je in e-commerce, in de zorg, in de financiële of juridische dienstverlening, of beheer je geld van anderen? Dan krijg je de langste versie van het formulier. Dat zijn de categorieën waar verzekeraars het meest hebben uitgekeerd.

De back-upvraag is verscherpt

Wat ooit één vinkje was, is nu een samengestelde vraag: zijn de back-ups onveranderbaar of losgekoppeld, wanneer is er voor het laatst een herstel getest, en kunnen ze verwijderd worden met je domeinbeheerdersrechten?

“Wij hebben Microsoft 365-bewaarbeleid” is hierop geen geldig antwoord meer, en een back-up die met dezelfde beheerdersaccount te wissen is als de rest van je omgeving ook niet. Het sterkste antwoord verwijst naar object lock of WORM-opslag, een onveranderbare periode van minstens veertien dagen (dertig heeft de voorkeur), aparte inloggegevens en een recente, geslaagde hersteltest. Wat dat precies inhoudt, staat uitgebreid in onveranderbare back-ups uitgelegd.

MFA wordt per systeem uitgevraagd

Vroeger: heeft u MFA? Nu: is MFA afgedwongen op e-mail, VPN, extern bureaublad, alle beheerdersaccounts en bevoorrechte serviceaccounts? Voor een schoon antwoord moet het vijf keer ja zijn.

Codes via sms worden inmiddels als zwakkere maatregel gezien, omdat een simkaart over te nemen is. Verschillende verzekeraars vragen expliciet of je een authenticator, hardwaresleutel of push met getalherkenning gebruikt. Zit je voor beheeraccounts nog op sms, reken dan op een vervolgvraag. Lees waarom in sms-codes zijn niet meer genoeg en welke MFA het veiligst is.

Nieuw voor veel ondernemers is de vraag over beheer van bevoorrechte accounts. Daarmee wordt bedoeld: bewaar je beheerderswachtwoorden apart van de gewone wachtwoordkluis, worden ze na gebruik vernieuwd, en wordt vastgelegd wie wanneer inlogde? Een gedeeld beheeraccount dat nooit wijzigt en geen spoor achterlaat, is de opstelling waar verzekeraars het meest op inzoomen. Een tussenstap die veel MKB-bedrijven wel kunnen zetten: lokale beheerrechten intrekken en beheer scheiden van dagelijks werk.

Verificatie van betalingen

Na de deepfakefraude en een reeks gevallen van gehackte mailboxen staat er nu bijna altijd een vraag over verificatie via een tweede kanaal: belt degene die een betaling vrijgeeft de ontvanger terug op een nummer dat al bekend was — dus niet het nummer uit de mail?

Verwacht een formulering als: vereist uw organisatie verificatie via een eerder geverifieerd telefoonnummer voor alle betalingsopdrachten boven een bepaald bedrag, ook als het verzoek van de directie lijkt te komen?

Het sterkste antwoord verwijst naar een vastgelegde afspraak: een drempelbedrag, terugbellen op een bekend nummer, vier-ogenprincipe en jaarlijkse training waarin ook nagemaakte stemmen en video’s aan bod komen. “Dat doen we in de praktijk wel” is zwakker en levert vervolgvragen op. Betalingen die alleen per mail worden goedgekeurd, zijn de opstelling die verzekeraars het liefst helemaal uitsluiten. Zie ook het appje van de directeur.

“Wij hebben een virusscanner” volstaat niet meer

Een klassieke virusscanner vergelijkt bestanden met een lijst bekende bedreigingen. EDR (endpoint detection and response) kijkt naar gedrag op het apparaat en slaat aan als een proces bestanden begint te versleutelen of rechten probeert op te rekken. MDR is hetzelfde, plus een team dat de meldingen ook daadwerkelijk bekijkt en ingrijpt als er zondagnacht iets afgaat.

Het formulier vraagt of je EDR hebt, of het op 100% van je apparaten en servers staat (servers worden vaak vergeten) en of iemand er 24/7 naar kijkt. Heb je dat laatste niet maar staat het op de planning, zeg dat dan met een datum erbij. Een acceptant kan werken met “MDR staat gepland voor het derde kwartaal, leverancier gekozen”. Met een vaag voornemen kan hij niets. Achtergrond: endpointbeveiliging en waarom continue monitoring nodig is.

De vragen over je leveranciers

Ketenrisico was ooit één regel. Nu is het een sectie: noem je vijf belangrijkste softwareleveranciers met toegang tot gevoelige gegevens, en geef aan of ze een onafhankelijke auditverklaring hebben (SOC 2 Type II, ISO 27001 of gelijkwaardig).

Je hoeft niet elke leverancier door te lichten. De verzekeraar wil zien dat je wéét wie je leveranciers zijn, welke gegevens ze hebben en dat je de basisvraag hebt gesteld. “We hebben onze vijf belangrijkste leveranciers in kaart, van drie hebben we een verklaring ontvangen, twee staan open” leest beter dan een stellig antwoord dat het bij navraag niet houdt. Deze uitvraag sluit trouwens naadloos aan op wat er vanuit NIS2 op veel bedrijven afkomt.

De fout die je niet wilt maken

Een aanvraag of verlenging van een cyberverzekering is een verklaring. Je bent verplicht om naar waarheid en volledig te antwoorden op wat de verzekeraar vraagt. Blijkt na een schade uit onderzoek dat je omgeving niet overeenkwam met wat je hebt opgegeven, dan kan de verzekeraar de uitkering weigeren of de overeenkomst aantasten — en hoe streng dat uitpakt, hangt af van je polis en van de vraag of dat punt voor het risico relevant was.

Wij zijn geen juristen, dus leg de voorwaarden van je cyberverzekering bij twijfel voor aan je makelaar of adviseur. Maar de praktische conclusie is niet ingewikkeld: een nee met een verbeterdatum kost je premie of voorwaarden, en dat is een bekend bedrag. Een ja die niet standhoudt, kan je op het slechtste moment je hele dekking kosten.

Acceptanten waarderen een eerlijk gat met een plan trouwens meer dan een gepolijst antwoord. “MFA staat op alles behalve twee serviceaccounts; die zijn in september aangepast” is bruikbare informatie. Een blind ja is dat niet.

Een praktijkscenario

Een administratiekantoor met 24 medewerkers kreeg het nieuwe formulier en liep vast op drie punten: de back-upvraag, de vraag over beheeraccounts en de vraag over terugbelverificatie.

Ze hebben niets verzonnen. In vier weken zetten ze de onveranderbaarheid aan op hun bestaande back-upplatform, haalden ze de beheerderswachtwoorden uit de gedeelde kluis en legden ze in één A4 vast dat betalingen boven de 5.000 euro telefonisch worden geverifieerd op een nummer uit de eigen administratie. Twee serviceaccounts zonder MFA hebben ze op het formulier gemeld, met de datum waarop dat opgelost zou zijn.

De premie ging licht omhoog. De dekking bleef intact, en er stond niets in het dossier dat bij een schade tegen ze gebruikt kan worden.

Zo pak je het aan: dertig dagen vóór indienen

Week 1. Controleer MFA op e-mail, VPN, extern bureaublad, alle beheerdersaccounts en serviceaccounts. Haal beheeraccounts van sms af.

Week 1 en 2. Controleer of je back-ups onveranderbaar zijn. Doe een testherstel en leg het resultaat vast met datum.

Week 2. Schrijf je betaalregels op één A4: drempelbedrag, terugbellen op een bekend nummer, vier ogen. Laat het tekenen door iedereen die betalingen vrijgeeft.

Week 2 en 3. Controleer of EDR echt op alle werkplekken én servers staat. Heb je alleen een virusscanner, vraag dan nu offertes op zodat je een datum kunt noemen.

Week 3. Zet je vijf belangrijkste leveranciers op een rij en vraag hun auditverklaring op. Noteer wie reageerde.

Week 3 en 4. Werk je incidentplan bij en doe een tafeloefening van een uur met je team. Bewaar de notulen: dat is je bewijs van “getest in de afgelopen twaalf maanden”. Zie de valkuilen bij het afhandelen van een datalek.

Week 4. Vul het formulier in. Markeer wat je niet hebt gered, met een concrete verbeterdatum.

Veelgestelde vragen

Wat gebeurt er als ik iets verkeerd invul?

Bij een schade doet de verzekeraar onderzoek en vergelijkt de werkelijkheid met je opgave. Wijken die af op een punt dat voor de beoordeling van het risico uitmaakte, dan kan dat de uitkering kosten. Laat je polis en je antwoorden bij twijfel nakijken door je adviseur.

Word ik geweigerd als ik niet overal MFA heb?

Meestal niet meteen. Waarschijnlijker zijn een hogere premie, een lagere sublimiet voor ransomware, of een uitsluiting voor incidenten die te herleiden zijn tot het onbeschermde toegangspunt. De vaakst voorkomende gaten zitten in beheerders- en serviceaccounts.

Wat is het verschil tussen EDR en MDR op het formulier?

EDR is de techniek die gedrag op apparaten in de gaten houdt. MDR is dezelfde techniek plus mensen die de meldingen bekijken en ingrijpen. Steeds meer verzekeraars vragen er apart naar, omdat software die alarm slaat zonder dat iemand kijkt weinig oplevert.

Moet ik dit formulier zelf invullen of kan mijn IT-partner dat?

De verklaring blijft van jou, dus jij tekent. Wel is het verstandig om de technische vragen letterlijk door te sturen naar je IT-partner en om bewijs te vragen bij elk ja: een schermafbeelding, een export of een rapport. Dat is precies wat een schadeonderzoeker later ook wil zien.

Welke eisen stellen verzekeraars het vaakst aan een cyberverzekering?

De maatregelen die verzekeraars uitvragen komen in de praktijk steeds op dezelfde punten neer: MFA op e-mail, VPN, extern bureaublad en alle beheerdersaccounts, back-ups die onveranderbaar zijn en waarvan een herstel is getest, EDR op alle werkplekken én servers, verificatie van betalingen via een tweede kanaal, en zicht op je belangrijkste softwareleveranciers. Daar komt een incidentplan bij dat actueel is en in de afgelopen twaalf maanden is getest. Welke eisen precies voor jouw bedrijf gelden, verschilt per verzekeraar en per sector — dat staat in je eigen polis en op het formulier dat je krijgt. Kun je aan een punt nog niet voldoen, meld dat dan met een verbeterdatum in plaats van er een ja van te maken.

Loop je vast op het technische deel van je verlengingsformulier? We lopen de eisen van je cyberverzekering punt voor punt met je door, leveren bewijs bij wat al goed staat en zetten een realistische planning voor wat nog ontbreekt. Bel 030-7115791 of mail info@okayict.nl.