Cyberverzekering dekking: wat zit er wel en niet in je polis?

Steeds meer MKB-bedrijven hebben een cyberverzekering. Dat is verstandig: de rekening van een incident bestaat uit veel meer dan alleen een nieuwe server. Maar de polis is ook de plek waar verwachtingen en werkelijkheid het vaakst uit elkaar lopen. Ondernemers denken gedekt te zijn en ontdekken pas bij de claim dat een cruciaal onderdeel is uitgesloten. De dekking van een cyberverzekering is namelijk smaller — en specifieker — dan de meeste bedrijven aannemen.

Een cyberverzekering is geen vervanging van beveiliging. Het is een vangnet voor wat er ondanks je maatregelen misgaat — en dat vangnet heeft mazen die vooraf precies zijn beschreven. Wie ze kent, kan ze dichten of er rekening mee houden.

In dit artikel lopen we door wat een cyberpolis meestal wél dekt, wat er vaak niet in zit, en welke vragen je stelt vóór je tekent. We schreven eerder over hoe de cybermarkt zich ontwikkelt en welke eisen verzekeraars stellen; hier gaat het over de inhoud van de dekking zelf.

Dekking: wat een cyberverzekering meestal wél dekt

De meeste polissen bestaan uit twee blokken: schade aan jezelf (eerste partij) en aansprakelijkheid richting anderen (derde partij). Wat er onder valt, verschilt per verzekeraar, maar dit zijn de gebruikelijke onderdelen.

Incidentkosten en onderzoek

De eerste uren na een incident zijn duur. Forensisch onderzoek om te bepalen wat er precies is gebeurd, welke systemen zijn geraakt en of gegevens zijn weggesluisd, kost al snel een fors bedrag. Ook juridische bijstand bij de meldplicht en de communicatie naar betrokkenen valt hier meestal onder. Zie ook onze vijf valkuilen bij het afhandelen van een datalek.

Bedrijfsstilstand

Ligt de boel plat, dan loopt de omzet terug terwijl de kosten doorlopen. Bedrijfsschadedekking compenseert dat verlies, meestal na een eigen risico in uren of dagen. Let goed op die wachttijd: bij een wachttijd van 24 uur krijg je bij een storing van twintig uur niets, terwijl de schade wel reëel is. De verborgen kosten van IT-uitval lopen sneller op dan de meeste ondernemers denken.

Herstel van data en systemen

De kosten om systemen opnieuw op te bouwen en gegevens terug te zetten. Belangrijk: dit is herstel, geen vervanging van je back-upstrategie. Heb je geen werkende back-up, dan wordt herstel duurder en soms onmogelijk — en dat merk je terug in de afwikkeling.

Afpersing en losgeld

Veel polissen dekken de begeleiding bij een afpersing: een onderhandelaar, een incidentresponsteam en soms het losgeld zelf. Of losgeld daadwerkelijk wordt vergoed verschilt sterk, en betalen blijft afgeraden. Lees waarom in ransomware: zo beperk je de schade.

Aansprakelijkheid richting klanten en partners

Als gegevens van klanten via jouw systemen op straat belanden, kun je aansprakelijk worden gesteld. Deze dekking betaalt verweer, schikkingen en eventuele schadevergoedingen aan derden.

Reputatieherstel en communicatie

Ondersteuning bij crisiscommunicatie: wat vertel je klanten, wanneer, en via welk kanaal. Nuttig, maar begrensd — zie verderop.

Wat er vaak níét in zit

Hier zitten de verrassingen. Deze uitsluitingen komen in de Nederlandse markt regelmatig voor.

Slecht onderhoud en achterstallige beveiliging

De belangrijkste. Vrijwel elke verzekeraar stelt eisen aan je basisbeveiliging: multifactorauthenticatie op e-mail en externe toegang, tijdig patchen, werkende en geteste back-ups, en enige vorm van monitoring. Voldoe je daar niet aan, dan kan een claim worden afgewezen of gekort.

Dit is geen theoretisch risico. Op het aanvraagformulier verklaar je dat die maatregelen er zijn. Klopt dat niet, dan heb je een probleem op het slechtste moment. Is MFA nog niet overal actief, lees dan ons stappenplan om MFA uit te rollen.

Incidenten die al liepen

Een aanvaller die al drie maanden in je netwerk zat voordat de polis inging, valt buiten de dekking. Hetzelfde geldt voor een kwetsbaarheid waarvan je wist en die je liet liggen. Dat maakt een nulmeting vóór het afsluiten verstandig.

Oorlog en statelijke actoren

Sinds grote aanvallen als NotPetya hanteren vrijwel alle verzekeraars een oorlogsuitsluiting. Wordt een aanval toegeschreven aan een staat, dan kan de dekking vervallen. De formuleringen verschillen sterk en de bewijslast ligt meestal bij de verzekeraar, maar het is een clausule om te lezen — zeker nu de grens tussen criminele en statelijke groepen vervaagt.

Boetes van de toezichthouder

Een veelgemaakte aanname is dat een AVG-boete van de Autoriteit Persoonsgegevens gewoon wordt vergoed. In Nederland zijn bestuursrechtelijke boetes met een punitief karakter in beginsel niet verzekerbaar. Wat wél gedekt kan zijn, is de juridische bijstand tijdens een onderzoek. Vraag hier expliciet naar en neem geen genoegen met een algemene formulering.

Kwaad opzet van binnenuit

Schade veroorzaakt door je eigen medewerkers is standaard vaak uitgesloten, tenzij je een aanvullende dekking afsluit. Terwijl dreigingen van binnenuit juist veel schade kunnen aanrichten.

Fraude via social engineering

Wordt een medewerker overtuigd om zelf geld over te maken naar een vals rekeningnummer, dan is dat vaak géén onderdeel van de standaarddekking. Er is meestal een aparte module voor. Gezien hoe vaak factuurfraude voorkomt, is dat een van de eerste uitbreidingen om naar te vragen.

Reputatieschade op de lange termijn

Crisiscommunicatie is gedekt, weglopende klanten niet. Omzet die je een jaar later misloopt omdat een grote afnemer het vertrouwen kwijt is, staat in geen enkele polis.

Praktijkscenario: de claim die maar half werd betaald

Een groothandel met veertig medewerkers wordt getroffen door ransomware. De verzekering treedt in werking: het incidentresponsteam komt, het forensisch onderzoek loopt, en na vier dagen draaien de belangrijkste systemen weer.

Bij de afwikkeling blijken twee dingen. Ten eerste was de wachttijd voor bedrijfsschade 48 uur, en juist de eerste twee dagen waren het duurst. Ten tweede: op de externe toegang van de magazijnsoftware stond geen MFA, terwijl dat op het aanvraagformulier wel was aangevinkt. De schade wordt gedeeltelijk vergoed, met een korting die pijn doet.

De uitkomst was te voorkomen geweest met twee handelingen: het formulier eerlijk invullen samen met degene die de IT beheert, en de wachttijd afstemmen op hoe snel jouw omzet daadwerkelijk stilvalt.

Zo kies je een polis die past

1. Breng je risico in kaart. Welke gegevens verwerk je, hoeveel omzet loop je per dag mis bij stilstand, en welke leveranciers hebben toegang tot je systemen? Zonder die cijfers is elk verzekerd bedrag een gok.

2. Vul het aanvraagformulier samen met je IT-partner in. Dit is geen administratieve formaliteit maar de basis van je dekking. Elk vinkje is een verklaring.

3. Vraag de uitsluitingen expliciet op. Concreet: is social engineering meeverzekerd? Wat is de wachttijd bij bedrijfsschade? Hoe luidt de oorlogsclausule? Zijn kosten van juridische bijstand bij een AP-onderzoek gedekt? Geldt de dekking ook als een leverancier de oorzaak is?

4. Kijk naar limieten én eigen risico. Een hoge dekking met een eigen risico dat je niet kunt dragen, helpt niet. Reken door wat een realistisch incident daadwerkelijk kost; onze uitleg over de kosten van een datalek helpt daarbij.

5. Herijk jaarlijks. Je bedrijf verandert, de dreigingen ook. Neem de polis mee in je jaarlijkse IT-review.

6. Zorg dat je basis op orde is. Een goede polis wordt goedkoper en een claim eenvoudiger als je basisbeveiliging en back-ups aantoonbaar op orde zijn.

Veelgestelde vragen

Is een cyberverzekering verplicht?

Nee. Wel eisen steeds meer opdrachtgevers en aanbestedingen er een, en de zorgplicht uit de AVG en NIS2 maakt aantoonbare beveiliging hoe dan ook noodzakelijk — verzekerd of niet.

Wat kost een cyberverzekering voor een MKB-bedrijf?

Dat hangt af van omzet, sector, verzekerd bedrag en je beveiligingsniveau. Bedrijven met aantoonbare maatregelen betalen minder en krijgen ruimere voorwaarden. Vraag altijd meerdere offertes op en vergelijk de voorwaarden, niet alleen de premie.

Waar let je op in de kleine lettertjes?

Op drie dingen die de dekking in de praktijk bepalen. Ten eerste de sublimieten: het totale verzekerde bedrag zegt weinig als afpersing of bedrijfsstilstand een eigen, veel lager plafond heeft. Ten tweede de wachttijd bij bedrijfsschade — vaak acht tot vierentwintig uur, waarbij de eerste uren voor eigen rekening komen. En ten derde het eigen risico per gebeurtenis. Vraag verzekeraars die drie getallen naast elkaar te zetten voor je polissen vergelijkt; twee cyberverzekeringen met hetzelfde verzekerd bedrag kunnen zo tienduizenden euro’s uit elkaar liggen.

Waarom worden claims afgewezen?

Meestal niet omdat het incident zelf niet gedekt was, maar omdat de afspraken eromheen niet zijn nagekomen. De drie meest voorkomende redenen: de preventieve maatregelen uit het aanvraagformulier stonden er niet echt (denk aan MFA of geteste back-ups), de melding kwam te laat of er is buiten de verzekeraar om een eigen partij ingeschakeld, en de schade blijkt indirecte schade — reputatieverlies of weggelopen klanten — die geen enkele polis vergoedt. Bel bij een incident dus eerst het alarmnummer van je verzekeraar: die levert incident response en juridische hulp, en zonder dat telefoontje wordt de financiële schade later lastig te onderbouwen.

Vervangt een verzekering mijn beveiliging?

Nee, en dat is geen slogan maar polisvoorwaarde. Zonder aantoonbare basismaatregelen loop je het risico dat je premie betaalt voor een dekking die bij een claim niet uitkeert.

Dekt de polis ook als een leverancier gehackt wordt?

Soms, soms niet. Schade door een incident bij een IT-leverancier of clouddienst valt niet automatisch onder je eigen polis. Vraag hier expliciet naar als je veel uitbesteedt.

Wij zijn geen verzekeraar en geven geen verzekeringsadvies. Wat we wel kunnen: samen met jou het aanvraagformulier eerlijk invullen, aantonen welke maatregelen er staan, en de gaten dichten die anders een claim in de weg zitten. Even sparren? Bel gerust.