Cyberverzekering dekkingen: wat is wel en niet verzekerd?

Een zakelijke cyberverzekering dekt twee soorten schade. De eerste is je eigen schade na een hack, ransomware-aanval of datalek: specialisten die het incident onderzoeken en oplossen, herstel van data en systemen, omzet die je misloopt door stilstand, en de kosten van het informeren van betrokkenen. De tweede is schade bij anderen: claims van klanten of partners van wie gegevens zijn gelekt, en je juridische verdediging, ook bij een onderzoek door de Autoriteit Persoonsgegevens. Polissen verschillen alleen sterk van elkaar. In dit artikel lees je per onderdeel wat vaak gedekt is, wat vaak is uitgesloten of beperkt, en welke voorwaarden je als zzp’er of mkb-ondernemer controleert voordat je tekent.

Kort samengevat

• Een cyberpolis heeft twee pijlers: eigen schade (incident response, herstel, bedrijfsschade, datalekkosten) en aansprakelijkheid (claims van derden en juridisch verweer).
• Bijna elke polis geeft toegang tot een 24/7 noodnummer met een incidentmanager die IT-forensisch onderzoek, herstel, juridisch advies en crisiscommunicatie regelt.
• Vaak uitgesloten zijn personen- en zaakschade, fraude door eigen medewerkers, opzet, contractuele aansprakelijkheid en uitval van infrastructuur. Ransomware kan beperkt gedekt zijn.
• Verzekeraars stellen beveiligingseisen. Wie daar niet aan voldoet, krijgt minder snel of minder ruim dekking.
• Controleer vooral de definitie van een cyberincident, de ransomwareclausule, de verzekerde bedragen en de inloop- en uitloopdekking.

Inhoudsopgave

• De twee pijlers van elke cyberpolis
• Eigen schade: wat je vergoed krijgt na een incident
• Schade aan klanten en aansprakelijkheidsclaims
• Ransomware en afpersing
• Wat vaak is uitgesloten of beperkt
• Welke beveiligingseisen verzekeraars stellen
• Silent cyber: overlap en gaten met je andere polissen
• Welke dekking past bij jouw bedrijf?
• Checklist: deze polisvoorwaarden controleer je
• Zo handel je bij een cyberincident
• Onze kijk op cyberdekking
• Je cyberdekking laten vergelijken
• Veelgestelde vragen
• Bronnen

De twee pijlers van elke cyberpolis

Vrijwel elke zakelijke cyberverzekering in Nederland is opgebouwd uit een eigen-schadedeel en een aansprakelijkheidsdeel. In de handleiding over de cyberverzekering van de VNAB staan de dekkingen die je in de meeste polissen terugziet. Hieronder het overzicht.

Niet elke polis heeft alle onderdelen standaard. Sommige verzekeraars bieden een basisdekking met losse modules erbij, andere werken met één pakket. Dat maakt vergelijken op naam alleen lastig: twee polissen die allebei ‘cyberverzekering’ heten, kunnen bij dezelfde aanval heel verschillend uitbetalen.

Eigen schade: wat je vergoed krijgt na een incident

Bij een cyberincident tellen de eerste uren. Daarom is het eigen-schadedeel voor de meeste ondernemers het belangrijkste deel van de polis.

Incident response via het noodnummer

De kern van een cyberverzekering is geen geldbedrag, maar hulp. Volgens de VNAB-handleiding bel je bij spoed het noodnummer op je polis, vaak 24/7 bereikbaar. Een incidentmanager coördineert daarna de hulp: IT-forensisch onderzoek, recovery, juridisch advies en crisiscommunicatie. Je hoeft dus niet midden in de nacht zelf een IT-bedrijf, advocaat en communicatieadviseur te zoeken die toevallig tijd hebben.

Forensisch onderzoek en herstel

Forensisch IT-onderzoek brengt in kaart hoe een aanvaller binnenkwam, welke systemen en gegevens zijn geraakt en of de aanvaller nog toegang heeft. Daarna volgt herstel: data terugzetten, systemen opschonen of opnieuw installeren en de oorzaak dichten. Voor een zzp’er met één laptop gaat het om andere bedragen dan voor een mkb-bedrijf met een eigen server, een webshop en twintig werkplekken, maar het principe is gelijk.

Bedrijfsschade door stilstand

Liggen je systemen plat, dan loopt je omzet terug terwijl je vaste kosten doorlopen. Een webshop die dagen offline is, een installatiebedrijf dat niet bij zijn planning kan of een praktijk zonder toegang tot het afsprakensysteem: dat verlies valt vaak onder de dekking voor bedrijfsstilstand. Let wel op hoe de polis die schade berekent en vanaf welk moment de vergoeding ingaat.

Kosten van een datalek

Bij een datalek met persoonsgegevens heb je als ondernemer verplichtingen onder de AVG, zoals melden en soms betrokkenen informeren. De kosten van dat informeren vallen volgens de VNAB vaak onder de dekking. Wat je precies moet regelen rond melden en termijnen, lees je in ons artikel over de verzekering bij een datalek en de AVG.

Schade aan klanten en aansprakelijkheidsclaims

Een datalek raakt niet alleen jou. Lekken de gegevens van je klanten, patiënten of leveranciers, dan kunnen zij schadevergoeding van je eisen. Het aansprakelijkheidsdeel van een cyberpolis dekt die schadevergoedingen en de kosten van je juridische verweer. Dat geldt ook als de toezichthouder, de Autoriteit Persoonsgegevens, een onderzoek start (VNAB).

Verwerk je gegevens voor andere bedrijven, bijvoorbeeld als boekhouder, softwareontwikkelaar of marketingbureau, dan ben je onder de AVG vaak verwerker. Je aansprakelijkheid hangt dan mede af van je verwerkersovereenkomst. Hoe dat werkt, leggen we uit in ons stuk over aansprakelijkheid van de dataverwerker.

Een voorbeeld om het concreet te maken: een administratiekantoor wordt gehackt en de aanvaller kopieert loonstroken van klanten. Het eigen-schadedeel betaalt het onderzoek, het herstel en het informeren van de werknemers van die klanten. Dienen de klanten een claim in, dan valt die onder het aansprakelijkheidsdeel, net als de advocaat die het kantoor bijstaat.

Ransomware en afpersing

Ransomware, waarbij criminelen je bestanden versleutelen en losgeld eisen, is voor veel ondernemers de reden om een cyberpolis af te sluiten. De herstelkosten en bedrijfsschade na zo’n aanval vallen in de regel onder de eigen-schadedekking. Wel kan ransomware in een polis beperkt zijn, bijvoorbeeld met een lager maximum of een aparte voorwaarde (VNAB). Lees de ransomwareclausule daarom altijd apart. In ons artikel over de ransomwareverzekering voor bedrijven gaan we dieper in op hoe je dit goed regelt.

Wat vaak is uitgesloten of beperkt

Een goede polis is pas goed als je ook weet waar de grenzen liggen. De VNAB-handleiding noemt deze veelvoorkomende uitsluitingen:

• Personen- en zaakschade. Raakt iemand gewond of gaat er fysiek iets kapot, dan hoort dat meestal bij je bedrijfsaansprakelijkheidsverzekering of je inventaris- en goederenverzekering.
• Fraude door eigen medewerkers. Diefstal of oplichting van binnenuit valt doorgaans buiten de cyberdekking.
• Opzet. Schade die je bewust veroorzaakt, is niet verzekerd.
• Contractuele aansprakelijkheid. Beloof je een klant in een contract meer dan de wet van je vraagt, bijvoorbeeld een boete per uur storing, dan dekt de polis dat extra deel vaak niet.
• Illegaal verkregen data of software. Werk je met illegale licenties of onrechtmatig verkregen gegevens, dan vervalt de dekking daarvoor.
• Uitval van infrastructuur. Een landelijke storing van stroom, internet of telecom valt meestal buiten de polis.
• Ransomware. Niet uitgesloten, maar soms beperkt.

Daarnaast spelen het eigen risico en de verzekerde bedragen een rol. Polissen werken met een maximum per aanspraak en per verzekeringsjaar, en vaak met aparte maxima per onderdeel. Bij bedrijfsschade geldt soms een wachttijd voordat de vergoeding ingaat. Die bedragen kies je deels zelf, dus stem ze af op wat een dag stilstand jouw bedrijf kost en hoeveel persoonsgegevens je beheert.

Welke beveiligingseisen verzekeraars stellen

Verzekeraars kijken steeds kritischer naar je beveiliging voordat ze je accepteren. In de voortgangsrapportage van de Nederlandse Cybersecuritystrategie staat dat verzekeraars hogere beveiligingseisen stellen aan klanten die in aanmerking willen komen voor een verzekering. Welke eisen precies gelden, verschilt per verzekeraar en hangt af van je omvang en branche. Maatregelen die vaak terugkomen in een acceptatievragenlijst zijn:

• tweestapsverificatie op e-mail en accounts die je op afstand gebruikt;
• regelmatige back-ups die los van je netwerk worden bewaard en die je ook terugzet ter controle;
• tijdig bijgewerkte software en besturingssystemen;
• actuele beveiligingssoftware op alle apparaten;
• beperkte beheerrechten, zodat niet iedereen alles kan installeren;
• bewustwording bij medewerkers over phishing en nepfacturen.

Het zijn maatregelen die je risico verkleinen en je acceptatie makkelijker maken. Vul de vragenlijst eerlijk en volledig in: wat je daar invult, kan bij een schade worden nagelopen. Twijfel je over een vraag, leg het dan voor aan je adviseur voordat je hem indient.

Silent cyber: overlap en gaten met je andere polissen

Veel ondernemers denken dat hun bestaande verzekeringen cyberschade al afdekken. Soms klopt dat gedeeltelijk, vaak niet. De Rijksoverheid wijst op ‘silent cyber’: onduidelijkheid over of een traditionele verzekering cyberschade wel of niet dekt. Verzekeraars sluiten cyberrisico’s in klassieke polissen steeds vaker expliciet uit, juist om die onduidelijkheid weg te nemen.

Zo ligt de verdeling meestal:

Voor ICT-bedrijven is de grens tussen een beroepsfout en een cyberincident extra dun. Hoe je dubbele dekking en gaten voorkomt, lees je in ons artikel over beroepsaansprakelijkheid in de ICT. En wil je weten wat je AVB wel en niet vergoedt, bekijk dan wat je bedrijfsaansprakelijkheid écht dekt.

Welke dekking past bij jouw bedrijf?

De dekkingen zijn voor iedereen grotendeels dezelfde, maar het gewicht verschilt per bedrijf.

Zzp’er. Werk je vooral met een laptop, e-mail en cloudsoftware, dan zijn incident response, herstel en datalekkosten de onderdelen waar het om draait. Verwerk je gegevens van klanten, bijvoorbeeld als coach, fysiotherapeut of administrateur, dan is de aansprakelijkheidsdekking net zo belangrijk. Kijk ook naar ons overzicht van zakelijke verzekeringen voor zzp’ers.

Mkb met personeel. Hoe meer werkplekken en systemen, hoe zwaarder bedrijfsschade door stilstand weegt. Een dag plat met tien medewerkers die niet kunnen werken, tikt hard aan. Kies een verzekerd bedrag voor bedrijfsschade dat past bij je omzet per week. Meer over de afweging lees je in cyberverzekering voor het mkb.

Webshop of online dienst. Je omzet hangt direct aan je systemen en je beheert veel klantgegevens. Bedrijfsschade en aansprakelijkheid bij een datalek zijn hier allebei zwaar.

Kleine ondernemers die denken dat ze geen doelwit zijn. Criminelen kiezen vaak niet, maar schieten breed met phishing en geautomatiseerde aanvallen. In cyberrisico’s voor kleine bedrijven zetten we de risico’s op een rij.

Checklist: deze polisvoorwaarden controleer je

De VNAB benadrukt dat polisvoorwaarden sterk verschillen. Loop deze punten na voordat je kiest:

1. De definitie van een cyberincident. Valt alleen een hack eronder, of ook een menselijke fout zoals een mail met klantgegevens naar de verkeerde ontvanger?
2. De ransomwareclausule. Is ransomware volledig gedekt, of geldt een lager maximum of een extra voorwaarde?
3. Inloopdekking. Is een incident gedekt dat al vóór de ingangsdatum begon maar pas later ontdekt wordt? Aanvallers zitten soms weken in een netwerk voordat iemand het merkt.
4. Uitloopdekking. Zijn claims gedekt die binnenkomen nadat je polis is beëindigd, bijvoorbeeld als je stopt met je bedrijf?
5. Verzekerde bedragen per onderdeel. Kijk niet alleen naar het totaal, maar ook naar de maxima voor bedrijfsschade, datalekkosten en aansprakelijkheid.
6. Eigen risico en wachttijd. Hoeveel betaal je zelf, en na hoeveel uur stilstand begint de vergoeding?
7. Beveiligingsvoorwaarden. Welke maatregelen moet je volhouden tijdens de looptijd?
8. Wie onder de polis valt. Zijn dochterbedrijven, freelancers en externe systemen meeverzekerd?

Wil je weten hoe een polis is opgebouwd en wat begrippen als ‘aanspraak’ en ‘verzekerd bedrag’ betekenen, lees dan onze uitleg over de polis van een zakelijke verzekering.

Zo handel je bij een cyberincident

De dekking werkt het best als je bij een incident direct de juiste stappen zet.

1. Bel het noodnummer op je polis. Doe dit zo snel mogelijk, ook bij twijfel. De incidentmanager bepaalt met je wat er nodig is (VNAB).
2. Volg de instructies van de specialisten. Zet systemen niet zelf in het wilde weg uit of terug: zo kun je sporen wissen die nodig zijn voor het onderzoek.
3. Betaal geen losgeld en ga niet zelf onderhandelen. Overleg eerst met het incidentteam en je verzekeraar.
4. Leg alles vast. Noteer wanneer je wat zag, wie je hebt gesproken en welke systemen geraakt zijn.
5. Regel de meldingen. Bij een datalek met persoonsgegevens geldt een meldplicht bij de Autoriteit Persoonsgegevens. De juridische hulp via je polis helpt je bepalen wat je wanneer moet melden.
6. Meld de schade bij je adviseur of verzekeraar. Zij begeleiden de schadeclaim voor herstel, stilstand en eventuele claims van derden.

Onze kijk op cyberdekking

Wij zien elke week ondernemers die denken dat hun AVB of rechtsbijstand een hack wel opvangt. Dat is zelden zo. Een cyberincident raakt je in je eigen bedrijf: je systemen, je omzet, je klantgegevens. Daar is een cyberverzekering voor gemaakt, en het eerste wat die je geeft is hulp op het moment dat het misgaat.

Het verschil zit niet in de naam van de polis, maar in de voorwaarden. De ene verzekeraar dekt een verkeerd verzonden mail met klantgegevens, de andere niet. De ene heeft ruime inloopdekking, de andere beperkt ransomware. Omdat wij meer dan 66 verzekeraars vergelijken, kunnen we die verschillen naast elkaar leggen en de polis kiezen die past bij jouw bedrijf en je budget. Zo betaal je niet voor dekking die je niet nodig hebt, en mis je geen dekking die je wel nodig hebt.

Wat we ondernemers vooral meegeven: kijk naar je bedrijf als geheel. Een cyberpolis werkt het best naast een goed afgestemde aansprakelijkheidsverzekering, zodat er geen gaten vallen tussen de polissen. Je vaste adviseur bij ons kent je bedrijf en kijkt daarom mee naar het hele plaatje.

Willem

Je cyberdekking laten vergelijken

Wil je weten welke dekkingen jouw bedrijf nodig heeft en wat dat kost? Via onze cyberverzekering voor ondernemers vergelijken we polissen van meer dan 66 verzekeraars in Nederland. Je kiest zelf: direct contact met een adviseur, of eerst een bedrijfsscan door onze AI-adviseur op basis van je activiteiten, branche en risico’s.

Je krijgt één vast aanspreekpunt dat je bedrijf en je verzekeringen kent, en je kunt 24/7 bij ons terecht voor advies, wijzigingen of hulp bij schade. Je kunt direct je premie berekenen en de polis afsluiten.

Veelgestelde vragen

Dekt een cyberverzekering ook menselijke fouten?

Dat hangt af van de definitie van een cyberincident in de polis. Bij sommige verzekeraars valt bijvoorbeeld een e-mail met klantgegevens naar de verkeerde ontvanger onder de dekking, bij andere alleen een aanval van buitenaf. Controleer die definitie daarom voordat je kiest.

Is ransomware altijd gedekt?

Herstel en bedrijfsschade na ransomware vallen meestal onder de dekking, maar sommige polissen hanteren een lager maximum of extra voorwaarden voor ransomware. Lees de ransomwareclausule apart en vraag je adviseur hoe die bij jouw polis uitpakt.

Heb ik als zzp’er zonder personeel een cyberverzekering nodig?

Ook als zzp’er werk je met e-mail, klantgegevens en online systemen, en kan een hack je dagen werk en omzet kosten. Verwerk je persoonsgegevens van klanten, dan speelt ook aansprakelijkheid bij een datalek. De dekking stem je af op de omvang van je bedrijf.

Dekt mijn bedrijfsaansprakelijkheidsverzekering geen cyberschade?

Een AVB is gericht op personen- en zaakschade bij anderen en dekt cyberschade meestal niet of maar beperkt. Je eigen herstelkosten en bedrijfsstilstand na een hack vallen er in de regel helemaal buiten. Daarvoor is een aparte cyberverzekering bedoeld.

Wat is inloopdekking bij een cyberverzekering?

Inloopdekking betekent dat een incident gedekt is dat al vóór de ingangsdatum van je polis begon, maar pas later is ontdekt. Omdat aanvallers soms lang ongemerkt in een netwerk zitten, is dit een belangrijk punt om te controleren.

Bronnen

VNAB: Een kort begrip van de cyberverzekering, handleiding voor bedrijven en verzekeringsadviseurs

Rijksoverheid: Voortgangsrapportage Nederlandse Cybersecuritystrategie 2023

Aanbevelingen

• Cyberverzekering voor ondernemers: voorkom grote schade
• Cyberverzekering mkb: heeft uw bedrijf dekking nodig?
• Voorkom overlap met cyber: beroepsaansprakelijkheid ICT in Nederland
• Ransomware verzekering voor bedrijven: zo regel je het goed