Cyberverzekering afsluiten? Controleer eerst deze 9 beveiligingsmaatregelen

Een cyberverzekering kan je helpen om de financiële gevolgen van een cyberincident op te vangen. Maar voordat je zo'n verzekering afsluit, wil de verzekeraar vaak weten hoe goed je ICT beveiligd is.

Daarvoor krijg je een vragenlijst. Soms behoorlijk technisch, met vragen over je back-ups, wachtwoorden, beveiligingssoftware en de toegang tot je systemen.

Voor veel ondernemers is dat lastig. Want hoe weet je of alles echt goed geregeld is?

Maar die vragenlijst heeft ook een voordeel dat vaak over het hoofd wordt gezien.

Je kunt hem gebruiken als een spiegel van je eigen ICT-beveiliging. Zelfs wanneer je helemaal niet van plan bent een cyberverzekering af te sluiten.

In de onderstaande video leg ik uit waarom die vragenlijst belangrijk is, welke beveiligingsmaatregelen je kunt controleren en waarom je niet alleen naar het verzekerde bedrag moet kijken.

Bekijk de video: Cyberverzekering – vereisten en voorwaarden

Video afspelen

Welke beveiligingseisen stelt een cyberverzekeraar?

De eisen verschillen per verzekeraar en verzekering. Toch zijn er verschillende maatregelen die regelmatig terugkomen.

Hieronder bespreek ik negen belangrijke onderwerpen. Bij ieder onderwerp geef ik een vraag die je aan je ICT-afdeling of ICT-partner kunt stellen. Alle negen vragen staan ook in een invulformulier, met ruimte voor het antwoord en wie het weet.

1. Detectie: merken we het als er iets misgaat?

Een virusscanner is belangrijk, maar moderne beveiliging gaat verder dan het herkennen van bekende virussen.

Met bijvoorbeeld Endpoint Detection and Response (EDR) kun je verdacht gedrag op werkplekken en servers herkennen en daar actie op ondernemen.

Maar software installeren alleen is niet voldoende. Er moet ook iemand zijn die beveiligingsmeldingen beoordeelt en actie onderneemt.

Controlevraag: Welke beveiliging detecteert verdacht gedrag op onze werkplekken en servers, en wie reageert op de meldingen?

2. Beheeraccounts: wie heeft de sleutels van je ICT?

Een systeembeheerder heeft vaak veel meer rechten dan een gewone medewerker.

Met deze rechten kunnen belangrijke instellingen worden aangepast, accounts worden aangemaakt en beveiligingsmaatregelen worden gewijzigd.

Daarom is het verstandig dat beheerders aparte accounts gebruiken voor dagelijkse werkzaamheden en voor systeembeheer. Die beheeraccounts moeten extra goed worden beschermd.

Controlevraag: Gebruiken beheerders aparte, extra beveiligde beheeraccounts en weten we wie welke rechten heeft?

3. Leveranciers: wie heeft toegang tot je systemen?

Bijna ieder bedrijf werkt met externe ICT-leveranciers.

Denk aan een partij die je netwerk beheert, een softwareleverancier die onderhoud uitvoert of een externe specialist die tijdelijk toegang nodig heeft.

Maar weet je precies welke partijen toegang hebben? En hoe die toegang is beveiligd?

Controlevraag: Welke externe leveranciers hebben toegang tot onze systemen, hoe is die toegang beveiligd en wanneer controleren we dat?

4. Incidentvoorbereiding: weten we wat we moeten doen?

Stel dat je maandagochtend op kantoor komt en medewerkers niet meer bij hun bestanden kunnen.

Wie bel je als eerste? Wie neemt beslissingen? Wie informeert de medewerkers? En wie neemt contact op met de verzekeraar?

Tijdens een incident wil je daar niet voor het eerst over hoeven nadenken.

Een incidentplan helpt om vooraf vast te leggen wie waarvoor verantwoordelijk is en welke stappen worden genomen.

Controlevraag: Hebben we een incidentplan waarin staat wie wat doet bij een cyberincident, en hebben we dat plan geoefend?

5. Multifactor-authenticatie: is het daadwerkelijk verplicht?

Met multifactor-authenticatie (MFA) log je in met meer dan alleen een wachtwoord. Bijvoorbeeld met een extra bevestiging via een app op je telefoon.

Veel organisaties hebben MFA beschikbaar. Maar beschikbaar betekent niet dat iedereen het verplicht moet gebruiken.

Juist daar zit een belangrijk verschil.

Controleer daarom of MFA wordt afgedwongen voor belangrijke systemen, zoals zakelijke e-mail, toegang van buitenaf en beheeraccounts.

Daarnaast kun je extra regels toepassen, bijvoorbeeld dat alleen vanaf beheerde apparaten mag worden ingelogd. Dit heet Conditional Access.

Controlevraag: Staat MFA daadwerkelijk verplicht aan voor alle belangrijke accounts, inclusief de beheeraccounts?

6. Back-ups: kun je alles echt terugzetten?

De meeste ondernemers zullen bevestigend antwoorden wanneer je vraagt of hun bedrijf back-ups maakt.

Maar back-ups maken en je gegevens daadwerkelijk kunnen herstellen zijn twee verschillende dingen.

Stel dat iemand toegang krijgt tot je netwerk en bestanden versleutelt. Als diezelfde persoon ook bij de back-ups kan, kunnen die eveneens verloren gaan.

Daarom is het belangrijk om back-ups gescheiden en goed beschermd te bewaren.

En minstens zo belangrijk: test regelmatig of je gegevens daadwerkelijk kunt terugzetten.

Controlevraag: Zijn onze back-ups gescheiden van het gewone netwerk en wanneer hebben we voor het laatst getest of we gegevens kunnen herstellen?

7. Updates: worden beveiligingsproblemen tijdig opgelost?

Softwareleveranciers brengen regelmatig updates uit. Niet alleen om nieuwe functies toe te voegen, maar ook om beveiligingsproblemen op te lossen.

Wanneer systemen niet tijdig worden bijgewerkt, blijven bekende kwetsbaarheden mogelijk bestaan.

Dit geldt voor computers, servers, software, firewalls en andere apparaten.

Het moet daarom duidelijk zijn wie verantwoordelijk is voor updates en hoe wordt gecontroleerd of deze daadwerkelijk zijn uitgevoerd.

Controlevraag: Hoe controleren we of alle systemen tijdig worden bijgewerkt, en wat gebeurt er wanneer een kritieke beveiligingsupdate ontbreekt?

8. Wachtwoordbeleid: worden afspraken nageleefd?

Een wachtwoordbeleid is meer dan de afspraak dat iedereen een sterk wachtwoord gebruikt.

Het gaat ook over hoe wachtwoorden worden beheerd, welke accounts medewerkers gebruiken en wat er gebeurt als iemand uit dienst gaat.

Een beleid op papier is een begin. Maar het gaat er vooral om dat de afspraken daadwerkelijk worden nageleefd.

Controlevraag: Welke afspraken hebben we over wachtwoorden en accounts, en hoe controleren we of iedereen zich daaraan houdt?

9. Security awareness: herkennen medewerkers digitale misleiding?

Niet iedere cyberaanval begint met een technisch beveiligingslek.

Soms probeert iemand een medewerker te verleiden om op een verkeerde link te klikken, vertrouwelijke informatie te verstrekken of toegang te verlenen.

Dit noemen we phishing of social engineering.

Training kan medewerkers helpen om dit soort situaties te herkennen.

Maar minstens zo belangrijk is dat medewerkers weten waar ze verdachte berichten kunnen melden en zich veilig voelen om dat ook daadwerkelijk te doen.

Controlevraag: Krijgen onze medewerkers regelmatig training en weten ze waar ze verdachte situaties moeten melden?

Waarom je antwoorden op de verzekeringsvragenlijst moeten kloppen

De vragenlijst is niet zomaar een administratieve formaliteit.

Een verzekeraar gebruikt je antwoorden om het risico van je bedrijf te beoordelen en te bepalen onder welke voorwaarden je verzekerd kunt worden.

Stel dat je aangeeft dat MFA overal verplicht is, terwijl dit in werkelijkheid niet zo is.

Als er vervolgens een cyberincident plaatsvindt, kan bij onderzoek blijken dat de beveiliging anders was ingericht dan je hebt opgegeven.

Dat kan gevolgen hebben voor je verzekering. Of de verzekeraar de schade daadwerkelijk mag beperken of weigeren, hangt onder andere af van de omstandigheden, de gegeven informatie en de toepasselijke voorwaarden.

Mijn advies: laat technische vragen beantwoorden of controleren door iemand die je ICT-omgeving daadwerkelijk kent.

En bewaar de antwoorden en toelichtingen die je aan de verzekeraar hebt gegeven.

Kijk niet alleen naar het verzekerde bedrag

Een cyberverzekering met een hoog verzekerd bedrag klinkt aantrekkelijk.

Maar het bedrag op de voorkant van de polis vertelt niet het hele verhaal.

In de voorwaarden kunnen beperkingen staan die bepalen hoeveel je in een bepaalde situatie daadwerkelijk vergoed krijgt.

Vijf onderwerpen verdienen daarom extra aandacht.

1. Een lagere maximale vergoeding voor ransomware

Sommige verzekeringen hebben voor ransomware een lager maximum dan het totale verzekerde bedrag. Zo'n beperking wordt een sublimiet genoemd.

Bij bepaalde verzekeraars kan een hogere dekking gelden wanneer je aan aanvullende beveiligingseisen voldoet.

2. Wachttijd en maximale vergoedingsduur

Wanneer je bedrijf door een cyberincident stilvalt, wordt bedrijfsschade niet altijd vanaf het eerste moment vergoed.

Er kan een wachttijd gelden. Ook kan de verzekering een maximale duur hebben waarover bedrijfsschade wordt vergoed.

3. Achterstallige software-updates

Wat gebeurt er als schade ontstaat terwijl bepaalde software niet tijdig is bijgewerkt?

Bij sommige verzekeringen kan dit gevolgen hebben voor het gedeelte van de schade dat je zelf moet betalen.

Controleer daarom wat er precies in jouw polis over achterstallige software staat.

4. Storingen bij je ICT-leverancier

Stel dat een grote cloudleverancier uitvalt, waardoor je medewerkers niet kunnen werken.

Of dat je ICT-leverancier wordt getroffen door een cyberaanval.

Dan is het belangrijk om te weten of jouw verzekering schade door problemen bij leveranciers dekt.

Een bekend voorbeeld is de wereldwijde CrowdStrike-storing van juli 2024. Die werd veroorzaakt door een foutieve software-update en niet door een cyberaanval.

Ook een dergelijke storing kan bedrijven ernstig raken. Maar dat betekent niet dat de schade automatisch onder een cyberverzekering valt.

5. Uitsluitingen

Een cyberverzekering dekt niet alles.

Polissen kunnen bijvoorbeeld uitsluitingen bevatten voor opzet, roekeloosheid, oorlog of bepaalde aanvallen door staten.

Vooral bij internationaal georganiseerde cyberaanvallen kunnen ingewikkelde vragen ontstaan over de toepassing van die uitsluitingen.

Bekijk dus niet alleen wat verzekerd is, maar ook wat expliciet buiten de dekking valt.

Een praktijkvoorbeeld: de Rabo CyberRisicoverzekering

Om te laten zien hoe beveiligingseisen en verzekeringsvoorwaarden samenhangen, neem ik de Rabo CyberRisicoverzekering als voorbeeld.

Daar geldt standaard een maximale dekking voor ransomware van € 100.000 per gebeurtenis en per jaar.

Na het afsluiten ontvang je een vragenlijst met preventie-eisen. De verzekeraar beoordeelt aan de hand daarvan of je aan die eisen voldoet.

Wanneer dat het geval is, kan de begrenzing van € 100.000 vervallen en wordt ransomware verzekerd binnen het gekozen verzekerde bedrag.

Rabobank vermeldt ook een maximale periode van 180 dagen voor vergoeding van bedrijfsschade, een wachttijd en een eigen aandeel bij achterstallige software.

Dit voorbeeld laat zien waarom je niet alleen naar het verzekerde bedrag moet kijken.

De maatregelen die je in je bedrijf hebt getroffen en de voorwaarden van je polis kunnen een groot verschil maken.

De genoemde voorwaarden zijn gebaseerd op de productinformatie van Rabobank, geraadpleegd in november 2026. Controleer altijd de actuele voorwaarden van je eigen polis.

Wat kun je als ondernemer nu doen?

Je hoeft niet te wachten totdat je een cyberverzekering gaat aanvragen.

Pak de negen controlevragen uit dit artikel erbij en bespreek ze eens met je ICT-afdeling of ICT-partner. Gebruik daarvoor het invulformulier.

Vraag niet alleen óf iets geregeld is, maar vooral ook hoe het geregeld is en hoe dat wordt gecontroleerd.

Zo wordt een technische verzekeringsvragenlijst ineens een praktisch hulpmiddel om je eigen ICT-beveiliging onder de loep te nemen.

En als je vervolgens een cyberverzekering wilt afsluiten? Dan weet je beter wat je invult en waar je op moet letten.

Een goede beveiliging helpt je om incidenten te voorkomen of de gevolgen ervan te beperken. Een passende cyberverzekering kan helpen om de financiële schade op te vangen. Je hebt beide kanten nodig om je goed voor te bereiden.

In de volgende video laat ik zien hoe je je verder kunt voorbereiden, met gratis hulpmiddelen van de overheid en een checklist voor het gesprek met je verzekeringsadviseur.

Let op: ik ben geen verzekeringsadviseur. Dit artikel is bedoeld om ondernemers inzicht te geven in hun ICT-beveiliging en cyberverzekeringen. Bespreek verzekeringskeuzes en polisvoorwaarden altijd met je eigen adviseur.

Bronnen

• Rabobank – Rabo CyberRisicoverzekering
• Rabobank – Cyberrisico's en preventieve maatregelen