Cyberverzekering: werkt je polis straks echt? Bereid je zo voor

Je hebt een cyberverzekering. Of je staat op het punt er een af te sluiten. Maar werkt die verzekering straks ook echt, op het moment dat je bedrijf stilligt?

In het vorige artikel zag je wat een verzekeraar van je vraagt: MFA, back-ups, updates en een plan voor als het misgaat. En dat wat je op de vragenlijst invult, moet kloppen.

Of je verzekering straks werkt, beslis je eigenlijk nu.

In de video en in dit artikel laat ik zien hoe je je voorbereidt. Je ziet welke gratis hulpmiddelen de overheid daarvoor heeft en welke vragen je meeneemt naar je verzekeringsadviseur.

Video afspelen

Verzekeren en beveiligen horen bij elkaar

Een goede voorbereiding begint met een eerlijk ingevuld aanvraagformulier, met back-ups die je hebt getest en met afspraken over wie wat doet.

Ook toezichthouders zeggen het: een cyberverzekering is geen vervanging voor goede beveiliging. Het gaat om de balans. Een deel van het risico draag je over aan de verzekeraar. Een ander deel maak je zelf kleiner, met maatregelen.

Het goede nieuws: de overheid heeft daar gratis hulpmiddelen voor.

De vijf basisprincipes van het NCSC

Het Nationaal Cyber Security Centrum (NCSC) en het Digital Trust Center (DTC) werken sinds 2025 met één set basisprincipes. Leg je die naast de vragenlijst van een verzekeraar, dan zie je dezelfde onderwerpen terug.

1. Breng je risico's in kaart

Weet wat je moet beschermen. Dat helpt je ook bij de keuze van je dekking en bij de vraag hoe hoog je verzekert.

2. Bevorder veilig gedrag

Maak medewerkers bewust en zorg dat melden veilig is. Dat is de awareness-eis van de verzekeraar. Denk ook aan het verschil tussen klikken op een besmette link en betalen na misleiding, dat ik in een eerder artikel beschreef.

3. Bescherm je systemen, apparaten en applicaties

Veilige instellingen en monitoring. Hier horen je updates bij, en dus ook het eigen aandeel dat sommige polissen rekenen als schade ontstaat door software die niet is bijgewerkt.

4. Beheer toegang

Geef iemand alleen de toegang die nodig is voor het werk. Daar hoort ook MFA bij.

5. Bereid je voor

Oefen scenario's. Maak back-ups, en test vooral of je gegevens en processen echt kunt terugzetten en herstellen.

Bij die back-ups wil ik even stilstaan. Onderzoek van de Universiteit Twente en de politie laat zien dat bedrijven met back-ups die ze kunnen terugzetten, 27 keer minder kans hebben dat ze losgeld betalen.

Gratis hulpmiddelen

Een paar hulpmiddelen die je kunt gebruiken:

• De Risicoklassenindeling Digitale Veiligheid. Met negen vragen krijg je een inschatting van je risicoklasse en de maatregelen die daarbij passen. Het Verbond van Verzekeraars heeft eraan meegewerkt, dus het sluit goed aan op wat een verzekeraar van je vraagt.
• De vragen van het NCSC over een cyberverzekering. Die bespreek ik in het artikel Heb jij een cyberverzekering nodig?
• Het Keurmerk Digitale Basisveiligheid MKB. Dat toetst of je ICT-dienstverlener de basismaatregelen goed bij jou uitvoert.

Wat je zelf vastlegt

Sommige dingen doet niemand voor je. Die leg je zelf vast.

1. Je aanvraagformulier. Bewaar wat je hebt ingevuld, en bewaar ook het bewijs. Bijvoorbeeld dat MFA echt is afgedwongen.
2. Drie plannen. Een continuïteitsplan: hoe gaat het werk door? Een incident-responsplan: wie heeft de regie tijdens het incident? En een herstelplan: hoe krijg je je systemen en je data weer terug?
3. De werkwijze uit je polis. De verzekeraar verwacht dat je tijdens een incident doet wat de polis voorschrijft, en dat je binnen strakke termijnen samenwerkt met zijn hulpverleners. Zet die termijnen en het meldnummer in je draaiboek.
4. Wie belt en wie beslist. Misschien wel de belangrijkste. Wie belt het meldnummer? En wie neemt de beslissingen? Bewaar belangrijke contactgegevens ook op papier, voor als je systemen niet werken.

Dat staat niet in je polis. Dat staat in jouw draaiboek.

Checklist voor je verzekeringsadviseur

Neem deze vragen mee naar het gesprek met je verzekeringsadviseur. Leg elke offerte naast dezelfde vragen en vraag de antwoorden schriftelijk. De KVK wijst erop dat je adviseur een zorgplicht heeft om de voorwaarden met je door te nemen. Maak daar gebruik van.

Over de dekking en de voorwaarden

1. Wat is het sublimiet voor ransomware, en onder welke voorwaarden vervalt het?
2. Wat is de wachttijd voor bedrijfsschade en wat is de maximale duur? Wat zet die dekking in gang, en hoe wordt de schade berekend?
3. Is CEO-fraude gedekt, of betalen na misleiding? En zo niet: waar regel je dat dan?

Over de hulp bij een incident

1. Wie is het 24/7-team en wie bel je? Wat doen ze in het eerste uur, en mag je eigen ICT-partner meewerken?
2. Binnen welke termijn moet je een incident melden, en welke werkwijze schrijft de polis voor?
3. Geldt die hulp ook bij een vermoeden van een incident, en tot welk bedrag?

Leg de checklist naast je polis of je offerte. Zo weet je wat je krijgt, en wat je zelf nog moet regelen.

Wil je dat je team weet wat het moet doen als het misgaat? Daar help ik je graag bij, met training, met oefenen en met een calamiteitenbeleid.

Let op: ik ben geen verzekeringsadviseur. Dit artikel is bedoeld om ondernemers inzicht te geven in hun voorbereiding en in cyberverzekeringen. Bespreek verzekeringskeuzes en polisvoorwaarden altijd met je eigen adviseur.

Plan een kennismaking. Een gesprek over je bedrijf, je ICT en wat je wilt bereiken. Je bepaalt zelf of er een vervolg komt.