Heb jij een cyberverzekering nodig? 7 vragen voor ondernemers

Je bedrijf ligt plat door een hack. Wie bel je als eerste?

Je ICT-leverancier? Je verzekeringsadviseur? En wie helpt je bepalen wat je nú moet doen, wat je je klanten vertelt en hoe je de schade beperkt?

Precies daar zit volgens mij een belangrijk deel van de waarde van een cyberverzekering: de hulp op het moment dat je die nodig hebt.

Misschien twijfel je of een cyberverzekering voor jouw bedrijf zinvol is. Want wat verzeker je eigenlijk? Welke hulp krijg je als het misgaat? En welke schade moet je alsnog zelf betalen?

Ik ben er de afgelopen weken flink in gedoken. In dit artikel neem ik je mee langs de belangrijkste punten uit mijn video.

Even vooraf: ik ben geen verzekeringsadviseur. Ik geef je inzichten en aandachtspunten waarmee je het gesprek met je eigen adviseur kunt voeren.

De waarde zit niet alleen in de schadevergoeding

Stel dat je bedrijf wordt getroffen door ransomware. Medewerkers kunnen niet meer bij hun bestanden en belangrijke processen liggen stil.

Je ICT-leverancier onderzoekt wat er aan de hand is. Maar ondertussen heb je meer vragen.

Moet je klanten informeren? Zijn er persoonsgegevens betrokken? Moet je juridische hulp inschakelen? En wie houdt het overzicht als iedereen tegelijk aan de slag gaat?

Dan wil je mensen naast je die weten hoe je een cyberincident aanpakt. Technisch, juridisch én in je communicatie.

Veel cyberverzekeringen bieden daarvoor ondersteuning bij incidenten, bijvoorbeeld via een 24/7 alarmcentrale. Afhankelijk van de polis kun je toegang krijgen tot specialisten die helpen bij onderzoek, herstel en communicatie.

Die hulp kan veel waarde hebben. Zeker als je zelf geen ervaren team hebt om een groot cyberincident te begeleiden.

Maar controleer wel wanneer je die hulp kunt inschakelen, welke specialisten beschikbaar zijn en welke kosten onder de dekking vallen.

Wat kan een cyberverzekering voor je doen?

Een eenduidige definitie van een cyberverzekering bestaat niet. De inhoud verschilt per verzekeraar en polis.

Je kunt de mogelijkheden grofweg in drie delen verdelen.

Voorkomen

Sommige verzekeraars helpen je vooraf om risico's inzichtelijk te maken. Bijvoorbeeld door te kijken naar je branche, de gegevens die je verwerkt en de beveiligingsmaatregelen die je al hebt getroffen.

Dat kan je helpen om je beveiliging te verbeteren. Maar de verantwoordelijkheid daarvoor blijft bij jou en je organisatie.

Herstellen

Gaat het mis, dan kan de verzekeraar hulp bieden bij het onderzoeken en afhandelen van het incident.

Denk aan forensische specialisten die onderzoeken wat er is gebeurd, technische hulp bij het herstel van systemen en juridische of communicatieve ondersteuning.

Een heel team aan hulptroepen dus. Maar welke hulp je daadwerkelijk krijgt, hangt af van je polis.

Vergoeden

Een cyberverzekering kan ook financiële schade vergoeden.

Bijvoorbeeld kosten voor herstel, aansprakelijkheidsclaims van anderen of bedrijfsschade doordat je tijdelijk niet kunt werken.

Daar zitten doorgaans voorwaarden en beperkingen aan. Denk aan maximale vergoedingen, een eigen risico of een wachttijd voordat bedrijfsschade wordt vergoed.

Een concreet voorbeeld: Rabobank

In de video gebruik ik de Rabo CyberRisicoverzekering als voorbeeld. Niet omdat ik deze verzekering aanprijs of adviseer, maar om te laten zien hoe verschillende onderdelen in een polis terugkomen.

Bij deze verzekering kun je ook bij een vermoeden van een cyberincident gebruikmaken van de first response-dienstverlening. Er is dekking mogelijk voor het herstel van data en systemen en voor bepaalde vormen van bedrijfsschade.

Maar niet alles is verzekerd. Het verbeteren van je beveiliging om toekomstige incidenten te voorkomen, is iets anders dan het herstellen van de schade van een incident.

Vergelijk het met waterschade thuis: het beschadigde laminaat vervangen is iets anders dan het lek bij het raam dichten.

Dat onderscheid is belangrijk bij het vergelijken van verzekeringen.

Let goed op de voorwaarden

Een cyberverzekering is niet alleen een afspraak over welke schade wordt vergoed. Je maakt ook afspraken over wat er van jouw organisatie wordt verwacht.

Dat begint vaak al bij het afsluiten van de verzekering.

De verzekeraar kan eisen stellen aan je beveiliging. Denk aan back-ups, toegangsbeveiliging en maatregelen om ongewenste toegang te voorkomen.

Die maatregelen moet je mogelijk ook tijdens de looptijd in stand houden.

Daarnaast kan de polis voorschrijven hoe je moet handelen als er een incident plaatsvindt.

Moet je eerst het alarmnummer bellen? Welke specialisten mag je inschakelen? Mag je zelf opdracht geven voor herstelwerkzaamheden? En binnen welke termijn moet je het incident melden?

Als je op het verkeerde moment beslissingen neemt zonder die voorwaarden te kennen, kan dat gevolgen hebben voor je vergoeding.

Lees dus niet alleen wat verzekerd is, maar ook wat je moet doen om aanspraak te kunnen maken op de verzekering.

Waarvan hangt de premie af?

Er is geen vaste prijs voor een cyberverzekering.

Verzekeraars kijken onder andere naar je branche, omzet, digitale afhankelijkheid, de gegevens die je verwerkt en de maatregelen die je hebt getroffen om cyberincidenten te voorkomen.

Een bedrijf dat nauwelijks zonder zijn ICT kan werken, heeft een ander risicoprofiel dan een bedrijf dat bij een storing relatief eenvoudig kan doorgaan.

Ook de gekozen dekking speelt mee. Een hoger verzekerd bedrag of uitgebreidere ondersteuning kan invloed hebben op de premie.

Mijn tip: vraag twee of drie offertes aan.

Maar vergelijk niet alleen de premie. Kijk ook naar de maximale vergoeding, het eigen risico, de wachttijd bij bedrijfsschade en de hulp die je krijgt als het misgaat.

En zet dat af tegen de vraag wat een flinke ICT-storing jouw bedrijf zou kosten.

Klikken is iets anders dan betalen

Een belangrijk onderscheid dat ik in de video bespreek, is het verschil tussen een cyberincident en fraude.

Neem twee situaties.

Scenario 1: een medewerker klikt op een besmette link

Via die link komt ransomware binnen. Bestanden worden versleuteld en je medewerkers kunnen er niet meer bij.

Bij een cyberverzekering kan de schade door zo'n incident binnen de dekking vallen. Maar ook hier kunnen beperkingen gelden, bijvoorbeeld een apart maximumbedrag voor ransomware. Bij de voorbeeldpolis van Rabobank is ransomware standaard verzekerd tot € 100.000. Die grens vervalt als je aantoonbaar voldoet aan de preventie-eisen van de verzekeraar.

Scenario 2: een medewerker betaalt een nepfactuur

Je medewerker ontvangt een e-mail die van jou als directeur lijkt te komen. Er moet dringend een factuur worden betaald.

De medewerker maakt het geld over. Pas later blijkt dat de e-mail van een oplichter kwam.

Dat is een ander soort schade.

Bij de voorbeeldpolis van Rabobank zijn CEO-fraude en social engineering uitgesloten. Bij andere verzekeraars kan de dekking anders zijn of beperkt worden aangeboden.

Het is dus belangrijk om niet alleen te vragen of je verzekerd bent tegen cyberincidenten, maar ook of dit soort fraude is gedekt.

Anders denk je misschien dat je goed verzekerd bent, terwijl juist een voor jouw bedrijf relevant risico buiten de polis valt.

Hoe sluit de verzekering aan op je bestaande polissen?

Misschien heb je al een bedrijfsaansprakelijkheidsverzekering, een beroepsaansprakelijkheidsverzekering of andere zakelijke verzekeringen.

Maar ga er niet automatisch van uit dat die ook schade door cyberincidenten dekken.

Een bedrijfsaansprakelijkheidsverzekering (AVB) richt zich doorgaans op schade aan personen of zaken van anderen. Een beroepsaansprakelijkheidsverzekering (BAV) kan dekking bieden voor financiële schade bij een klant door een beroepsfout.

Of schade door een cyberincident daaronder valt, hangt af van de voorwaarden.

Er kunnen ook gaten of overlappingen ontstaan tussen verschillende polissen.

Daarom zou ik je cyberverzekering niet los bekijken, maar samen met je verzekeringsadviseur naast je bestaande verzekeringen leggen.

En ga er niet automatisch van uit dat je ICT-leverancier alle schade vergoedt.

Kijk goed naar de afspraken over aansprakelijkheid in de overeenkomst met je leverancier. In een SLA, een service level agreement, staan bijvoorbeeld afspraken over de dienstverlening. De aansprakelijkheid en eventuele beperkingen daarvan kunnen in de overeenkomst of algemene voorwaarden zijn geregeld.

Ook dat hoort bij je afweging.

Heb jij een cyberverzekering nodig?

Of jouw bedrijf een cyberverzekering nodig heeft, blijft jouw eigen afweging.

De belangrijkste vraag is wat een ernstig cyberincident voor jouw bedrijf betekent en hoeveel van die schade je zelf kunt en wilt dragen.

Het Nationaal Cyber Security Centrum (NCSC) geeft zeven aandachtspunten mee. Vertaald naar vragen helpen ze je om dat te beoordelen:

1. Hoe groot zijn de digitale risico's voor jouw bedrijf?
2. Wat kan een cyberincident je kosten, en kun je die schade zelf dragen?
3. Welke dekking bieden je huidige verzekeringen bij een digitaal incident?
4. Ga je er niet automatisch van uit dat je bestaande verzekeringen ook schade door cyberincidenten dekken?
5. Welke verschillen zijn er tussen de cyberverzekeringen die je vergelijkt, in modules, dekking en premie?
6. Welke maximumbedragen, wachttijden en andere beperkingen gelden er?
7. Staat de premie in verhouding tot de dekking en de risico's die jouw bedrijf loopt?

Gebruik deze vragen als voorbereiding op een gesprek met je verzekeringsadviseur.

En stel jezelf daarnaast nog één vraag, los van de verzekering:

Heb je geregeld wie je belt en wie de beslissingen neemt als je bedrijf morgen door een hack stilvalt?

Een verzekering kan je helpen met schade en ondersteuning. Maar je moet nog steeds zelf voorbereid zijn op de beslissingen die dan op tafel komen.

Daarover gaat ook mijn video Gehackt? 5 moeilijke beslissingen die niemand voor je neemt.

De korte highlightvideo's per onderwerp staan in de afspeellijst op mijn YouTube-kanaal.

Liever samen kijken waar jouw bedrijf staat?

Plan een kennismaking. Een gesprek over je bedrijf, je ICT en wat je wilt bereiken. Je bepaalt zelf of er een vervolg komt.