Verzekeraars kijken daarom verder dan alleen de vraag of u antivirus gebruikt. Zij willen begrijpen waar uw kwetsbaarheden zitten:

• afhankelijkheid van e-mail en cloudsoftware

• toegang op afstand voor medewerkers of leveranciers

• gebruik van gedeelde accounts

• opslag van klant- en personeelsgegevens

• afhankelijkheid van één cruciale applicatie of leverancier

Bij cyberrisico draait het niet alleen om hoe groot de aanval is, maar vooral om hoe afhankelijk uw bedrijf is van digitale processen

Wie een passende cyberverzekering wil aanvragen, doet er goed aan eerst in kaart te brengen welke digitale verstoring het bedrijf echt kan stilleggen. Dat geeft niet alleen inzicht in de risico’s, maar helpt ook om een scherpere offerte en passende dekking te krijgen.

Waarom MFA en back-ups doorslaggevend zijn

Bij de aanvraag van een cyberverzekering zakelijk zijn twee onderwerpen bijna altijd beslissend: MFA en back-ups. Dat is logisch. De meeste aanvallen beginnen met misbruik van inloggegevens, terwijl de grootste schade ontstaat als bestanden niet meer beschikbaar zijn. Met multi-factor-authenticatie wordt een gestolen wachtwoord op zichzelf vaak waardeloos. Goede back-ups beperken vervolgens de impact van bijvoorbeeld ransomware.

Verzekeraars vragen meestal niet alleen óf MFA aanwezig is, maar ook waar. Vooral e-mail, beheeraccounts, externe toegang en cloudbeheer zijn cruciaal. Als juist deze toegangen niet extra beveiligd zijn, kan een aanvaller eenvoudig diep in uw omgeving komen. Hetzelfde geldt voor back-ups: een back-up die permanent aan hetzelfde netwerk hangt, kan bij een aanval net zo goed worden versleuteld.

Let daarom op deze basisvoorwaarden:

• MFA op e-mail, beheerdersaccounts en externe toegang

• gescheiden of offline back-ups

• periodiek testen van herstel

• duidelijke bewaartermijnen en versiebeheer

• beperkte toegang tot back-upbeheer

Vooral het testen wordt vaak vergeten. Een back-up die nooit is teruggezet, is een aanname en geen zekerheid. Dat verschil merkt u pas op het slechtste moment: na een storing of een datalek.

De sterkste cyberpreventie is niet alleen het voorkomen van inbraak, maar ook het snel kunnen herstellen zonder paniek

Voor een MKB verzekering op cybergebied zijn MFA en back-ups daarom geen formaliteit. Ze maken vaak het verschil tussen acceptatie, een redelijke premie en de vraag of een verzekeraar het risico überhaupt wil dragen.

Welke persoonsgegevens extra dekking kunnen vragen

Niet alle data zijn voor verzekeraars hetzelfde. Een naam en e-mailadres brengen meestal een ander risico mee dan medische informatie, betaalgegevens of kopieën van identiteitsbewijzen. Daarom is het bij een cyberverzekering belangrijk om goed te benoemen welke persoonsgegevens uw bedrijf verwerkt. Hoe gevoeliger de informatie, hoe groter vaak de mogelijke schade na een datalek.

Vooral bedrijven in zorg, HR, financiële dienstverlening, e-commerce en zakelijke dienstverlening verwerken regelmatig gegevens die extra aandacht vragen. Denk aan salarisinformatie, BSN’s, bankrekeningnummers, inloggegevens of dossiers van klanten en medewerkers. Als zulke gegevens uitlekken, kunnen kosten ontstaan voor onderzoek, melding, juridische ondersteuning, crisiscommunicatie en mogelijke aansprakelijkstelling.

Persoonsgegevens die vaak als zwaarder risico worden gezien, zijn onder meer:

• medische of gezondheidsgegevens

• financiële gegevens en betaalkaartinformatie

• inloggegevens en wachtwoorddata

• gegevens van minderjarigen

• kopieën van legitimatiebewijzen of BSN-gerelateerde data

Het gaat niet alleen om de soort data, maar ook om de omvang. Een klein MKB-bedrijf met duizenden klantrecords kan voor verzekeraars een groter cyberrisico vormen dan een groter bedrijf met beperkte persoonsgegevens. Daarom wordt vaak gevraagd hoeveel personen of records betrokken kunnen zijn.

Hoe gevoeliger de persoonsgegevens, hoe belangrijker het is dat uw dekking aansluit op meldplicht, aansprakelijkheid en herstelkosten

Wie een offerte aanvraagt, doet er goed aan vooraf te inventariseren welke gegevens echt worden opgeslagen, waar dat gebeurt en wie erbij kan. Dat maakt de aanvraag voor een cyberverzekering zakelijk nauwkeuriger en voorkomt verrassingen bij schade.

Hoe een incidentverleden de acceptatie beïnvloedt

Een eerder cyberincident betekent niet automatisch dat u onverzekerbaar bent. Toch weegt het verleden zwaar mee bij de beoordeling van een cyberverzekering zakelijk. Verzekeraars willen weten wat er is gebeurd, waardoor het kon gebeuren, wat de schade was en vooral welke maatregelen daarna zijn genomen. Zonder dat laatste wordt een incident al snel gezien als een structureel risico.

Had uw bedrijf eerder te maken met phishing, ransomware, een besmette laptop of een datalek? Dan zal een verzekeraar meestal doorvragen naar kosten, uitvaltijd, betrokken systemen en eventuele meldingen aan klanten of toezichthouders. Ook wordt gekeken of de oorzaak daadwerkelijk is verholpen. Een incident dat grondig is geëvalueerd en opgevolgd, is beter uitlegbaar dan een probleem dat half is opgelost.

Een incidentverleden beïnvloedt vaak drie onderdelen van de offerte:

• of acceptatie mogelijk is

• welke premie en welk eigen risico gelden

• of extra voorwaarden of uitsluitingen worden opgenomen

Openheid is hierbij essentieel. Een onvolledige aanvraag kan later grotere problemen geven dan het incident zelf. Verzwijgen helpt dus zelden; een heldere toelichting juist wel. Beschrijf daarom concreet welke verbeteringen zijn doorgevoerd, zoals MFA, patchbeleid, segmentatie, training of betere back-ups.

Een cyberverleden is minder problematisch dan een gebrek aan aantoonbare verbetermaatregelen

Voor ondernemers is dit een belangrijk inzicht: verzekeraars beoordelen niet alleen de schade van gisteren, maar vooral de weerbaarheid van morgen. Een goede voorbereiding maakt uw aanvraag sterker en vergroot de kans op een passende MKB verzekering tegen cyberrisico’s.

Interne of externe IT maakt verschil

Bij een offerte voor een cyberverzekering vragen verzekeraars vaak hoe uw IT-beheer is georganiseerd: intern, extern of een combinatie. Dat is geen detail. De manier waarop systemen worden beheerd zegt veel over verantwoordelijkheden, reactietijd, kennisniveau en de kans dat updates of beveiligingsmaatregelen blijven liggen.

Een interne IT-afdeling biedt vaak korte lijnen en kennis van de eigen omgeving. Tegelijk kan er kwetsbaarheid ontstaan als veel kennis bij één persoon ligt of documentatie ontbreekt. Externe IT-partijen brengen vaak structuur, monitoring en gespecialiseerde kennis mee, maar verzekeraars willen dan wel weten hoe afspraken zijn vastgelegd. Denk aan patchbeheer, toegangsbeheer, back-upcontrole en incidentrespons.

Belangrijke vragen zijn meestal:

• wie beheert gebruikersrechten en beheeraccounts?

• wie installeert updates en hoe snel gebeurt dat?

• wie monitort op verdachte activiteiten?

• is er een contract of SLA met de externe partij?

• hoe is noodhulp buiten kantooruren geregeld?

Voor het MKB is een hybride model vaak realistisch: intern eigenaarschap met externe specialistische ondersteuning. Dat kan prima werken, zolang rollen duidelijk zijn. Onduidelijkheid is juist riskant. Als niemand weet wie verantwoordelijk is voor patches of voor het uitschakelen van oud personeel, vergroot dat direct het cyberrisico.

Niet de keuze intern of extern is doorslaggevend, maar of beveiliging, beheer en verantwoordelijkheid aantoonbaar geregeld zijn

Bij een cyberverzekering zakelijk draait acceptatie dus niet alleen om techniek, maar ook om governance. Hoe beter u kunt uitleggen wie wat doet, hoe sterker uw aanvraag staat en hoe beter de verzekeraar uw werkelijke risico kan inschatten.

Wat verzekeraars vragen over uw cloudomgeving

Steeds meer bedrijfsprocessen draaien in de cloud: e-mail, boekhouding, CRM, documentopslag en samenwerkingstools. Dit zorgt voor flexibeler werken, maar betekent niet automatisch dat de beveiliging volledig door de leverancier is geregeld. Daarom stellen verzekeraars bij een cyberverzekering zakelijk gerichte vragen over uw cloudomgeving.

De kernvraag is meestal welke systemen bedrijfskritisch zijn. Als uw planning, klantcommunicatie of administratie volledig in één platform zit, kan een storing of accountovername direct leiden tot omzetverlies. Verzekeraars willen daarnaast weten hoe de toegang is geregeld, of MFA actief is, of beheerdersaccounts goed zijn afgeschermd en of gegevens buiten het platform nog apart worden veiliggesteld.

In de praktijk letten verzekeraars vaak op deze punten:

• welke cloudapplicaties cruciaal zijn voor de bedrijfsvoering

• of gegevens automatisch worden gesynchroniseerd en overschreven

• hoe beheerrechten zijn verdeeld

• of oude accounts tijdig worden verwijderd

• of er aanvullende back-ups buiten de standaard cloudomgeving bestaan

Een veelgemaakte aanname is dat een cloudleverancier altijd voldoende back-up en herstel biedt. Maar standaardretentie of prullenbakfuncties zijn niet hetzelfde als een eigen herstelstrategie. Bij een foutieve verwijdering, accountkaping of grootschalige synchronisatiefout kan dat verschil groot zijn.

Cloud verlaagt niet vanzelf het risico; het verplaatst een deel van de verantwoordelijkheid naar inrichting, toegangsbeheer en herstelbaarheid.

Wie een offerte voor een cyberverzekering aanvraagt, moet zijn cloudgebruik dus helder kunnen uitleggen. Dat helpt verzekeraars om het risico correct te beoordelen en u om te bepalen of de dekking past bij de digitale afhankelijkheid van uw onderneming.