Alles over de cyber­verzekering

Een hack, een datalek, gijzelsoftware, een DDoS-aanval, factuurfraude via een gekaapte mailbox en fouten van medewerkers, zoals klikken op een verkeerde link. De polis dekt zowel de directe hulp als de financiële gevolgen daarvan, met per onderdeel eigen voorwaarden en maxima.

De eerste hulp. Bij een incident telt elk uur: een 24/7-team dat de aanval stopt, onderzoekt wat er is geraakt en de melding bij de toezichthouder begeleidt, voorkomt vaak meer schade dan de uitkering achteraf vergoedt. Vergelijk daarom vooral de kwaliteit van de incident-responsdienst.

Soms, en met voorwaarden. Bedrijfsstilstand door een cyberincident is bij veel polissen gedekt, maar pas na een wachttijd van vaak acht of twaalf uur en tot een maximale uitkeringsduur. Controleer of deze dekking standaard in de polis zit of als uitbreiding moet worden bijgekocht.

Omdat verzekeraars tijdig patchen als voorwaarde stellen. Een bekende kwetsbaarheid die maandenlang openstaat, is de meest voorkomende toegangsweg voor aanvallers. Voldoet u op het moment van het incident niet aan de beveiligingseisen uit de polisvoorwaarden, dan kan de verzekeraar de uitkering weigeren.

Een team van IT-forensisch specialisten, juristen en communicatieadviseurs dat u via het alarmnummer van de verzekeraar bereikt. Zij stellen vast wat er is gebeurd, sluiten het lek, bepalen welke gegevens zijn geraakt en begeleiden de melding bij de toezichthouder, doorgaans binnen uren na uw melding.

Omdat de meldplicht datalekken vanaf ontdekking loopt en aanvallers in die tijd vaak nog toegang hebben. Hoe sneller het lek dicht is en duidelijk is welke gegevens zijn geraakt, hoe kleiner de schade en hoe beter u tijdig en onderbouwd kunt melden bij de Autoriteit Persoonsgegevens.

De periode direct na het incident waarin het omzetverlies voor eigen rekening blijft, vaak acht of twaalf uur. Pas daarna keert de polis uit, tot een maximale uitkeringsduur. Een korte wachttijd is vooral belangrijk voor bedrijven die volledig van hun systemen afhankelijk zijn, zoals webshops.

Ja, doorgaans wel. Het herstellen van systemen en data, het opnieuw inrichten van netwerk en werkplekken en de inzet van externe IT-specialisten vallen onder eigen schade. Voorwaarde is vaak dat u werkende back-ups heeft; zonder back-up is herstel soms niet mogelijk en de dekking beperkt.

Ja. Lekken persoonsgegevens van klanten, patiënten of leveranciers, dan kunnen zij schade claimen. De aansprakelijkheidsdekking vergoedt die claims en de kosten van verweer, en vaak ook de kosten om betrokkenen te informeren en kredietbewaking aan te bieden.

De kosten van juridische bijstand in de procedure bij de toezichthouder en de civiele claims van betrokkenen. De boete zelf wordt naar Nederlands recht doorgaans niet verzekerbaar geacht. Lees de polisbepaling zelf voordat u vertrouwt op een brochuretekst over dekking van AVG-boetes.

Nee. Melden bij de Autoriteit Persoonsgegevens hoeft niet als het lek waarschijnlijk geen risico oplevert voor de betrokkenen. Wel moet u elk datalek vastleggen in uw eigen register, ook de lekken die u niet hoefde te melden; de toezichthouder kan daarnaar vragen.

Bij ontdekking van het datalek, niet op het moment van het incident zelf. De termijn loopt door in het weekend en op feestdagen. Meldt u later dan 72 uur, dan moet u die vertraging motiveren. Bij een hoog risico informeert u ook de betrokkenen zelf.

Meervoudige authenticatie (MFA) vraagt naast een wachtwoord een tweede bevestiging, bijvoorbeeld via een app of code. Vrijwel alle verzekeraars eisen dit op externe toegang en e-mail, omdat gestolen wachtwoorden zonder MFA direct toegang geven. Zonder MFA wordt een aanvraag vaak geweigerd.

De vragenlijst bij de aanvraag valt onder de mededelingsplicht van artikel 7:928 BW. Geeft u onjuiste antwoorden, bijvoorbeeld over back-ups of MFA, dan kan de verzekeraar bij een incident de uitkering verlagen of weigeren. Beantwoord de vragen daarom naar waarheid en pas de beveiliging zo nodig eerst aan.

Doorgaans niet. De bedrijfsaansprakelijkheidsverzekering sluit zuivere vermögensschade en schade door gegevensverlies meestal uit. Ook een beroepsaansprakelijkheidsverzekering helpt niet: die dekt fouten in uw dienstverlening, geen aanval van buitenaf. Voor claims na een datalek is de cyberpolis nodig.

Nee. De cyberverzekering dekt digitale incidenten zonder materiële schade. Brand, water of inbraak in de serverruimte vallen onder de inventaris- en bedrijfsschadeverzekering. Beide polissen vullen elkaar aan: de een dekt fysieke oorzaken, de ander digitale, elk met een eigen wachttijd.

Breng uw beveiliging op orde: MFA, geteste back-ups buiten het netwerk, actueel patchbeleid en bewustwordingstraining voor medewerkers. Verzekeraars belonen dat met een lagere premie of ruimere acceptatie. Een hoger eigen risico helpt ook, maar bezuinig niet op de incident-responsdienst.

Medische en financiële gegevens zijn gevoeliger dan alleen namen en e-mailadressen. Lekken ze, dan is het risico voor betrokkenen groter en zijn claims en meldingen omvangrijker. Een huisarts of accountant betaalt daarom doorgaans meer dan een timmerbedrijf met dezelfde omzet.

Liever niet, en wis zeker niets. Sporen op de systemen zijn nodig voor het forensisch onderzoek dat vaststelt hoe de aanvaller binnenkwam en welke gegevens zijn geraakt. Koppel getroffen apparaten eventueel los van het netwerk, maar overleg eerst met het alarmnummer van de verzekeraar.

Ja. Bel bij een vermoeden direct het alarmnummer, ook buiten kantoortijden en ook als nog onduidelijk is wat er aan de hand is. Vroeg melden kost niets en voorkomt dat een klein incident uitgroeit. Meld daarna formeel bij de verzekeraar en houd de 72-uurstermijn in de gaten.

Bedrijven met gevoelige persoonsgegevens of volledige afhankelijkheid van IT: huisartsen, tandartsen, accountants, makelaars, webshops en IT-bedrijven. Bij hen is de kans op een aanval niet groter, maar zijn de gevolgen van een datalek of uitval zwaarder. Op de branchepagina’s leest u wat dat betekent.

Vaak wel. Een restaurant of hotel verwerkt reserveringen, betaalgegevens en personeelsgegevens en draait op kassa- en boekingssystemen. Valt dat uit door gijzelsoftware, dan staat de zaak stil. De premie is voor kleinere bedrijven doorgaans overzichtelijk; de incident-responsdienst maakt het verschil.