Cyberaanvallen worden een steeds groter risico, maar de markt voor cyberverzekeringen groeit niet mee. Tegelijk worden verzekeraars kritischer over wie ze verzekeren en onder welke voorwaarden. Een goede beveiliging is daardoor steeds vaker een voorwaarde om überhaupt verzekerd te raken. In deze blog lees je wat verzekeraars vandaag verwachten en waarom beveiliging steeds meer bepaalt of je je kunt verzekeren.

Cybercriminaliteit wordt professioneler en de schade per incident neemt toe. Je zou dus verwachten dat een cyberverzekering, die je beschermt tegen de gevolgen van bijvoorbeeld hacking, datalekken en cyberaanvallen, steeds gewilder wordt. Toch groeit die markt niet mee. Volgens het Verbond van Verzekeraars steeg het premievolume in Nederland van 101 miljoen euro in 2023 naar 111 miljoen in 2024, om in 2025 weer te dalen naar ruim 99 miljoen euro.¹ Met iets meer dan tien aanbieders blijft het in Nederland bovendien een relatief klein segment binnen de verzekeringsmarkt.

Dat betekent niet dat verzekeraars het risico lager inschatten. Integendeel: ze zijn juist kritischer geworden. Ze kijken scherper naar welke risico’s ze willen dekken en verwachten dat bedrijven zelf voldoende maatregelen nemen om incidenten te voorkomen. Daardoor begint het afsluiten van een cyberverzekering steeds minder bij de polis zelf. Eerst moet je kunnen aantonen dat je beveiliging in orde is.

Vooral de toelatingseisen zijn veranderd. Verzekeraars stellen steeds vaker concrete voorwaarden voordat ze een cyberpolis aanbieden. Denk aan meervoudige inlogbeveiliging, geteste back-ups, detectie van verdachte activiteit en een plan voor wanneer het misgaat. Kun je niet aantonen dat die maatregelen op orde zijn, dan kan dat je premie verhogen of ervoor zorgen dat je geen verzekering meer krijgt.

Het volstaat niet om maatregelen te nemen. Je moet ook kunnen aantonen dat ze werken. Een back-up heeft weinig waarde als je nooit test of je die kunt terugzetten. En een noodplan helpt pas echt als het actueel is en geoefend wordt. Daarom is het belangrijk om je beveiligingsmaatregelen niet alleen vast te leggen, maar ook te testen en goed te documenteren.

Een cyberverzekering dekt niet automatisch alle gevolgen van een incident. Boetes van toezichthouders zijn doorgaans uitgesloten, waardoor je een boete onder de privacywetgeving of de Cyberbeveiligingswet zelf betaalt. Kosten voor onderzoek, herstel en juridische bijstand na een incident zijn meestal wel gedekt. Vaak geldt dat ook voor bedrijfsschade door stilstand en voor de kosten van crisiscommunicatie en reputatieherstel. Andere zaken liggen gevoeliger: een losgeldbetaling bij ransomware is soms apart gedekt, maar wordt net zo goed uitgesloten. Het loont dus om goed te weten waar je polis begint en eindigt.

Die voorwaarden gaan niet alleen over je beveiliging, maar ook over wat je moet doen als er iets misgaat. Zo kan je polis bepalen hoe snel je een incident bij je verzekeraar moet melden. Tegelijk gelden er voor organisaties die onder de Cyberbeveiligingswet vallen wettelijke meldplichten. Ook als je zelf niet onder de wet valt, kun je de eisen alsnog meekrijgen via klanten die er wél onder vallen, want die moeten de beveiliging van hun leveranciers bewaken.

Bij een cyberincident kunnen er dus verschillende verplichtingen naast elkaar lopen, elk met hun eigen termijn. Zorg daarom dat je vooraf weet wie je wanneer moet informeren. Zo voorkom je dat een incident niet alleen schade veroorzaakt, maar ook gevolgen heeft voor je dekking.

Bronnen

1. Verbond van Verzekeraars