“Ga ervan uit dat je ooit de sjaak bent.” Met die waarschuwing sprak cybersecurityexpert Arjan Benschop van HOB ICT Security deze week ondernemers toe bij De Ondernemer. Hij wees op Odido, waar in februari gegevens van zo’n 6,2 miljoen accounts werden buitgemaakt, en op Ahold Delhaize, het moederbedrijf van Albert Heijn, dat afgelopen zondag werd getroffen. Als het bij zulke bedrijven misgaat, is de vraag voor een mkb-bedrijf niet of het kan gebeuren, maar hoe erg het dan is. Een cyberverzekering is een van de antwoorden. Alleen is het een product waar veel ondernemers te veel van verwachten, en dat in één geval zelfs tegen je kan werken.
Ben je niet al verzekerd?
Veel ondernemers gaan ervan uit dat een hack onder hun bestaande polissen valt. Hun aansprakelijkheidsverzekering, hun elektronicaverzekering, of de brandverzekering voor het pand. Het Verbond van Verzekeraars noemt dat een stille cyberdekking, en zegt er zonder omwegen bij dat die er meestal niet is. Een gegijzelde server, een datalek met klantgegevens of een week stilstand na een aanval vallen doorgaans buiten de gewone bedrijfspolissen. Wie wil weten wat hij heeft, leest de voorwaarden van zijn huidige polissen na op uitsluitingen voor cyber of digitale schade, of vraagt het zijn tussenpersoon schriftelijk.
Wat een cyberverzekering doorgaans dekt
Volgens het Verbond bestaat een volledig cyberpakket uit vier onderdelen. In de tabel staat per onderdeel wat het in de praktijk inhoudt en waar je bij het vergelijken op let.
| Onderdeel | Wat het inhoudt | Waar je op let |
|---|---|---|
| Preventie en advies | hulp bij het in kaart brengen van je risico’s en het nemen van maatregelen | of er een scan of advies bij zit, en of je daar zelf iets mee moet doen voor de dekking |
| Hulp bij een incident | juridische, forensische, technische en communicatieve bijstand als het misgaat | of er een hulplijn is die ook buiten kantoortijd opneemt, en hoe snel er iemand komt |
| Herstel | vervanging van computers, systemen en software en het terughalen van data | of herstel van data en systemen ook geldt als de oorzaak een menselijke fout is |
| Financiële schade | vergoeding van geleden verlies, zoals omzet die je mist door stilstand | de wachttijd voordat bedrijfsschade wordt vergoed, en de maximale termijn |
Losgeld is een apart verhaal. Lang niet elke polis vergoedt het, en waar het wel kan, geldt het als laatste redmiddel. Advocaat Nynke Brouwer, gespecialiseerd in cyberverzekeringen, legt in een interview met het Verbond uit dat verzekeraars het losgeld niet zelf betalen. Ze vergoeden achteraf wat de verzekerde heeft betaald.
De verzekering die je losgeld duurder maakt
Dan het punt dat in geen enkele brochure staat. Onderzoek van politiespecialist Tom Meurs naar meer dan 500 ransomwarezaken uit 2019 tot en met 2023, gepubliceerd door het NCSC, liet zien dat verzekerde bedrijven gemiddeld 2,8 keer zoveel losgeld betaalden als onverzekerde. De verklaring is even simpel als vervelend. Criminelen die eenmaal binnen zijn, zoeken in je systemen gericht naar documenten met namen als polis of verzekering. Weten ze wat je verzekerd bedrag is, dan weten ze ook hoe hoog ze kunnen gaan.
Uit hetzelfde onderzoek komt een cijfer dat nog belangrijker is. Bedrijven met goed ingerichte back-ups betaalden 27 keer minder losgeld. Daar zit dus de echte bescherming, en de verzekering komt daarna. In de praktijk betekent het twee dingen. Bewaar je polis en correspondentie met de verzekeraar niet op je gewone netwerk of in je gedeelde mailbox, maar op een plek die los staat van je bedrijfssystemen. En zorg dat je back-up ook offline of afgeschermd bestaat, zodat een aanvaller hem niet meeneemt.
Wat verzekeraars van jou verwachten
Een cyberverzekering is geen vrijbrief. Verzekeraars vragen bij het afsluiten naar je beveiliging en toetsen dat na een schade opnieuw. De maatregelen die daarbij terugkomen, zijn dezelfde die het NCSC adviseert.
- Meerstapsverificatie op alle accounts, ook op beheerdersaccounts en oude accounts van vertrokken medewerkers.
- Een back-up die los staat van je netwerk, en die je ook echt eens hebt teruggezet.
- Updates die je op tijd installeert, op computers, telefoons en ook op apparaten als de printer op kantoor.
- Medewerkers die weten hoe phishing eruitziet en wie ze moeten bellen.
Leg vast dat je dit doet. Een screenshot van je instellingen of een notitie van een geslaagde hersteltest is na een incident precies het bewijs dat een schade-expert wil zien. Wie zijn basis nog moet opbouwen, kan kijken naar de subsidie voor cyberweerbaarheid.
Heb je hem nodig?
Dat hangt af van één vraag. Hoe lang kun je zonder je systemen, en wat kost je dat per dag? Een zzp’er die zijn werk in de cloud doet en met een tweede laptop morgen verder kan, heeft vooral baat bij een goede back-up en meerstapsverificatie. Een webwinkel, een groothandel of een zorgpraktijk die bij stilstand direct omzet verliest of gevoelige klantgegevens beheert, komt veel sneller uit bij een polis. Daar is vooral de hulp bij een incident waardevol, het team dat binnen een paar uur meekijkt, want zelf een forensisch bureau zoeken op een zondagavond is geen pretje. Hoe je de zaak intussen draaiende houdt, lees je in ons stuk over wat je doet als je systemen plat liggen.
Er speelt nog iets mee. Sinds dit jaar geldt de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Volgens Benschop vallen ongeveer 8.000 organisaties eronder. De meeste mkb-bedrijven niet, maar grotere klanten moeten wel nagaan hoe hun leveranciers hun beveiliging regelen. Lever je aan zo’n bedrijf, dan kan de vraag naar je cyberbeveiliging, en soms naar je verzekering, vanuit je klant komen.
Het Verbond meldt dat het premievolume van cyberverzekeringen in 2025 daalde naar ruim 99 miljoen euro, van 111 miljoen in 2024. De markt groeit dus niet meer, terwijl het aantal incidenten wel toeneemt. Mijn conclusie is dat een cyberverzekering voor veel mkb-bedrijven verstandig is, maar als sluitstuk. Wie eerst zijn back-up, accounts en updates op orde heeft, betaalt minder premie, maakt meer kans op uitkering en hoeft hopelijk nooit te bellen.