Cyberverzekering voor het mkb: wat vragen verzekeraars en wat regel je zelf?

Wat vergoedt een cyberverzekering?

Volgens de KVK vergoedt een cyberverzekering de kosten als je slachtoffer wordt van een cyberincident. De meeste cyberverzekeringen dekken meer dan alleen bedrijfsschade. De KVK noemt onder meer:

• Aansprakelijkheid richting derden: je moet betalen voor de schade die een klant of zakenrelatie heeft door jouw cyberincident.
• De kosten van juridische hulp.
• Herstel: experts zorgen dat de schade zo snel mogelijk wordt hersteld, bijvoorbeeld zodat je website weer werkt.
• Omzetverlies, bijvoorbeeld doordat een virus je server onbruikbaar maakt of je webwinkel tijdelijk onbereikbaar is.

Je bent verzekerd tot een maximumbedrag. Wat wel en niet onder de dekking valt, verschilt per verzekeraar. Dat geldt ook voor losgeld: het Verbond van Verzekeraars schrijft dat het vergoeden van losgeld niet vanzelfsprekend is, dat niet alle cyberverzekeringen daarvoor dekking bieden en dat er, als het wel gedekt is, belangrijke voorwaarden gelden. Henk van Ee van Stichting Cyberbrein.nl adviseert op de pagina van de KVK om vooral te kijken naar wat niet onder de dekking valt.

Vervangt een cyberverzekering mijn aansprakelijkheidsverzekering?

Nee. Volgens de KVK is een cyberverzekering een aanvullende verzekering. Hij vervangt de bedrijfsaansprakelijkheidsverzekering of de beroepsaansprakelijkheidsverzekering niet. Hoe die verzekeringen op elkaar aansluiten, bespreek je met een verzekeringsadviseur. HAN-IT geeft geen verzekeringsadvies en blijft in dit artikel bij de technische kant.

Welke eisen stellen verzekeraars aan je IT?

Op de pagina van de KVK zegt Henk van Ee, voorzitter van Stichting Cyberbrein.nl, dat je een cyberverzekering niet zomaar kunt afsluiten: net als bij een brandverzekering moet je aan voorwaarden voldoen. De pagina noemt als voorbeelden van die voorwaarden:

• Antivirus-, antispyware- en firewallsoftware die automatisch wordt bijgewerkt.
• Een betrouwbaar computersysteem.
• Een wachtwoordbeleid.
• Regelmatige back-ups.

In een paper over systeemrisico’s in het cyberdomein (juni 2023) schrijft het Verbond van Verzekeraars dat de acceptatievoorwaarden voor cyberverzekeringen zijn aangescherpt. Veel verzekeraars dwingen preventie-eisen af, zoals:

• Meervoudige verificatie (MFA).
• Offline back-ups.
• Endpoint detection and response (EDR): software die verdacht gedrag op een laptop of server herkent, bijvoorbeeld het versleutelen van bestanden, en dat kan stoppen en melden.

Diverse verzekeraars beperken of sluiten dekking ook uit bij het gebruik van verouderde software of als verzekerden hun systemen niet goed bijhouden, bijvoorbeeld met software-updates en betrouwbare back-ups. Polisvoorwaarden verschillen per verzekeraar en kunnen veranderd zijn na het verschijnen van het Verbond-document van juni 2023. Vraag daarom bij je adviseur na welke eisen jouw verzekeraar stelt.

Zo loop je de technische punten na

1. Meervoudige verificatie. Controleer of MFA aanstaat voor alle accounts, te beginnen met mail en beheerders. Hoe dat werkt lees je in Meervoudige verificatie (MFA): zo zet je het op.
2. Back-ups. Zorg dat minstens één kopie offline staat of niet door onbevoegden te wijzigen is, en test of terugzetten lukt. Meer daarover staat in De 3-2-1 back-upregel voor mkb-bedrijven.
3. Beveiliging op laptops en servers. Controleer of antivirus en firewall draaien en automatisch worden bijgewerkt. Voeg EDR toe als je verzekeraar daarom vraagt.
4. Updates. Besturingssystemen en programma’s worden bijgewerkt. Zoek ook naar verouderde software, zoals een besturingssysteem dat geen updates meer krijgt, en plan in wanneer die wordt vervangen.
5. Wachtwoordbeleid. Leg vast hoe wachtwoorden worden aangemaakt en bewaard, en laat je team weten wat erin staat.
6. Vastleggen. Schrijf op wat je hebt ingesteld. De verzekeraar brengt volgens de KVK samen met jou de risico’s in kaart, en dan helpt het als je kunt laten zien hoe het erbij staat.

Waarom een verzekering de maatregelen niet vervangt

Volgens een NCSC-bericht van 14 april 2025 betalen bedrijven met een cyberverzekering gemiddeld 2,8 keer meer losgeld dan bedrijven zonder verzekering. Dat blijkt uit promotieonderzoek van Tom Meurs, specialist cybercriminaliteit bij de politie, naar meer dan 500 ransomware-incidenten bij het mkb tussen 2019 en 2023. Volgens Meurs zoeken criminelen die in een systeem zitten actief naar documenten met namen als ‘insurance’ of ‘policy’. Die informatie geeft hen een betere onderhandelingspositie.

Hetzelfde onderzoek laat zien dat bedrijven met een goed ingericht back-upsysteem 27 keer minder vaak losgeld betalen. Criminelen zoeken volgens Meurs ook bewust naar back-ups en verwijderen die. Back-ups hebben is dus niet voldoende. Ze moeten ook zo zijn ingericht dat onbevoegden in je netwerk ze niet kunnen wijzigen. Offline back-ups noemt hij de eenvoudigste oplossing, en hij zag ook cloudoplossingen voorbijkomen.

De overheid adviseert slachtoffers van ransomware om geen losgeld te betalen. Betalen geeft geen garantie dat je gegevens terugkomen en vergroot de kans op herhaalde afpersing. Het NCSC schrijft dat bedrijven vooral zelf maatregelen moeten nemen om de kans op een succesvolle aanval flink te verkleinen. Een verzekering komt daar niet voor in de plaats.

Het NCSC raadt ook aan om je cyberverzekering te controleren op de vindbaarheid voor indringers. Wat een aanvaller over je verzekering vindt, mag geen aanleiding geven om meer losgeld te vragen. Als praktische controle stelt HAN-IT voor om na te gaan waar je polis en de mail met je verzekeraar staan en wie erbij kan.

Wat vraag je aan een verzekeringsadviseur?

Of een cyberverzekering bij je past, welk maximumbedrag je kiest en bij welke verzekeraar, beslis je samen met een verzekeringsadviseur. Laat je adviseren en controleer de voorwaarden, schrijft de KVK. Voor de technische kant kun je deze vragen meenemen:

• Welke technische eisen stelt de verzekeraar, en gelden ze voor alle accounts en apparaten of voor een deel?
• Wat gebeurt er met de dekking als ik niet aan een eis voldoe, bijvoorbeeld door verouderde software?
• Wat valt niet onder de dekking, ook bij losgeld?