Wat is een cyberverzekering?
Een cyberverzekering is een verzekering die een organisatie financieel beschermt tegen de gevolgen van cyberincidenten, zoals herstelkosten, bedrijfsonderbreking, aansprakelijkheid tegenover derden en de inzet van specialisten na een datalek of ransomware-aanval. De polis vergoedt schade die ontstaat ondanks beveiliging; ze voorkomt geen enkele aanval. Voor industriële bedrijven is vooral de dekking van stilstand interessant, want een dag zonder productie kost vaak meer dan het hele herstel van de IT.
Een cyberverzekering vervangt geen beveiligingsmaatregelen, maar vormt een vangnet als incidenten tóch plaatsvinden.
🧠 Waarom sluit u een cyberverzekering af?
Een cyberincident raakt een organisatie in de portemonnee op meerdere plekken tegelijk. Een gewone brand- of aansprakelijkheidsverzekering dekt die schade meestal niet, of alleen onduidelijk. Een cyberpolis bundelt de dekking en geeft direct toegang tot een netwerk van hulpverleners.
| Reden | Toelichting |
|---|---|
| Financiële dekking | Herstelkosten, forensisch onderzoek, claims van derden en omzetverlies |
| Directe hulp | Een 24/7-meldlijn met incident response, juristen en crisiscommunicatie |
| Juridische ondersteuning | Advies bij datalekken, AVG-meldingen en procedures |
| Reputatieschade beperken | Dekking voor crisiscommunicatie en PR |
| Eisen van ketenpartners | Klanten en opdrachtgevers vragen in contracten soms om een cyberpolis |
| Onderdeel van Risicomanagement | Restrisico overdragen na technische en organisatorische maatregelen |
Een verzekering is daarmee een vorm van risico-overdracht: één van de vier klassieke strategieën naast vermijden, verminderen en accepteren. Toezichthouders eisen in Nederland geen cyberverzekering; NIS2 en de Cyberbeveiligingswet verplichten tot maatregelen, niet tot een polis.
📋 Wat wordt meestal gedekt?
Polissen bestaan doorgaans uit twee delen: eigen schade (first party) en aansprakelijkheid (third party).
| Categorie | Soort | Voorbeelden van dekking |
|---|---|---|
| Incident response en herstel | Eigen schade | Forensisch onderzoek, systeemherstel, gegevensherstel |
| Bedrijfsschade | Eigen schade | Omzet- of productieverlies door systeemuitval, na een wachttijd |
| Cyberafpersing | Eigen schade | Onderhandeling en soms losgeld, binnen limieten en voorwaarden |
| Juridische kosten | Eigen schade | Advocaten, meldingen aan betrokkenen en de toezichthouder |
| Claims door derden | Aansprakelijkheid | Claims van klanten of partners na een datalek of doorgegeven malware |
| Communicatiekosten | Eigen schade | Crisiscommunicatie, persvoorlichting, callcenter |
| Boetes | Aansprakelijkheid | Alleen voor zover wettelijk verzekerbaar; vaak uitgesloten |
Let op: de dekking verschilt sterk per verzekeraar. Exacte voorwaarden, limieten en de wachttijd voordat bedrijfsschade meetelt (vaak enkele uren) bepalen wat u werkelijk vergoed krijgt.
Over losgeld bestaat in Nederland al jaren discussie. In april 2020 riep minister Grapperhaus van Justitie en Veiligheid verzekeraars op losgeld niet meer te vergoeden, maar de schade van slachtoffers die weigeren te betalen wel. Het Verbond van Verzekeraars reageerde terughoudend. In 2021 liet het ministerie een verbod op het vergoeden van losgeld onderzoeken; het Verbond waarschuwde dat zo’n verbod weinig zou opleveren, omdat verzekeraars juist eerst andere oplossingen zoeken. Een verbod is er niet gekomen. Sommige polissen dekken losgeld daarom nog steeds, andere niet. Betaling aan partijen op een sanctielijst is in alle gevallen verboden.
❌ Wat valt vaak niet onder de dekking?
- Opzet en grove nalatigheid - bijvoorbeeld bewust uitgeschakelde beveiliging
- Bekende, niet-gepatchte kwetsbaarheden - sommige polissen beperken de dekking als een kritieke patch lang niet is doorgevoerd
- Oorlog en statelijke aanvallen - zie de oorlogsuitsluiting hieronder
- Fysieke schade en letsel - vaak uitgesloten in cyberpolissen en tegelijk uitgesloten in brandpolissen
- Infrastructuuruitval - storingen bij stroom, internet of telecomproviders
- Verbetering na herstel - een beter systeem dan voorheen betaalt u zelf
- Reputatieverlies zonder direct financieel gevolg
⚔️ Waarom is de oorlogsuitsluiting zo belangrijk?
NotPetya (2017) maakte de oorlogsuitsluiting tot het belangrijkste twistpunt van de markt. Mondelez en Merck claimden hun schade, maar verzekeraars beriepen zich op de uitsluiting voor oorlogshandelingen omdat de aanval aan de Russische staat werd toegeschreven. Mondelez en Zurich schikten in oktober 2022. In de zaak van Merck, met een claim van circa 1,4 miljard dollar, oordeelde een rechter in New Jersey in 2022 dat de klassieke oorlogsuitsluiting niet gold. Het hof bevestigde dat in 2023, omdat de uitsluiting militaire actie veronderstelt. Partijen schikten begin januari 2024, vlak voordat het hoogste gerechtshof van de staat de zaak zou behandelen.
De markt reageerde met nieuwe clausules. Lloyd’s of London verplicht sinds 31 maart 2023 dat elke losse cyberpolis een uitsluiting bevat voor statelijke cyberaanvallen die een staat ernstig ontwrichten, op basis van modelclausules van de Lloyd’s Market Association. Lees daarom altijd hoe uw polis een aanval toeschrijft en wie bewijst dat een staat erachter zat.
🏭 Hoe werkt een cyberverzekering in een OT-omgeving?
Cyberverzekeringen zijn ontworpen voor IT-risico’s, terwijl in OT de grootste schade uit stilstand en fysieke gevolgen komt. Dat geeft een paar typische aandachtspunten.
| OT-risico | Mogelijke schade / claim | Dekkingsvraag |
|---|---|---|
| Stilstand van processen (SCADA/PLC) | Productieverlies, leveringsboetes, claims van klanten | Valt OT onder “computersysteem” in de polis? |
| Ransomware in kantoor-IT met preventieve OT-stop | Productieverlies zonder geraakte besturing | Telt een voorzorgsstop als bedrijfsonderbreking? |
| Datalek via edge- of toegang op afstand | AVG-claims, reputatieschade, aansprakelijkheid | Meestal gedekt onder privacy-aansprakelijkheid |
| Gemanipuleerde besturing | Machineschade, milieuschade, letsel | Vaak uitgesloten; check de brandpolis |
| Uitval van water of energie | Publieke en juridische gevolgen voor nutsbedrijven | Aansprakelijkheid jegens afnemers beperkt |
Bij de aanval op Jaguar Land Rover in 2025 lag de productie ongeveer vijf weken stil, terwijl er geen openbaar bewijs is dat de besturing zelf werd geraakt. Volgens Reuters onderhandelde JLR op dat moment nog via makelaar Lockton over een cyberpolis, die niet was afgerond, en leek het bedrijf voor deze aanval niet direct verzekerd. De Britse overheid stelde daarop een garantie voor een lening van 1,5 miljard pond beschikbaar. Het voorbeeld laat zien waarom de vraag “dekt mijn polis een voorzorgsstop van de fabriek?” essentieel is.
Daarnaast bestaat silent cyber: cyberrisico’s die een brand- of machinebreukpolis niet expliciet in- of uitsluit. Lloyd’s eist sinds 2020 dat polissen dit duidelijk regelen, en in de energie- en scheepvaartsector is de cyberuitsluiting CL380 al sinds 2003 gangbaar. Fysieke schade door een cyberaanval op OT kan daardoor tussen twee polissen in vallen.
🔐 Welke beveiligingseisen stellen verzekeraars?
Na de ransomwaregolf van 2020–2021 stegen premies sterk en werden de acceptatie-eisen strenger. Verzekeraars vragen nu via een uitgebreide vragenlijst naar de volwassenheid van uw beveiliging. Veelgevraagde maatregelen:
- MFA op e-mail, toegang op afstand en beheeraccounts
- Offline of onveranderbare back-ups die regelmatig worden teruggezet als test
- EDR op werkplekken en servers
- Patchmanagement met een vaste termijn voor kritieke kwetsbaarheden
- PAM voor beheerdersrechten
- Netwerksegmentatie tussen IT en OT, bij voorkeur volgens IEC 62443
- Een getest Incident Response Plan en bewustwordingstraining
Security by Design en aantoonbare naleving van BIO of IEC 62443 verbeteren uw positie bij de acceptatie, al bepaalt elke verzekeraar zelf of dat tot een lagere premie leidt.
✅ Hoe sluit u een cyberverzekering verstandig af?
- Breng uw risico in kaart - voer een risicoanalyse en een Business Impact Analysis uit en bepaal wat een dag stilstand kost.
- Kies verzekerde bedragen - stem limiet, eigen risico en wachttijd af op de uitkomst, niet op de premie.
- Lees de definities - controleer of OT, cloud en leveranciers onder “computersysteem” vallen.
- Ken de meldplicht van de polis - meld incidenten direct, los van de meldplicht onder de Cyberbeveiligingswet of de AVG.
- Werk met het panel - gebruik de incident response-partijen van de verzekeraar of laat eigen partijen vooraf goedkeuren.
- Oefen - neem de verzekeraar mee in een tabletop-oefening en in uw crisiscommunicatieplan.
- Borg het in Governance - leg vast wie claimt, wie coördineert en hoe het past in continuïteitsbeheer en het beveiligingsbeleid.
📊 Hoe groot is de markt voor cyberverzekeringen?
| Kenmerk | Stand |
|---|---|
| Wereldwijde premie 2024 | Circa 15,3 miljard dollar, minder dan 1% van alle schadepremie |
| Aandeel Noord-Amerika | Circa 69% (ongeveer 10,6 miljard dollar) |
| Aandeel Europa | Circa 21% (ongeveer 3,3 miljard dollar) |
| Verwachting 2025 | Circa 16,3 miljard dollar |
| Verwachting 2030 | Meer dan een verdubbeling, met gemiddeld ruim 10% groei per jaar |
| Grootste schadeoorzaak | Ransomware |
Grote ondernemingen betalen het grootste deel van de premie. Veel mkb-bedrijven zijn niet of onderverzekerd, terwijl juist zij vaak geen buffer hebben om weken stilstand op te vangen.
❓ Veelgestelde vragen
Is een cyberverzekering verplicht?
Een cyberverzekering is in Nederland niet wettelijk verplicht, ook niet onder NIS2 of de Cyberbeveiligingswet. Wel kunnen klanten, opdrachtgevers of financiers in contracten een cyberpolis eisen. De wet verplicht tot beveiligingsmaatregelen en meldingen, niet tot verzekeren.
Vergoedt een cyberverzekering losgeld bij ransomware?
Sommige cyberverzekeringen vergoeden losgeld binnen vooraf afgesproken limieten, andere sluiten het uit. Betalen aan partijen op een sanctielijst is altijd verboden. Ook als losgeld gedekt is, blijft herstel uit eigen back-ups de voorkeur.
Dekt een cyberverzekering ook schade aan OT en productie?
Een cyberverzekering dekt productieverlies door systeemuitval vaak wel, maar fysieke schade aan machines en letsel meestal niet. Controleer of OT onder de definitie van “computersysteem” valt en of een voorzorgsstop als bedrijfsonderbreking telt. Stem de cyberpolis af op uw brand- en machinebreukpolis.
Wat kost een cyberverzekering?
De premie van een cyberverzekering hangt af van omzet, sector, verzekerd bedrag en de volwassenheid van uw beveiliging. Organisaties zonder MFA, offline back-ups of EDR krijgen vaak een hogere premie of worden geweigerd. Vraag offertes op via een gespecialiseerde makelaar en vergelijk vooral de voorwaarden.
Keert een cyberverzekering uit bij een statelijke aanval?
Veel cyberverzekeringen sluiten statelijke cyberaanvallen uit, zeker sinds Lloyd’s dat in 2023 verplichtte voor losse cyberpolissen. Na NotPetya werd de klassieke oorlogsuitsluiting door een Amerikaanse rechter te smal bevonden. Lees daarom hoe uw polis een aanval aan een staat toeschrijft.
Kan een cyberverzekering beveiliging vervangen?
Een cyberverzekering vervangt geen beveiliging, omdat verzekeraars juist basismaatregelen eisen voordat ze dekking geven. Bovendien vergoedt een polis geld, maar geen verloren klantvertrouwen, data of tijd. Zie de verzekering als laatste laag na preventie, detectie en herstel.
📌 Samengevat
Een cyberverzekering is geen vervanging voor beveiliging, maar een strategisch vangnet voor het restrisico. Kies de dekking op basis van wat stilstand u kost, lees de uitsluitingen voor oorlog, fysieke schade en OT kritisch, en borg de polis in uw governance, incidentrespons en continuïteitsbeheer.