Een cyberverzekering staat bij steeds meer MKB-bedrijven op de lijst van dingen om te regelen, vaak pas nadat een branchegenoot of leverancier een keer is getroffen door ransomware of een datalek. Zinvol, maar alleen als helder is wat er wel en niet onder de dekking valt. Een verzekering vangt financiële schade op nadat iets is misgegaan, ze voorkomt het incident zelf niet. Toch kan een goede polis wel het verschil maken tussen een vervelende week en een existentiële klap voor een klein bedrijf.
Wat doorgaans wel gedekt is
De meeste polissen dekken in grote lijnen drie soorten schade. Allereerst bedrijfsonderbreking: het omzetverlies en de extra kosten die ontstaan als systemen tijdelijk niet gebruikt kunnen worden, bijvoorbeeld tijdens een ransomware-aanval. Daarnaast de kosten van de directe incidentrespons, zoals forensisch onderzoek naar wat er is gebeurd, juridisch advies, communicatie naar klanten en het herstellen van systemen en data. Ten slotte aansprakelijkheid richting derden, bijvoorbeeld wanneer een datalek bij het eigen bedrijf ook klanten of partners schade berokkent en die een claim indienen. Welke onderdelen precies zijn meeverzekerd en tot welk bedrag, verschilt sterk per polis en per verzekeraar.
Wat vaak niet of beperkt wordt gedekt
Reputatieschade, zoals klanten die wegblijven na negatieve publiciteit over een incident, is lastig in geld uit te drukken en valt daarom doorgaans buiten de dekking of slechts zeer beperkt erin. Een betaling van losgeld bij ransomware wordt door sommige verzekeraars wel vergoed en door andere juist bewust uitgesloten, en vaak gelden daarbij strikte voorwaarden, zoals voorafgaand overleg met de verzekeraar voordat er betaald wordt. Ook boetes van een toezichthouder, bijvoorbeeld bij een datalek dat niet op tijd gemeld is, zijn in veel polissen uitgesloten of maar beperkt verzekerbaar. Lees de polisvoorwaarden dus goed door op precies deze punten, in plaats van te varen op wat een cyberverzekering in algemene zin lijkt te beloven.
Eisen vooraf, geen vervanging voor basismaatregelen
Verzekeraars stellen tegenwoordig vaak concrete eisen voordat ze dekking bieden, zoals multifactorauthenticatie op belangrijke systemen, regelmatige en geteste back-ups, en een actueel patchbeleid. Ontbreken die basismaatregelen, dan kan dat leiden tot een hogere premie, een beperktere dekking, of in het ergste geval een afgewezen claim als achteraf blijkt dat een elementaire maatregel ontbrak. Een cyberverzekering is daarom geen vervanging voor goede beveiliging, maar een aanvulling erop die de financiële klap opvangt als het toch misgaat. Bedrijven die eerst de basis op orde brengen, komen ook vaak gunstiger uit bij het afsluiten van de polis zelf. Vraag bij het vergelijken van polissen dan ook niet alleen naar de premie, maar vooral naar de precieze voorwaarden en uitsluitingen.
Wat betekent dit voor jouw bedrijf?
Vraag bij het afsluiten of verlengen van een polis expliciet na welke eisen de verzekeraar stelt aan MFA, back-ups en patchbeleid, en zorg dat die eisen al op orde zijn voordat je ze moet kunnen aantonen bij een claim. Zie de polis als aanvulling op basismaatregelen, niet als vervanging ervoor.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.