Cyberverzekering afgewezen of te duur? Deze onderwerpen kunnen verzekeraars uitvragen
Er bestaat geen vaste, landelijke lijst met acceptatie-eisen voor cyberverzekeringen. Elke verzekeraar bepaalt zelf welke vragen hij stelt en welke voorwaarden hij koppelt aan een polis, en dat verschilt per polis en per risicoprofiel. In vragenlijsten komen wel vaak dezelfde onderwerpen terug, zoals meervoudige verificatie (MFA), back-ups, updates, beveiliging van apparaten, beheerdersrechten en bewustwording. Jouw eigen polisvoorwaarden en de vragenlijst van jouw verzekeraar zijn altijd leidend.
Dit artikel hoort bij het thema Cybersecurity in het MKB, onderdeel van ICT-beveiliging voor het MKB.
Waarom verzekeraars kritischer kijken
Schade door ransomware en e-mailfraude heeft de cybermarkt veranderd. Veel verzekeraars vragen daarom bij acceptatie of verlenging niet alleen naar omzet en sector, maar ook naar concrete beveiligingsmaatregelen. Hoe zwaar een antwoord weegt en wat de gevolgen zijn, verschilt per verzekeraar.
Drie dingen die je goed moet onderscheiden
| Vraag | Wat het is | Wie bepaalt het |
|---|---|---|
| Wat kan een verzekeraar vragen? | Vragen in de aanvraag- of verlengingsvragenlijst en eventuele voorwaarden in de polis. | De verzekeraar, per polis en risicoprofiel. |
| Wat betekent dit praktisch? | Welke instellingen, afspraken en documenten nodig zijn om eerlijk en onderbouwd te kunnen antwoorden. | Jij, samen met je IT-partner. |
| Wat beveelt ICTklaar aan? | Een basisniveau gebaseerd op algemeen erkende best practices. | ICTklaar, als eigen richtlijn — geen verzekeringseis. |
Onderwerpen die vaak in vragenlijsten terugkomen
Onderstaande onderwerpen zien we regelmatig terug in vragenlijsten. Dit is een indicatief overzicht, geen opsomming van eisen van een specifieke verzekeraar.
- Meervoudige verificatie (MFA) op e-mail, externe toegang en beheeraccounts.
- Back-ups: hoe vaak, waar ze staan, of ze los van het netwerk staan en of herstel is getest.
- Bijwerken van systemen en het gebruik van verouderde software die geen updates meer krijgt.
- Beveiliging van werkplekken en servers, zoals virusscanner of EDR (software die verdachte activiteit op apparaten detecteert en blokkeert).
- Beheerdersrechten: wie ze heeft en of daarvoor aparte accounts worden gebruikt.
- Bewustwording van medewerkers rond phishing en betaalfraude.
- Eerdere incidenten en of er een plan is voor als het misgaat.
Erkende best-practicebronnen (geen verzekeringseisen)
De volgende bronnen beschrijven algemeen erkende basismaatregelen. Ze zijn nuttig als referentie, maar het zijn geen eisen van verzekeraars en ze vervangen je polisvoorwaarden niet.
- NCSC (Nationaal Cyber Security Centrum): basismaatregelen en handreikingen voor organisaties, onder meer over MFA, back-ups en updates.
- CIS Controls v8, safeguards 6.3–6.5: MFA voor extern bereikbare applicaties, externe netwerktoegang en beheertoegang.
- CIS Controls v8, safeguards 11.4 en 11.5: een geïsoleerde kopie van herstelgegevens en periodieke hersteltests.
- CIS Controls v8, safeguard 5.4: beheerdersrechten beperken tot aparte beheeraccounts.
ICTklaar-richtlijn: een verdedigbaar basisniveau
Dit is eigen advies van ICTklaar. Het helpt om vragenlijsten onderbouwd te beantwoorden, maar garandeert geen acceptatie, premie of uitkering.
- Zet MFA aan voor alle accounts op e-mail en cloudomgeving, externe toegang en elk beheeraccount — ook gedeelde mailboxen en serviceaccounts controleren.
- Houd minstens één back-up die los staat van het netwerk of niet te wijzigen is, met aparte inlog, en test het herstel periodiek.
- Spreek een vaste termijn af voor beveiligingsupdates en vervang systemen die geen updates meer krijgen.
- Gebruik centraal beheerde beveiliging op alle werkplekken en servers, zodat je kunt zien of die overal actief is.
- Werk met aparte beheeraccounts; gebruik je dagelijkse account niet voor beheer.
- Geef medewerkers minimaal jaarlijks uitleg over phishing en betaalfraude, en leg vast wie dat heeft gevolgd.
Eerlijk invullen: waarom dat ertoe doet
Een vragenlijst vul je in op basis van de feitelijke situatie. Een antwoord dat achteraf niet klopt, kan gevolgen hebben voor de dekking; wat die gevolgen zijn, hangt af van de polis en de omstandigheden. Twijfel je over een antwoord, overleg dan met je tussenpersoon of verzekeraar in plaats van te gokken.
Aantoonbaar bewijs om klaar te hebben
| Onderwerp | Claimed | Verified |
|---|---|---|
| MFA | "Iedereen heeft de app." | Export van het toegangsbeleid dat inloggen zonder MFA blokkeert, met datum. |
| Back-up | "De back-up draait elke nacht." | Verslag van een recente hersteltest. |
| Updates | "Windows werkt zichzelf bij." | Rapport met de updatestatus van alle apparaten. |
| Beheerrechten | "Alleen de IT-partner is beheerder." | Actuele lijst van beheeraccounts uit het beheersysteem. |
Veelgestelde vragen
Weigert een verzekeraar automatisch als MFA ontbreekt?
Dat verschilt per verzekeraar en polis. Ontbrekende basismaatregelen kunnen leiden tot vervolgvragen, een hogere premie, aanvullende voorwaarden of afwijzing, maar dat is geen vaste regel. Lees altijd de feitelijke polisvoorwaarden.
Zijn de CIS Controls of NCSC-adviezen verplicht voor mijn verzekering?
Nee. Het zijn erkende best practices. Welke maatregelen voor jouw polis gelden, staat in de vragenlijst en voorwaarden van je verzekeraar.
Is deze lijst een garantie voor acceptatie of uitkering?
Nee. Het is een indicatief overzicht van onderwerpen die vaak terugkomen. Acceptatie en uitkering hangen af van de polis en de beoordeling door de verzekeraar.
Wat moet ik bewaren als bewijs?
Bewaar gedateerde exports en verslagen: toegangsbeleid, hersteltests, updatestatus en een overzicht van beheeraccounts. Zo kun je je antwoorden later onderbouwen.