Cyberverzekering

De vraag is niet meer of je organisatie te maken krijgt met een cyberincident, maar wanneer. Drieenzeventig procent van het Nederlandse MKB had in de afgelopen twee jaar te maken met cybercrime, en de gemiddelde schade per incident bedraagt EUR 270.000. Toch heeft het merendeel van de kleine en middelgrote bedrijven geen cyberverzekering. Die combinatie is gevaarlijk: 60 procent van de kleine bedrijven gaat failliet binnen zes maanden na een ernstige cyberaanval. Een cyberverzekering lost het beveiligingsprobleem niet op, maar zorgt ervoor dat een incident geen existentiële bedreiging wordt.

Wat dekt een cyberverzekering precies?

Een cyberverzekering dekt de financiële gevolgen van cyberincidenten en rust op drie pijlers. De eerste pijler is hulpverlening via incident response: een 24/7 hotline met directe toegang tot forensisch onderzoekers, juristen en communicatiespecialisten. De waarde van dit pakket bij een serieus incident bedraagt al snel EUR 10.000 tot EUR 50.000, en het is volledig inbegrepen in de premie. De tweede pijler is first-party dekking, de eigen schade die je organisatie lijdt: forensisch onderzoek (gemiddeld EUR 4.000 per dag), dataherstel, gederfde omzet door bedrijfsstilstand (gemiddeld EUR 1.560.000 per incident), losgeld bij ransomware indien dat de beste optie is, en crisismanagement inclusief communicatie naar klanten. De derde pijler is third-party aansprakelijkheid: claims van derden bij een datalek bij klanten, AVG-boetes van de Autoriteit Persoonsgegevens, advocaatkosten en mediaschade.

Het onderscheid tussen een standalone cyberpolis en een cybermodule op een bestaande aansprakelijkheidsverzekering (BAVA) is cruciaal en wordt door veel MKB-ondernemers onderschat. Een standalone polis dekt first en third party volledig, inclusief een 24/7 IR-team, met verzekerde bedragen van EUR 250.000 tot EUR 5 miljoen en meer. Een cybermodule op een BAVA biedt doorgaans alleen beperkte third-party dekking, heeft een maximum van EUR 50.000 tot EUR 100.000 en bevat zelden incident response. Voor een organisatie die digitaal werkt, is een cybermodule op de BAVA zelden voldoende. De standalone polis kost meer — EUR 1.500 tot EUR 10.000 per jaar voor MKB — maar de dekking is ook fundamenteel breder.

Waarom de businesscase zo sterk is voor Nederlands MKB

De rekening is simpeler dan veel ondernemers denken. Een MKB-premie van EUR 1.500 tot EUR 2.500 per jaar staat tegenover een gemiddelde schade van EUR 270.000 per incident. Dat is een factor honderd verschil. Bij slechts 0,6 procent kans op een serieus incident per jaar is de verwachte waarde van de verzekering al positief. De realiteit is dat de kans aanzienlijk hoger is: het CBS meldde in de Cybersecuritymonitor 2024 dat 1 procent van alle bedrijven met twee of meer medewerkers in 2023 te maken kreeg met ransomware. Dat klinkt laag, maar bij meer dan 400.000 bedrijven in Nederland zijn dat duizenden getroffen organisaties per jaar, en ransomware is slechts één van de dreigingen — phishing, datalekken, CEO-fraude en supply chain-aanvallen komen daar bovenop.

Automaterialenbedrijf Excluparts werd in 2019 slachtoffer van ransomware. Cybercriminelen eisten bitcoins als losgeld. Het bedrijf verloor boekhoudgegevens, klantenbestanden en leveranciersoverzichten en leed schade van meer dan EUR 100.000. Het had geen cyberverzekering en moest alle kosten zelf dragen. Een premie van EUR 2.000 tot EUR 5.000 per jaar had Excluparts meer dan EUR 95.000 bespaard, plus directe toegang tot een IR-team waarmee de aanval mogelijk eerder ingedamd was. Aan de andere kant van het spectrum staat een productiebedrijf in auto-onderdelen dat via phishing werd getroffen: een medewerker klikte op een kwaadaardige link, malware versleutelde alle gegevens op de server. Totale kosten: EUR 167.500, opgebouwd uit forensisch onderzoek, dataherstel, bedrijfsstilstand en juridische kosten. De cyberverzekering dekte het volledige bedrag.

Veel adviseurs beschouwen incident response als de belangrijkste waarde van een cyberverzekering, boven de financiële dekking zelf. Bij een serieus incident heb je direct toegang tot specialisten die weten wat ze doen: een forensisch team dat de aanval analyseert en stopt, juridisch advies over de meldplicht binnen 72 uur onder de AVG, en PR-communicatie die de reputatieschade beperkt. Zonder verzekering moet je dit alles zelf organiseren terwijl je organisatie in crisis verkeert.

Het acceptatieproces: wat verzekeraars eisen

Van aanvraag tot polis doorloop je een uitgebreid acceptatieproces dat bepaalt welke premie en dekking je krijgt. Na een eerste inventarisatie volgt een uitgebreide cyber-vragenlijst over je IT-omgeving, maatregelen en processen. Sommige verzekeraars voeren daarnaast een externe vulnerability scan uit op je publieke aanvalsvlak. De score op branche, omvang en security-volwassenheid bepaalt je risicoprofiel, waarna je een offerte ontvangt. De verzekeraar kan ook verbeterpunten opleggen: "MFA implementeren binnen 90 dagen" is een veelvoorkomende eis. Na ondertekening volgt jaarlijkse hernieuwde risicobeoordeling bij verlenging.

Verzekeraars eisen minimaal een set basale security-maatregelen als voorwaarde voor een polis. Multi-Factor Authenticatie is verplicht voor alle externe toegang, e-mail, VPN en adminaccounts. Regelmatige backups volgens de 3-2-1-regel — inclusief offline of immutable backups die periodiek worden getest — zijn eveneens verplicht. Kritieke patches moeten binnen 48 tot 72 uur worden uitgerold. Endpoint protection (EDR) en een security awareness training worden sterk aanbevolen en zijn bij grotere organisaties steeds vaker vereist. De impact van beveiligingsniveau op je premie is direct: als alle baselines aanwezig zijn, krijg je mogelijk 10 tot 20 procent korting. Voldoe je gedeeltelijk, dan volgt een toeslag van 20 tot 50 procent of een lagere verzekerde som. Voldoe je niet aan de minimale eisen, dan leidt dat tot afwijzing of alleen basisdekking.

Premies in de Nederlandse markt en wanneer je koopt

De bruto premie-omzet van cyberverzekeringen in Nederland bedroeg EUR 111 miljoen in 2024, een stijging van 10 procent ten opzichte van 2023. Maar terwijl het volume groeit, dalen de premies per polis. Na premiestijgingen van 20 tot 25 procent per jaar tijdens de ransomware-golf in 2021 en 2022, meldt Gallagher Re internationaal een premiedaling van 32 procent. Bijna 40 procent van de klanten krijgt premieverlaging bij verlenging. Dit maakt 2025-2026 het gunstigste moment in jaren om een cyberverzekering af te sluiten of je huidige polis te herzien. De markt kent overcapaciteit: meer verzekeraars bieden cyber aan dan er vraag is, wat de concurrentie en daarmee de dekking per euro premie ten goede komt.

De premie varieert sterk op basis van bedrijfsgrootte. ZZP en micro-bedrijven (1 tot 5 medewerkers) betalen EUR 500 tot EUR 900 per jaar voor EUR 100.000 tot EUR 250.000 dekking. Klein MKB (5 tot 25 medewerkers) betaalt EUR 690 tot EUR 2.500 per jaar voor EUR 250.000 tot EUR 500.000 dekking. Middelgroot MKB (25 tot 100 medewerkers) betaalt EUR 2.500 tot EUR 10.000 voor EUR 500.000 tot EUR 2 miljoen. Grote organisaties betalen EUR 10.000 tot EUR 50.000 en meer voor polissen van EUR 1 miljoen tot EUR 5 miljoen. De sector speelt ook een rol: e-commerce betaalt gemiddeld EUR 2.097 per jaar, zorg en financieel betalen meer vanwege de gevoeligheid van de data.

Het claimproces: wat te doen bij een incident

Snelheid is cruciaal bij een cyberincident. Het claimproces bestaat uit negen stappen en begint onmiddellijk. Zodra je verdachte activiteit, een ransomware-melding of datalek ontdekt, bel je direct de 24/7 hotline van je verzekeraar — niet na het weekend, niet na overleg met het MT, maar direct. Elke minuut telt bij verspreiding van malware. De verzekeraar wijst binnen uren een incident manager toe die het proces coördineert. Op dag één wordt de ernst beoordeeld en het IR-team ingezet: welke systemen zijn getroffen, wat is de impact? Het forensisch onderzoek duurt één tot vier weken en stelt oorzaak, omvang en impact vast. Parallel aan het onderzoek worden systemen geïsoleerd, hersteld en data teruggezet uit backups. Juridische stappen — waaronder de meldplicht bij de Autoriteit Persoonsgegevens binnen 72 uur onder de AVG — worden direct ingeschakeld. Na afronding van het forensisch onderzoek volgt schadedocumentatie en claimindiening. Uitbetaling vindt plaats twee tot zes weken na volledige documentatie: simpele claims vier tot acht weken, complexe claims drie tot zes maanden.

De doorlooptijd van je claim hangt sterk af van de compleetheid van je documentatie. Bewaar alles: screenshots, logs, tijdlijn van het incident, facturen van externe hulp en communicatie met de verzekeraar. Onvolledige documentatie vertraagt uitbetaling aanzienlijk. Maak ook voor de audit een klantendossier aan — het claimproces begint feitelijk op het moment dat je de polis afsluit en begint met het documenteren van je beveiligingsmaatregelen.

Wat te letten bij het kiezen van een verzekeraar

Er zijn meer dan 17 actieve cyberverzekeraars in Nederland. De keuze hangt af van je sector, omvang en gewenste dekking. Let allereerst op de dekking die past bij je risicoprofiel: niet elke polis dekt ransomware, bedrijfsstilstand of AVG-boetes. Stem de dekking af op je werkelijke risico's. De kwaliteit van incident response is minstens zo belangrijk als de financiële dekking: wie wordt er ingeschakeld bij een incident, hoe snel zijn ze ter plaatse, is het een 24/7 dienst? Vraag ook altijd een uitsplitsing van het eigen risico per type incident — het eigen risico voor ransomware is vaak hoger dan voor andere incidenten. Lees de uitsluitingen zorgvuldig: de oorlogsclausule (state-backed attacks), bekende kwetsbaarheden en social engineering zoals CEO-fraude zijn veelvoorkomende uitsluitingen die in de polisvoorwaarden staan. Kies ten slotte niet de goedkoopste polis, maar de polis met de meeste dekking per euro premie.

Een cyberverzekering staat niet op zichzelf. Ze werkt optimaal in combinatie met een complete beveiligingsaanpak, waaronder endpoint detectie en respons via EDR, een goed incident response plan zoals besproken bij incident response voorbereiding, regelmatige penetratietests die kwetsbaarheden blootleggen voordat aanvallers dat doen, en een robuuste backup as a service die herstel mogelijk maakt zonder losgeld te betalen. Organisaties die NIS2-compliance nastreven via de NIS2-begeleidingsroute merken dat een cyberverzekering steeds vaker onderdeel wordt van de risk transfer-strategie die toezichthouders verwachten.

Compliance: NIS2, DORA en de AVG

De Cyberbeveiligingswet, de Nederlandse implementatie van NIS2, treedt naar verwachting in Q2 2026 in werking en raakt circa 10 (Bron: NCSC / Digitale Overheid).000 Nederlandse organisaties. ISO 27001 is niet verplicht, maar dekt een groot deel van de eisen. Een cyberverzekering is formeel geen NIS2-eis, maar past in de bredere risk management-strategie die de wet vereist. Organisaties in de financiële sector die onder DORA vallen — de Digital Operational Resilience Act — worden vanaf januari 2025 geconfronteerd met strengere eisen aan ICT-risicobeheer en operationele weerbaarheid. Een cyberverzekering is ook hier onderdeel van een robuuste strategie, al vervangt ze geen technische maatregelen.

De AVG is het meest directe compliance-argument voor een cyberverzekering. Bij een datalek ben je verplicht dit binnen 72 uur te melden bij de Autoriteit Persoonsgegevens en, afhankelijk van het risico, ook aan de betrokkenen. Boetes kunnen oplopen tot EUR 20 miljoen of 4 procent van de jaaromzet. Een cyberverzekering dekt de juridische kosten, de notificatiekosten en in Nederland onder voorwaarden ook de boetes zelf. Dat maakt de verzekering niet alleen een vangnet bij een aanval, maar ook een compliance-instrument bij de financiële gevolgen van een datalek.

Veelgemaakte fouten bij het afsluiten van een cyberverzekering

De meest gemaakte fout is te kiezen voor de goedkoopste polis zonder te begrijpen wat er niet in zit. Een polis met alleen third-party dekking biedt geen enkele bescherming voor de eigen kosten — forensisch onderzoek, dataherstel, bedrijfsstilstand — die bij een serieus incident de grootste post vormen. De tweede fout is het onderschatten van de eigen risico-uitsplitsing: het eigen risico voor ransomware is bij veel polissen aanzienlijk hoger dan voor andere incidenten, wat pas duidelijk wordt bij de claim. De derde fout is het te laat melden bij de verzekeraar. Veel polissen bevatten een meldingsplicht binnen uren na ontdekking; te laat melden kan leiden tot gedeeltelijke of volledige weigering van de claim. De vierde fout is het verwaarlozen van de minimale security-baseline: als bij de claim blijkt dat MFA niet was geïmplementeerd terwijl dat als voorwaarde gold, kan de verzekeraar de uitkering weigeren.

Trends 2025-2026: wat de markt beweegt

De cyberverzekeringsmarkt verandert snel. Aan de vraagkant stijgt de vraag door NIS2 en toenemend bewustzijn bij MKB — de premie-omzet van EUR 25 miljoen in 2020 is inmiddels meer dan verviervoudigd naar EUR 111 miljoen in 2024. Aan de aanbodkant is er overcapaciteit: meer verzekeraars bieden cyber aan dan er vraag is, wat de premies drukt. AI wordt aan beide kanten ingezet: aanvallers gebruiken AI voor snellere en geavanceerdere phishing, terwijl verzekeraars AI inzetten voor risicobeoordeling en fraudedetectie. Supply chain-aanvallen groeien sterk en verzekeraars passen hun dekking en uitsluitingen aan. De oorlogsclausule wordt steeds specifieker geformuleerd naarmate state-backed aanvallen vaker voorkomen. Voor Nederlandse MKB-bedrijven die nog geen cyberverzekering hebben, is 2025-2026 het moment om te handelen: de premies zijn historisch laag, de dekking is breed, en de dreiging groeit onverminderd.

Cyberverzekering als onderdeel van een bredere security-strategie

Een cyberverzekering is geen vervanging voor goede informatiebeveiliging, maar een aanvulling erop. Verzekeraars eisen basale security-maatregelen als voorwaarde voor een polis, maar ze verwachten ook dat organisaties hun beveiliging actief verbeteren. Dit maakt een cyberverzekering feitelijk een driver voor betere beveiliging: de vragenlijst en risicobeoordeling dwingen ondernemers na te denken over hun digitale kwetsbaarheid op een manier die ze zonder die externe druk misschien niet zouden doen. Organisaties die investeren in security awareness training voor medewerkers verlagen hun risicoprofiel merkbaar — menselijk handelen is verantwoordelijk voor meer dan 80 procent van alle succesvolle cyberaanvallen. Technische maatregelen zoals multi-factor authenticatie zijn inmiddels een harde voorwaarde bij vrijwel alle verzekeraars.

Voor organisaties die serieus werk willen maken van hun algehele cyberstrategie, biedt een cybersecurity risicoanalyse een gestructureerde basis. Zo'n analyse inventariseert welke dreigingen het meest relevant zijn voor jouw specifieke situatie, welke kwetsbaarheden het grootst zijn, en welke maatregelen de beste risicoreductie bieden. De uitkomsten kunnen direct worden gebruikt bij het aanvragen van een cyberverzekering: een aantoonbaar lager risicoprofiel leidt tot lagere premies en ruimere dekking. Organisaties die daarnaast investeren in een Managed Detection and Response dienst hebben 24/7 bewaking van hun omgeving, wat bij een incident de reactietijd drastisch verkort — iets wat verzekeraars ook honoreren in hun risicobeoordeling.

De combinatie van preventie, detectie en verzekering vormt de meest robuuste strategie. Preventie verlaagt de kans op een incident. Detectie verkort de tijd tussen besmetting en ontdekking — gemiddeld zit er 204 dagen tussen een besmetting en de ontdekking ervan zonder actieve monitoring (Bron: IBM Cost of a Data Breach Report 2024). En de verzekering zorgt dat als het ondanks alles misgaat, de financiële impact beheersbaar blijft. Ondernemers die vandaag nog geen cyberverzekering hebben, doen er verstandig aan meerdere offertes aan te vragen en daarbij ook te letten op de kwaliteit van het IR-team, de snelheid van respons en de sector-ervaring van de verzekeraar. De premie is secundair aan de kwaliteit van de dekking en de dienstverlening op het moment dat het er echt toe doet.

Verschil met verwante producten: wat een cyberverzekering niet is

Er bestaat nog altijd verwarring over wat een cyberverzekering wel en niet dekt in vergelijking met andere verzekeringsproducten. Een aansprakelijkheidsverzekering (AVB of BAVA) dekt algemene aansprakelijkheid voor personen- en zaakschade, maar vrijwel nooit de eigen digitale schade bij een cyberincident. Een rechtsbijstandsverzekering dekt juridische kosten maar geen forensisch onderzoek, dataherstel of bedrijfsstilstand. Een bedrijfsschadeverzekering dekt omzetverlies door brand, storm of andere fysieke oorzaken, maar vrijwel nooit uitval door een cyberaanval tenzij dat expliciet is meeverzekerd. En een beroepsaansprakelijkheidsverzekering dekt fouten in je dienstverlening, maar niet de kosten van een inbraak in je eigen systemen.

De cyberverzekering vult al deze producten aan en dekt het specifieke risico van digitale incidenten in zijn volle breedte. Ze is daarmee geen luxe of overlapping, maar een eigenstandige categorie die reageert op een eigenstandige dreiging. Nu de Cyberbeveiligingswet dichterbij komt en opdrachtgevers steeds vaker certificering en verzekering eisen als voorwaarde voor samenwerking, verschuift de vraag voor veel MKB-bedrijven van 'of' naar 'hoe snel'. De marktomstandigheden in 2025-2026 — met dalende premies en brede dekking door concurrentie — maken nu het ideale moment om die stap te zetten.