Een MKB-bedrijf in de logistieke sector ontdekt op een maandagochtend dat al zijn werkstations dezelfde boodschap weergeven: bestanden versleuteld, losgeld geëist in cryptocurrency. De activiteit staat stil, de klantbestellingen zijn geblokkeerd, en de IT-leverancier meldt dat het meerdere dagen zal duren om alles te herstellen. De vraag naar cyberrisicoverzekering rijst dan in alle urgentie, terwijl deze veel eerder had moeten worden gesteld.
Uitsluitingen en beveiligingsvereisten: wat een cybervergoeding laat mislukken
De meeste inhoud over cyberverzekering richt zich op de garanties. Er wordt minder gesproken over wat deze garanties annuleert op het moment dat ze het meest nodig zijn.
Verzekeraars hebben hun acceptatievoorwaarden aangescherpt. Voordat ze een bedrijf willen dekken, controleren ze nu de aanwezigheid van concrete maatregelen: meervoudige authenticatie (MFA) geactiveerd op alle kritieke toegangspunten, regelmatig geteste back-ups, EDR-oplossing geïmplementeerd op de werkstations, en gedocumenteerd beheer van kwetsbaarheden. Zonder deze vereisten geen contract, of een contract met uitsluitingen zo breed dat het nutteloos wordt.
De val zit in de details. Een bedrijf kan over back-ups beschikken, maar als deze nooit onder echte omstandigheden zijn getest, kan de verzekeraar de dekking betwisten. Evenzo laat een actieve MFA op de e-mail maar afwezig op de VPN of de toegang tot de bestanden een kwetsbaarheid achter die de verzekering niet dekt. Voor alles over cyberrisicoverzekering te weten te komen, moet men eerst begrijpen dat de dekking steunt op een verifieerbare basis van cybersecurity.
De cyberverzekering functioneert als een permanente veiligheidsaudit. Verzekeraars eisen bewijs van volwassenheid, en deze eis dringt bedrijven om hun verdediging te structureren. We zijn ver verwijderd van een eenvoudige overdracht van financieel risico.
Cyberverzekering voor MKB: een dubbel risico wanneer het SI ook het verkoopkanaal is
Voor een MKB-bedrijf dat afhankelijk is van een e-commerce website of een online beheersplatform, veroorzaakt een cyberaanval niet slechts één probleem, maar een kettingreactie. Het informatiesysteem is zowel het productie-instrument als het verkoopkanaal. Wanneer het uitvalt, staat alles gelijktijdig stil.
De onderbreking van de activiteit genereert onmiddellijke omzetverliezen. Lopende bestellingen worden niet meer verwerkt, klanten wenden zich tot de concurrentie. Tegelijkertijd verslechtert de cashflow, en als klantfacturen onbetaald blijven door de blokkade van het factureringssysteem, komt men in een risico van wanbetaling dat onder een andere verzekeringslogica valt.
Dit is een invalshoek die de gebruikelijke inhoud niet behandelt: de koppeling tussen cyberverzekering en kredietverzekering krijgt alle zin voor online MKB’s. Een cyberaanval kan een domino-effect op de financiële keten veroorzaken, niet alleen op de technische infrastructuur.
Verliezen gedekt buiten de ransomware
Cyberverzekering wordt vaak alleen geassocieerd met het ransomware-scenario. De dekking gaat verder:
- De kosten voor het informeren van de betrokken personen in geval van een schending van persoonsgegevens, een verplichting opgelegd door de AVG binnen strikte termijnen
- Juridische verdediging en het beheer van claims van derden (klanten, partners) wiens gegevens zijn gecompromitteerd
- De kosten voor het herstellen van systemen, forensisch onderzoek, en soms de tussenkomst van een crisiscommunicatiebedrijf
- De bedrijfsschade gerelateerd aan de onderbreking van de activiteit, berekend op basis van de werkelijke duur van de onbeschikbaarheid
Deze juridische en nalevingsdimensie vertegenwoordigt vaak een aanzienlijk deel van de totale kosten van een incident. De keten van AVG-naleving kan net zoveel kosten als de technische remediatie.
Contractuele verplichting van cyberverzekering: wat opdrachtgevers eisen
In Frankrijk is er geen wet die private bedrijven verplicht om een cyberverzekering af te sluiten. De druk komt van elders: opdrachtgevers, met name in gevoelige sectoren (gezondheid, defensie, financiële diensten), die dit eisen in hun contracten met onderaannemers.
Voor een MKB dat werkt als onderaannemer kan het ontbreken van een cyberverzekering betekenen dat het een contract verliest. Het is niet langer een kwestie van intern risicobeheer, het is een voorwaarde voor commerciële toegang. De reacties variëren op dit punt afhankelijk van de sector, maar de trend is duidelijk: de cyberverzekering wordt een contractuele vereiste voordat het een beheerskeuze is.
Wat verzekeraars controleren bij de aanvraag
Hier zijn de meest voorkomende controlepunten bij een offerteaanvraag:
- Aanwezigheid en reikwijdte van de MFA (e-mail, VPN, beheerderstoegang, bedrijfsapplicaties)
- Back-upbeleid: frequentie, uitbesteding, gedocumenteerde test van herstel
- Implementatie van een EDR (Endpoint Detection and Response) op het gehele park
- Proces voor het beheer van patches en beveiligingsupdates
- Bewustmaking van medewerkers over phishing, met bewijs (testcampagnes, gedateerde trainingen)
Een onvolledig dossier over een van deze punten leidt tot een weigering, een opslag, of gerichte uitsluitingen die de garantie van zijn inhoud ontdoen.
Kies een cyberverzekering: lees de uitsluitingen vóór de garanties
De natuurlijke reflex is om de dekkingslimieten tussen verzekeraars te vergelijken. Men kijkt naar het maximale gedekte bedrag, de wachttijd, de franchise. Daar speelt de kwaliteit van een contract zich niet af.
De uitsluitingen bepalen de werkelijke waarde van een cyberpolis. Sommige polissen sluiten staatsoorlogsacties uit, een categorie die verzekeraars soms breed interpreteren in het licht van aanvallen die aan staten zijn toegeschreven. Anderen sluiten gekwalificeerde nalatigheden uit, wat terugkomt op het probleem van slecht nageleefde beveiligingsvereisten.
Voordat men ondertekent, is het verstandig om drie specifieke vragen aan de verzekeraar te stellen: welke scenario’s leiden tot een uitsluiting voor nalatigheid? Wat is de responstijd van het incident response-team? En vooral, dekt het contract de bedrijfsschade bovenop alleen de technische remediatie?
Een slecht afgestelde cyberpolis geeft een vals gevoel van bescherming. Voor een MKB is het risico niet alleen om een aanval te ondergaan, maar om achteraf te ontdekken dat de polis niets dekt van wat er werkelijk is gebeurd. De uitsluitingen in detail lezen, de eigen beveiligingsmaatregelen controleren, en elke actie op het gebied van cybersecurity documenteren: dat is de enige manier om een verzekeringspremie om te zetten in echte bescherming.