Cyberverzekering: wanneer is die de moeite waard voor je bedrijf?

Een cyberverzekering vergoedt kosten die ontstaan als je bedrijf slachtoffer wordt van een cyberincident: een hack, een ransomware-aanval, een datalek of phishing die tot schade leidt. Volgens de Kamer van Koophandel bestaat de dekking meestal uit drie onderdelen. Het eerste is preventie: samen met de verzekeraar kijk je naar je huidige risico's en neem je maatregelen, zoals betere beveiligingssoftware. Het tweede is herstel: gespecialiseerde partijen zorgen dat je systemen en website weer werken, en helpen bij eventuele reputatieschade. Het derde is schadevergoeding: gederfde omzet door uitval, aansprakelijkheid voor schade bij klanten of leveranciers, en juridische kosten, tot een maximumbedrag dat in de polis staat.

Belangrijk is wat een cyberverzekering niet is. Ze vervangt geen bedrijfsaansprakelijkheidsverzekering of beroepsaansprakelijkheidsverzekering - die kunnen juist naast elkaar bestaan. En een polis maakt je ICT-omgeving niet veiliger; ze dekt de schade als het toch misgaat. Of je er een nodig hebt, hangt dus af van twee vragen: hoe groot is de kans dat het misgaat, en hoe duur wordt het als het misgaat. Dat is precies de afweging die de Kamer van Koophandel aanraadt te maken voordat je een polis afsluit.

Uit de Cybersecuritymonitor 2024 van het CBS, gepubliceerd in juni 2025, blijkt dat 17% van de bedrijven met minstens twee medewerkers verzekerd is tegen cybersecurity-incidenten. Grotere bedrijven zijn vaker verzekerd dan kleine. Dat percentage zegt twee dingen tegelijk. Aan de ene kant is een cyberverzekering allang geen uitzondering meer: bijna één op de zes bedrijven heeft er een. Aan de andere kant laat het zien dat de meerderheid van de bedrijven het risico zelf draagt, bewust of onbewust.

Wat verder opvalt in hetzelfde onderzoek: het aandeel bedrijven met een extern cyberincident daalt al jaren, maar de kloof tussen grote bedrijven en het mkb blijft hardnekkig. Microbedrijven nemen vaak maar een handvol van de twaalf basismaatregelen die het CBS uitvraagt, terwijl grote bedrijven vrijwel alle maatregelen nemen. Minder maatregelen betekent een groter risico, en een groter risico is precies waar een verzekeraar naar kijkt bij het bepalen van premie en voorwaarden. Een cyberverzekering is dus niet alleen een financiële keuze; de staat van je basisbeveiliging bepaalt grotendeels of, en tegen welke prijs, je er überhaupt een kunt afsluiten.

Verzekeraars zijn niet verplicht om zomaar een polis af te geven. Volgens de KvK stellen ze doorgaans een aantal basisvoorwaarden: actuele beveiligingssoftware die automatisch updates ontvangt (antivirus, anti-spyware, een firewall), een betrouwbaar computersysteem, een wachtwoordbeleid, en regelmatige back-ups. Sommige verzekeraars laten je eerst een cyberweerbaarheidsscan doen om te checken of je aan deze basis voldoet, voordat ze een polis aanbieden.

Dat heeft een praktische consequentie die ondernemers vaak onderschatten: als blijkt dat je niet aan de voorwaarden voldeed op het moment van het incident - geen back-ups, verouderde software, een wachtwoord dat nergens is vastgelegd - kan een verzekeraar de uitkering weigeren of verminderen. Een cyberverzekering is dus geen vervanging voor basishygiëne, eerder een aanvulling erop. Wie nog geen wachtwoordbeleid heeft, geen back-ups test, en software niet automatisch laat updaten, loopt het risico een premie te betalen voor een polis die bij een claim alsnog niet uitkeert. De verzekering wordt pas zinvol ná die basis, niet in plaats daarvan.

Hier zit de meest opvallende uitkomst, en reden om niet blind een polis af te sluiten. Tom Meurs, cybercrime-specialist bij de politie, onderzocht voor zijn promotieonderzoek meer dan 500 ransomware-incidenten bij het mkb tussen 2019 en 2023. Zijn bevinding: bedrijven met een cyberverzekering betaalden gemiddeld 2,8 keer meer losgeld dan bedrijven zonder verzekering. Criminelen die eenmaal binnen zijn, zoeken gericht naar documenten die wijzen op een verzekering. Vinden ze die, dan verhogen ze hun eis, omdat ze weten dat er geld beschikbaar is.

Bedrijven met een goed ingericht back-upsysteem betalen 27 keer minder vaak losgeld dan bedrijven zonder zo'n systeem.

Cruciaal is dat die back-ups buiten bereik van de aanvaller staan - offline of los van het netwerk - want aanvallers proberen back-ups juist te vinden en te wissen voordat ze hun eis stellen. De sectoren die het vaakst werden geraakt waren handel (32,6% van de aanvallen, gemiddeld €112.793 losgeld) en bouw (17,9%), terwijl de ICT-sector minder vaak werd getroffen (14,7%) maar wel de hoogste gemiddelde losgeldbetaling kende (€268.039).

Zet de cijfers naast elkaar en er ontstaat een volgorde. Eerst de basis: een wachtwoordbeleid, automatische updates, en vooral een back-upsysteem dat los staat van je netwerk en dat je ook daadwerkelijk test. Dat is de maatregel met het aantoonbaar grootste effect, en hij kost geen premie. Pas daarna wordt een cyberverzekering relevant, en dan vooral voor bedrijven waar de schade bij uitval groot is: veel klantgegevens, een webshop die bij uitval meteen omzet mist, of een sector met veel afhankelijkheid van IT-systemen.

Een cyberverzekering loont minder als je bedrijf nauwelijks digitaal werkt, als je geen gevoelige klantgegevens verwerkt, of als je de basismaatregelen nog niet op orde hebt - in dat laatste geval loop je het risico dat een verzekeraar bij een claim niet uitkeert, terwijl je wel premie betaalt. Hij loont wel als je in een sector zit met aantoonbaar verhoogd risico, zoals handel of bouw, of als een paar dagen uitval je bedrijf financieel direct pijn doet. En bedenk vooraf wat je doet bij een losgeldeis: verzekerd zijn is geen vrijbrief om te betalen. Juist de verzekerde bedrijven blijken gemiddeld meer te betalen, dus leg met je verzekeraar vooraf vast hoe met een losgeldeis wordt omgegaan, in plaats van dat in het moment zelf te bepalen.