Cyberverzekeringen: wat je moet weten voor je er één afsluit

by:admin 13/03/2026 0 Comments

Een cyberaanval voelt voor veel bedrijven nog steeds als iets dat vooral bij grote organisaties gebeurt. Tot het ineens wél dichtbij komt. Een back-up blijkt niet bruikbaar. Klantgegevens lekken uit. De website ligt plat. Dan gaat het niet meer over techniek, maar over omzetverlies, herstelkosten, juridische vragen en stress in de hele organisatie.

Precies daar komen cyberverzekeringen in beeld. Zo’n verzekering is bedoeld om schade na een cyberincident op te vangen. Denk aan kosten voor IT-specialisten, juridische hulp, herstel van data, reputatieschade en omzetverlies.

Tegelijk bestaan er grote verschillen tussen polissen. De AFM schrijft dat cyberverzekeringen lastig onderling te vergelijken zijn, onder meer door complexe voorwaarden, verschillende definities en onduidelijke verschillen in dekking.

In dit artikel lees je wat cybersecurityverzekeringen zijn, waarom bedrijven ze afsluiten, wat meestal wel en niet is gedekt, welke aanbieders je in Nederland tegenkomt, wat bekende prijsvoorbeelden zijn en waar je op moet letten voordat je tekent.

Belangrijkste punten samengevat

Cybersverzekeringen dekken schade door cyberincidenten.
Denk aan ransomware, phishing, datalekken en systeemuitval.
Verzekeraars verschillen sterk in dekking en voorwaarden.
Bedrijfsstilstand is niet altijd standaard meeverzekerd.
Fraude en social engineering ook niet.
De premie hangt af van je risico en bedrijfsprofiel.
Omzet, sector en data spelen daarin mee.
Ook je beveiligingsmaatregelen tellen zwaar mee.
Voor veel digitale bedrijven is zo’n verzekering logisch.
Kijk nooit alleen naar de prijs.

In het kort

Cyberverzekeringen helpen bedrijven bij schade door cyberincidenten zoals ransomware, datalekken, phishing en systeemuitval. De grootste verschillen tussen verzekeraars zitten in de dekking, hulpverlening, wachttijden, sublimieten en de vraag of fraude en bedrijfsstilstand standaard zijn meeverzekerd. De premie hangt meestal af van omzet, sector, digitale afhankelijkheid, soort data en aanwezige beveiligingsmaatregelen. Voor bedrijven die sterk leunen op digitale systemen, online omzet of klantgegevens is een cyberverzekering vaak een logische keuze, maar alleen als de polis echt past bij de risico’s van de organisatie.

Even in het kort …wat zijn cyberverzekeringen?

Een cybersecurityverzekering, vaak ook cyberverzekering genoemd, is een zakelijke verzekering die schade door digitale incidenten kan opvangen. Het NCSC noemt het ‘schade door digitale verstoringen, datalekken, ransomware en andere cyberincidenten.’

Veel ondernemers denken bij cyber vooral aan hackers die bestanden blokkeren. Dat klopt deels, maar het onderwerp is breder. Een cyberincident kan ook zorgen voor stilgevallen bedrijfsprocessen, claims van klanten, juridische kosten en reputatieschade. Daardoor draait het niet alleen om IT, maar ook om continuïteit, aansprakelijkheid en herstel.

Juist daarom verschillen cyberverzekeringen vaak meer van elkaar dan mensen verwachten. Twee polissen kunnen allebei cyberverzekering heten, terwijl de ene veel meer doet bij bedrijfsstilstand of fraude dan de andere.

Waarom sluiten bedrijven een cyberverzekering af?

De eerste reden is financieel. Een cyberincident kost vaak meer dan alleen het technische herstel. Je kunt te maken krijgen met kosten voor forensisch onderzoek, herstel van systemen, juridische ondersteuning, meldplicht bij een datalek, communicatie met klanten en omzetverlies doordat systemen tijdelijk niet werken. Het NCSC noemt zowel directe als indirecte schade als belangrijke reden om cyberrisico’s serieus te nemen.

Voor een klein bedrijf kan dat al hard aankomen. Valt je planning, mailbox, administratie of webshop uit, dan loopt schade snel op. Voor grotere organisaties geldt dat nog sterker, vooral als veel processen digitaal draaien of als meerdere teams afhankelijk zijn van hetzelfde systeem.

Een tweede reden is de hulp die je erbij krijgt. Veel verzekeraars bieden 24/7 ondersteuning bij een incident. Zo noemt NN bij de cyberverzekering 24/7 hulp bij cyberincidenten en schrijft Hiscox dat het 24 uur per dag bereikbaar is bij cyberincidenten. Op het moment dat je organisatie platligt, wil je direct weten wie je moet bellen en wat de eerste stappen zijn.

Voor welke risico’s gebruiken bedrijven een cyberverzekering?

Bedrijven gebruiken een cyberverzekering meestal voor drie soorten risico’s. De eerste groep is technische schade. Denk aan een hack, ransomware, een virus of beschadigde data. De tweede groep is financiële schade.

Dan gaat het om omzetverlies, herstelkosten of kosten voor externe experts. De derde groep is juridische en organisatorische schade. Denk aan aansprakelijkheid richting klanten of kosten na een datalek.

In de praktijk sluiten bedrijven zo’n verzekering dus niet af omdat ze “iets met cyber” doen, maar omdat hun bedrijfsvoering afhankelijk is van digitale systemen, klantgegevens, e-mail, cloudsoftware of online verkoop.

Wat dekt een cyberverzekering meestal?

De meeste cybersecurityverzekeringen bestaan uit een paar vaste onderdelen. De precieze invulling verschilt per aanbieder, maar dit zijn de rubrieken die je het vaakst tegenkomt.

Eigen schade

Hieronder vallen vaak kosten voor herstel van data, herstel van systemen, inschakelen van IT-specialisten, onderzoek naar de oorzaak van het incident en noodmaatregelen om de schade te beperken. Op de site van NN over de cyberverzekering zie je dat hacking, systeeminbraak, verloren data en gegevensdiefstal expliciet worden genoemd.

Aansprakelijkheid richting anderen

Dit gaat over schade bij klanten, leveranciers of andere partijen als jouw organisatie de oorzaak is van het incident of als hun gegevens via jouw systemen zijn geraakt. Denk aan claims na een datalek of fouten in jouw digitale omgeving die schade bij anderen veroorzaken. Ook Hiscox noemt aansprakelijkheid voor schade bij anderen als onderdeel van de dekking.

Bedrijfsstilstand

Dit onderdeel is voor veel bedrijven erg belangrijk. Ligt je webshop plat, kun je niet factureren of valt je interne systeem uit, dan verlies je direct tijd en omzet. Een cyberverzekering kan die schade deels opvangen. Hiscox noemt omzetverlies en bedrijfsstilstand expliciet als onderdeel van de cyberdekking. Bij andere verzekeraars verschilt dit per polis en per module.

Crisismanagement en hulpverlening

Veel verzekeringen vergoeden niet alleen schade, maar regelen ook hulp. Denk aan juridische ondersteuning, forensisch IT-onderzoek, communicatieadvies en begeleiding bij een melding richting betrokkenen of toezichthouders. Dat zie je terug op productpagina’s van onder meer Hiscox en NN.

Cyberafpersing en fraude

Bij dit onderdeel zie je de grootste verschillen. De ene verzekeraar dekt hulp bij cyberafpersing, maar vergoedt geen losgeld. De andere biedt onder voorwaarden wel dekking voor afpersing of fraude. Op de productpagina van Hiscox staat bijvoorbeeld dat kosten van losgeld en specialisten voor onderhandelingen onder de dekking kunnen vallen. Dat betekent niet dat elke Nederlandse cyberverzekering dit ook doet.

Wat zit er vaak niet in?

Hier ontstaan vaak misverstanden. Veel ondernemers denken dat alles rond cyber automatisch onder de polis valt. In de praktijk werken verzekeraars met voorwaarden, limieten, sublimieten, wachttijden en aparte modules. Precies daarom zegt de AFM dat betere vergelijkbaarheid nodig is.

Sublimieten

Niet elk onderdeel is verzekerd tot het volledige hoofdverzekerde bedrag. Voor fraude, noodmaatregelen of crisiscommunicatie kan een lager maximumbedrag gelden. Daardoor lijkt een polis op het eerste gezicht ruim, terwijl belangrijke onderdelen in werkelijkheid lager zijn afgedekt.

Wachttijd bij bedrijfsschade

Bij bedrijfsstilstand geldt vaak een wachttijd. Dat betekent dat schade pas wordt vergoed als de uitval lang genoeg duurt. Bij kortere storingen kan het dus zijn dat je wel schade hebt, maar geen uitkering krijgt.

Fraude niet standaard meeverzekerd

Social engineering, CEO-fraude en identiteitsfraude zitten lang niet altijd in de basisdekking. Soms moet je daar een aparte module voor afsluiten.

Strenge beveiligingseisen

Verzekeraars stellen vaak eisen aan je beveiliging. Denk aan multifactorauthenticatie, antivirus, firewalls, gescheiden back-ups en toegangsbeheer. Het NCSC benoemt dat verzekeraars beveiligingsmaatregelen kunnen eisen voordat een polis wordt geaccepteerd of verlengd.

Niet elke polis past bij elk bedrijf

Veel cyberverzekeringen zijn gebouwd voor organisaties binnen een bepaalde omzetcategorie of sector. Heb je een groter risicoprofiel, veel gevoelige data of werk je in een sector met extra eisen, dan kom je vaak uit op maatwerk in plaats van een standaardproduct.

Welke aanbieders kom je in Nederland tegen?

In Nederland kom je onder meer verzekeraars tegen zoals NN, Hiscox en Univé. Daarnaast zijn er tussenpersonen en volmachtpartijen die verschillende producten naast elkaar aanbieden.

De verschillen zitten meestal niet alleen in prijs, maar ook in de opbouw van de polis. De ene verzekeraar legt meer nadruk op brede hulpverlening en crisismanagement.

De andere biedt sterkere dekking voor bedrijfsstilstand of aansprakelijkheid. Univé kiest zelfs een andere aanpak. Daar zit volgens hun site standaard cyberhulp en een beperkte cyberdekking bij zakelijke verzekeringen, in plaats van alleen een losse cyberpolis.

Daardoor kun je aanbieders niet eerlijk vergelijken op alleen de premie. Je moet altijd kijken naar wat je daadwerkelijk terugkrijgt bij een incident.

Wat kosten cybersecurityverzekeringen?

Dit is vaak de eerste vraag, maar er is geen vast bedrag dat voor elk bedrijf geldt. De premie hangt onder meer af van je omzet, sector, gekozen limiet, soort data, afhankelijkheid van digitale systemen en de beveiligingsmaatregelen die je al hebt genomen. Het NCSC schrijft ook dat premie, service en dekking sterk kunnen verschillen.

Op openbare websites van die verzekeraars zie je zelden een volledige prijslijst. Verzekeraars werken vaak via adviseurs of op maat gemaakte offertes. Daardoor is prijsvergelijking lastiger dan bij veel andere zakelijke verzekeringen.

Wat je wel vaak ziet, is dat de premie stijgt naarmate je bedrijf meer omzet draait, meer persoonsgegevens verwerkt, sterker afhankelijk is van online processen of een hogere verzekerde som kiest.

Ook het eigen risico speelt mee. Een lagere premie kan aantrekkelijk lijken, maar als daar een hoog eigen risico tegenover staat, betaal je bij schade alsnog flink zelf mee.

Welke factoren bepalen de premie?

Verzekeraars kijken meestal naar meerdere factoren tegelijk. Dit zijn de punten die de premie vaak het sterkst beïnvloeden.

De jaaromzet van je bedrijf
De sector waarin je actief bent
De hoeveelheid en gevoeligheid van de data die je verwerkt
De mate waarin je afhankelijk bent van digitale systemen
De gekozen verzekerde som
Het eigen risico
Je bestaande beveiligingsmaatregelen, zoals MFA en back-ups
Je schadeverleden of eerdere incidenten

Een webshop die volledig draait op online verkoop heeft meestal een ander profiel dan een klein lokaal dienstverlenend bedrijf dat minder afhankelijk is van digitale processen. Dat zie je terug in de premie en in de voorwaarden.

Voor wie is een cyberverzekering slim?

Een cyberverzekering is vooral interessant voor bedrijven die digitaal werken en schade oplopen als systemen uitvallen. Dat geldt tegenwoordig voor veel meer organisaties dan vroeger. Zodra je klantgegevens opslaat, online factureert, cloudsoftware gebruikt, via e-mail werkt of een webshop runt, ben je al afhankelijk van digitale processen.

Het NCSC noemt expliciet dat de meerwaarde groter wordt als je afhankelijk bent van digitale systemen en van de informatie in die systemen voor je bedrijfsvoering.

In de praktijk is een cyberverzekering vaak slim voor webshops, marketingbureaus, IT-bedrijven, zakelijke dienstverleners, onderwijsinstellingen, zorgorganisaties en productiebedrijven met digitale aansturing.

Ook bedrijven die persoonsgegevens verwerken of te maken hebben met contracteisen vanuit klanten of leveranciers kijken hier vaak serieus naar.

Voor zzp’ers en kleine bedrijven ligt het genuanceerder. Heb je weinig data en kun je uitval makkelijk opvangen, dan is een zware polis niet altijd nodig. Maar ook een klein bedrijf kan hard geraakt worden door een datalek, een gehackte mailbox of ransomware. Daardoor kan ook een kleinere dekking zinvol zijn.

Wanneer is het bijna noodzakelijk?

Voor veel organisaties is een cyberverzekering geen luxe meer als één of meer van deze situaties gelden.

Je bedrijf draait vrijwel volledig op digitale systemen
Je verwerkt persoonsgegevens van klanten of medewerkers
Je werkt met online betalingen of klantportalen
Je hebt veel omzetverlies als systemen uitvallen
Je klanten of opdrachtgevers stellen eisen aan cyberbeveiliging
Je werkt met externe IT-partijen of cloudleveranciers

Hoe afhankelijker je organisatie is van digitale continuïteit, hoe logischer een cyberverzekering wordt.

Hoe gebruik je een cyberverzekering in de praktijk?

Een cyberverzekering gebruik je meestal op het moment dat er al iets mis is gegaan. Daarom is het belangrijk dat je van tevoren weet hoe het meldproces werkt. Bij veel verzekeraars kun je een incident direct melden, waarna een gespecialiseerd team meekijkt naar de aard en omvang van het probleem. Zo noemt Hiscox een 24/7 Incident Response-alarmnummer en verwijst NN ook naar directe hulp bij cyberincidenten.

Daarna volgt meestal een eerste beoordeling. Welke systemen zijn geraakt? Is er een datalek? Ligt de bedrijfsvoering stil? Is er forensisch onderzoek nodig? Moet er juridische ondersteuning komen? Op basis daarvan worden specialisten ingezet en wordt duidelijk welke kosten onder de polis vallen.

In de praktijk werkt een cyberverzekering het best als je intern ook zaken op orde hebt. Denk aan back-ups, MFA, patchbeheer, logging en een helder incidentproces. Zonder die basis blijf je kwetsbaar, ook als je verzekerd bent.

Hoe kies je de juiste cyberverzekering?

Kijk eerst naar je eigen risico’s. Niet naar de premie. Vraag jezelf af wat er gebeurt als je systemen acht uur, één dag of drie dagen uitvallen. Welke processen lopen dan vast? Welke data kun je niet missen? Hoe groot is de kans op claims of reputatieschade?

Vergelijk daarna polissen op inhoud. Let vooral op deze punten.

Is bedrijfsstilstand meeverzekerd, en vanaf wanneer?
Zitten fraude en social engineering in de basisdekking?
Hoe hoog zijn de limieten en sublimieten per onderdeel?
Hoe hoog is het eigen risico?
Welke hulp krijg je direct bij een incident?
Welke beveiligingseisen stelt de verzekeraar?
Zijn er onderdelen uitgesloten die voor jouw bedrijf juist belangrijk zijn?

Pas als je die vragen hebt beantwoord, kun je aanbieders eerlijk naast elkaar leggen.

Waar gaat het vaak mis bij het afsluiten?

Veel bedrijven kiezen te snel op premie. Daardoor lijkt een polis aantrekkelijk, terwijl dekking voor bedrijfsstilstand, fraude of crisismanagement beperkt blijkt te zijn. Ook kijken ondernemers vaak te weinig naar wachttijden en sublimieten.

Een tweede fout is denken dat een cyberverzekering beveiliging vervangt. Dat is niet zo. Verzekeraars verwachten juist dat je basismaatregelen neemt. Zonder die basis loop je niet alleen meer risico, maar kun je ook problemen krijgen bij acceptatie of schade.

Een derde fout is te laat pas ontdekken hoe meldingen en hulpverlening werken. Op het moment van een incident wil je geen polisvoorwaarden gaan uitpluizen. Je wilt direct weten wat je moet doen en wie er meekijkt.

Veelgestelde vragen over cybersecurityverzekeringen

Is een cybersecurityverzekering verplicht?
Nee, meestal niet. Wel kan het in de praktijk worden gevraagd door klanten, opdrachtgevers of ketenpartners. Het NCSC noemt dat afnemers en leveranciers soms eisen kunnen stellen.

Dekt een cyberverzekering ook ransomware?
Vaak wel, maar niet elke polis doet dat op dezelfde manier. De ene verzekering vergoedt vooral herstel en hulpverlening. De andere dekt ook afpersing of fraude, vaak onder voorwaarden. Kijk daarom altijd naar de polisvoorwaarden en niet alleen naar de productpagina.

Wat kost een cyberverzekering voor een mkb-bedrijf?
Dat verschilt sterk. Verzekeraars publiceren lang niet altijd vaste tarieven. De uiteindelijke premie hangt af van omzet, sector, beveiligingsniveau, gekozen limiet en eigen risico.

Is een standaard cyberdekking genoeg?
Dat hangt af van je bedrijf. Voor een kleine onderneming met beperkt risico kan dat voldoende zijn. Bij Univé is bijvoorbeeld standaard een beperkte dekking tot €10.000 per jaar opgenomen bij bepaalde zakelijke verzekeringen, met uitbreidingsmogelijkheden. Voor organisaties met veel data, omzetafhankelijkheid of grotere aansprakelijkheidsrisico’s is een uitgebreidere polis vaak logischer.

Heb je een cyberverzekering nodig als je al sterke beveiliging hebt?
Vaak wel. Sterke beveiliging verkleint het risico, maar neemt het niet weg. Ook organisaties met MFA, back-ups en goed patchbeheer kunnen geraakt worden door ransomware, phishing, menselijke fouten of uitval bij leveranciers.

Bronnen

Check hier cybersecuritybedrijven in Nederland