Cyberverzekering: wat vraagt de verzekeraar voor hij u dekt?
De verzekeraar wil weten of u de basisbescherming hebt: tweestapsverificatie, regelmatige back-ups die apart bewaard worden, detectie op de computers, een crisisplan en de geschiedenis van uw incidenten. Hij stelt zijn vragen schriftelijk, en uw antwoorden binden u: een opzettelijk fout antwoord maakt de overeenkomst nietig. Kijk vóór u tekent elk ‘ja’ na en verzamel het bijbehorende bewijs.
Waarom de verzekeraar zoveel vragen stelt
Een cyberverzekering sluit u niet af zoals een brandverzekering. Voor de verzekeraar uw onderneming dekt, wil hij weten of de basisbescherming op orde is. Een kmo zonder back-up of tweestapsverificatie is voor hem een risico dat hij weigert of duur laat betalen.
Assuralia, de Belgische beroepsvereniging van verzekeringsondernemingen, vat samen waar de maatschappijen naar kijken voor ze een onderneming dekken. De lijst is kort, maar elk punt vraagt een bewijs, geen indruk.
Wat de prijs betreft, spreekt Assuralia van premies die vaak gaan van enkele honderden tot enkele duizenden euro, afhankelijk van het risico en de bescherming die al aanwezig is, en van vrijstellingen in dezelfde grootteorde. Het tarief wordt meestal geval per geval berekend: uw antwoorden hebben rechtstreeks invloed op de premie.
De zes punten waar de verzekeraar naar kijkt
| Wat de verzekeraar nakijkt | Wat dat concreet betekent | Wat u moet kunnen tonen |
|---|---|---|
| Tweestapsverificatie | Naast het wachtwoord een code of een bevestiging op de telefoon om aan te melden | De lijst van beveiligde accounts: mail, toegang op afstand, beheerdersaccounts |
| Regelmatige back-ups, apart bewaard | Een kopie van uw gegevens op een andere plek, die een hacker in uw netwerk niet kan wissen | Hoe vaak de kopieën gemaakt worden en de datum van de laatste geslaagde hersteltest |
| Detectie op de computers (EDR, MDR) | Software die verdacht gedrag opmerkt, niet alleen bekende virussen; met MDR volgt een team de alarmen voor u op | Het aantal beveiligde computers en servers, en wie de alarmen ontvangt |
| Schadeverleden | De incidenten die u al meemaakte: virus, gehackte mailbox, betalingsfraude | Een gedateerde lijst, met wat er sindsdien verholpen is |
| Crisis- of continuïteitsplan | Wie wat doet op de dag dat alles stilvalt, en hoe het bedrijf blijft draaien | Een kort, actueel document met de nummers die u moet bellen |
| Akkoord voor een onafhankelijke audit | Aanvaarden dat een derde controleert, bijvoorbeeld volgens het CyberFundamentals-referentiekader van het CCB | Een recente zelfevaluatie, of het rapport van een erkende instelling |
Het CCB is het Centrum voor Cybersecurity België, de overheidsinstelling die bevoegd is voor de cyberveiligheid van het land. Volgens het CCB wordt ongeveer 80 % van de cyberaanvallen mogelijk gemaakt door onoplettendheid of een menselijke fout (cijfer overgenomen door Assuralia). Verwacht dus ook een vraag over de opleiding van uw personeel.
De ‘ja’s’ die niet kloppen
De valkuil is niet de vraag, maar het te snelle antwoord. Kijk deze veelvoorkomende gevallen na voor u ‘ja’ aanvinkt:
- Tweestapsverificatie ‘overal’, behalve op de gedeelde mailbox van het onthaal, het account van een ex-medewerker of dat van de beheerder. Eén vergeten account volstaat om het antwoord onjuist te maken.
- De back-up in de cloud die alleen een synchronisatie is: als ransomware (een programma dat uw bestanden versleutelt en dan losgeld eist) een bestand beschadigt, wordt de beschadigde kopie gewoon overgenomen. Een echte back-up bewaart de oude versies, buiten het bereik van de hacker.
- De back-up die nooit getest werd: zolang u geen map hebt teruggezet, weet u niet of ze werkt.
- De antivirus die als detectie wordt voorgesteld: een klassieke antivirus en een tool voor detectie en respons doen niet hetzelfde werk. Vraag uw dienstverlener wat er echt geïnstalleerd is.
- Het crisisplan in het hoofd van de zaakvoerder: als het niet op papier staat, bestaat het niet voor de verzekeraar.
Uw antwoorden binden u: wat de wet zegt
In België is de wet van 4 april 2014 betreffende de verzekeringen duidelijk. Artikel 58 verplicht u om bij het sluiten van de overeenkomst nauwkeurig alles mee te delen wat u weet en wat voor de verzekeraar van belang is om het risico te beoordelen. De schriftelijke vragenlijst is de concrete vorm van die verplichting.
| Situatie | Wat de wet bepaalt |
|---|---|
| Opzettelijk fout antwoord of verzwegen informatie (artikel 59) | De overeenkomst is nietig. De verzekeraar behoudt de vervallen premies tot het moment waarop hij de verzwijging ontdekt. |
| Onopzettelijke fout, ontdekt vóór een schadegeval (artikel 60) | De overeenkomst blijft geldig. De verzekeraar stelt binnen de maand een aanpassing voor, of zegt op als hij bewijst dat hij dit risico nooit zou hebben verzekerd. |
| Onopzettelijke fout die u niet kan worden verweten, schadegeval intussen | De verzekeraar moet de overeengekomen prestatie leveren. |
| Fout die u kan worden verweten, schadegeval intussen | De verzekeraar betaalt alleen in verhouding tot de betaalde premie tegenover de premie die u had moeten betalen. Bewijst hij dat hij dit risico nooit zou hebben verzekerd, dan beperkt hij zich tot het terugbetalen van de premies. |
Twee nuttige preciseringen. Blijft een schriftelijke vraag onbeantwoord en sluit de verzekeraar de overeenkomst toch, dan kan hij zich daar later niet meer op beroepen, behalve bij bedrog (artikel 58). En tijdens de looptijd van de overeenkomst verplicht artikel 81 u om wijzigingen te melden die het risico aanzienlijk en blijvend verzwaren. Stopt u bijvoorbeeld met externe back-ups, bespreek dat dan met uw makelaar.
Een voorbeeld ter illustratie
Voorbeeld, verzonnen ter illustratie. Een dienstverlenend bedrijf met een twintigtal medewerkers vult de vragenlijst in tien minuten in, tussen twee afspraken door. Bij de vraag ‘Is tweestapsverificatie ingeschakeld voor alle gebruikers?’ vinkt de zaakvoerder ‘ja’ aan. Hij liet ze vorig jaar inschakelen, maar het gedeelde account van de boekhouding werd uitgesloten, om de facturatiesoftware niet te blokkeren.
Acht maanden later komt een hacker net via dat account binnen. Bij de analyse van het schadegeval stelt de expert van de verzekeraar het verschil vast. De vraag wordt juridisch: opzettelijke verzwijging of vergissing te goeder trouw? In het beste geval wordt over de vergoeding gediscussieerd; in het slechtste geval wordt de overeenkomst betwist. Tien minuten controle vóór de ondertekening hadden die discussie voorkomen.
Wat een cyberpolis dekt, en wat u moet nakijken
Volgens Assuralia kan een cyberpolis voor ondernemingen verschillende luiken combineren:
- Uw eigen verliezen: de onderbreking van de activiteit, de analyse en het herstel van de gegevens, de informatici en consultants die dringend worden ingeschakeld, en eventueel administratieve boetes.
- Uw aansprakelijkheid tegenover anderen: als uw klanten of partners schade lijden, inclusief de verdedigingskosten.
- Bijstand: technische hulp, communicatie, crisisbeheer en bescherming van de reputatie.
- Het losgeld: hulp bij de onderhandeling en de betaling, een luik dat de verzekeraar niet altijd toekent.
Betalingsfraude (de valse leverancier, de valse baas) zit niet noodzakelijk in de cyberpolis: Assuralia raadt aan om daarnaast een fraudewaarborg te overwegen. Lees de uitsluitingen en de plafonds voor u prijzen vergelijkt.
Na een aanval: de reflexen die uw vergoeding beschermen
- De verzekeraar of de makelaar zo snel mogelijk verwittigen, en in elk geval binnen de termijn uit de overeenkomst (artikel 74 van de wet). Noteer het bijstandsnummer van de polis in uw crisisplan.
- De schade beperken: de wet vraagt u alle redelijke maatregelen te nemen om de gevolgen van het schadegeval te voorkomen en te beperken (artikel 75). Volg de instructies van de bijstandsdienst van de polis om de getroffen toestellen te isoleren.
- Sporen bewaren: schermafbeeldingen, ontvangen berichten, tijdstip van de ontdekking. De expert van de verzekeraar heeft ze nodig.
- De Gegevensbeschermingsautoriteit (GBA) verwittigen als persoonsgegevens getroffen zijn: zo mogelijk binnen 72 uur na de ontdekking, tenzij het lek waarschijnlijk geen risico inhoudt voor de betrokkenen. De melding gebeurt via de pagina van de GBA over gegevensinbreuken.
Komt u deze verplichtingen niet na en lijdt de verzekeraar daardoor nadeel, dan kan hij zijn prestatie verminderen ten belope van dat nadeel. Bij bedrieglijk opzet kan hij zijn dekking weigeren (artikel 76).
CyberFundamentals: een bewijs dat de verzekeraar kan lezen
In plaats van elke vragenlijst op uw eigen manier te beantwoorden, kunt u steunen op een erkend referentiekader. Het CCB ontwikkelde CyberFundamentals (CyFun), een lijst van maatregelen ingedeeld in niveaus. Het niveau ‘Basic’ telt 34 maatregelen. Volgens twee verantwoordelijken van het CCB houden die, volledig toegepast, 82 % van de geanalyseerde echte incidenten tegen (Belgisch Financieel Forum, mei 2024).
Dezelfde auteurs preciseren dat een loutere zelfevaluatie weinig gewicht heeft: pas de controle door een geaccrediteerde instelling geeft een betrouwbaar beeld van het risico, onder meer voor verzekeraars. De zelfevaluatie blijft een goed vertrekpunt om te weten waar u staat. Gratis tools voor Belgische ondernemingen, waaronder een vragenlijst voor zelfevaluatie, vindt u op Safeonweb@work.
Uw plan voor maandagochtend
- Vraag uw makelaar de vragenlijst van de verzekeraar vóór de afspraak, niet op de dag van de ondertekening.
- Laat een lijst opmaken van alle accounts, ook gedeelde en technische, en spoor de accounts op zonder tweestapsverificatie.
- Laat een map terugzetten vanuit de back-up, en noteer de datum en het resultaat.
- Vraag uw dienstverlener wat uw computers echt beschermt: een klassieke antivirus of een detectietool, en wie de alarmen ontvangt.
- Schrijf de lijst op van de incidenten van de voorbije jaren, ook kleine, met wat er verholpen werd.
- Stel een crisisplan van één pagina op: wie u belt, in welke volgorde, met het bijstandsnummer van de verzekeraar.
- Bewaar een kopie van de ondertekende vragenlijst en van de bewijzen: bij een schadegeval is dat uw dossier.
Uw cyberverzekering voorbereiden→
Veelgestelde vragen
Is een kmo verplicht een cyberverzekering af te sluiten?
Nee, geen enkele wet legt ze op. Ze is nuttig als een stilstand van enkele dagen of het herstel van uw gegevens meer zou kosten dan u kunt dragen: Assuralia raadt aan de bedragen te verzekeren die u redelijkerwijs niet zelf zou kunnen betalen. Ze vervangt de bescherming niet: de verzekeraar eist die net voor hij u dekt.
Wat gebeurt er als ik ‘nee’ antwoord op een vraag van de vragenlijst?
Met een eerlijk ‘nee’ doet u niets verkeerd: de verzekeraar past de premie aan, stelt voorwaarden of weigert de dekking. Het foute antwoord is het probleem. Is het opzettelijk, dan is de overeenkomst nietig (artikel 59 van de wet van 4 april 2014); is het onopzettelijk, dan kan de vergoeding verminderd worden (artikel 60).
Hoeveel kost een cyberverzekering voor een kmo?
Volgens Assuralia gaan de premies vaak van enkele honderden tot enkele duizenden euro, afhankelijk van het risico en de aanwezige bescherming, met vrijstellingen van enkele honderden tot enkele duizenden euro. De prijs wordt meestal geval per geval bepaald, op basis van uw antwoorden.
Wordt het losgeld terugbetaald bij ransomware?
Alleen in sommige gevallen: volgens Assuralia is losgeld niet altijd gedekt. Lees de clausule samen met uw makelaar. De echte bescherming blijft een geteste back-up die apart bewaard wordt, zodat u opnieuw kunt opstarten zonder van de hacker af te hangen.
Verlaagt CyberFundamentals de premie?
Geen enkele openbare tariefschaal garandeert dat. Maar Assuralia noemt de CyberFundamentals-audit van het CCB bij wat de verzekeraar kan vragen, en volgens het CCB geeft die een betrouwbaar beeld van het risico, onder meer voor verzekeraars. Het is dus een sterk argument in de onderhandeling.
Moet ik een incident melden dat vóór de ondertekening plaatsvond?
Ja, als ernaar gevraagd wordt in de vragenlijst of als het informatie is die voor de verzekeraar van belang is (artikel 58 van de wet). Het schadeverleden hoort bij de punten die Assuralia noemt. Wie het opzettelijk verzwijgt, riskeert de nietigheid van de overeenkomst.