Cyberverzekering voor je KMO: wat dekt zo'n polis echt
Een cyberverzekering herstelt niets, ze betaalt de rekening. Het verschil zit in de uitsluitingen. Zo leest u een polis voor uw KMO.
Een cyberverzekering herstelt geen systemen. Ze betaalt de rekening achteraf voor wat in de polis staat. Het verschil tussen een polis die u echt helpt en een dure illusie zit bijna nooit in de premie. Het zit in de definities, in de uitsluitingen en in de vragen waaraan u vooraf moet voldoen. Hieronder loopt u door wat zo'n polis doorgaans wel dekt, waar de gaten zitten en hoe u in zeven stappen tot een onderbouwde keuze komt.
Kort samengevat
- Een cyberverzekering vergoedt de gevolgen van een incident: onderzoek, herstelwerk, aansprakelijkheid en communicatie.
- Ze herstelt uw systemen niet. Dat blijft uw eigen werk, met of zonder polis.
- De premie zegt weinig. De definities en de uitsluitingen bepalen of u bij een echt incident iets krijgt.
- Bijna elke verzekeraar vraagt eerst dat uw basisbeveiliging op orde is. Zonder goede back-up en tweestapsaanmelding betaalt u vaak niets.
- Los van de polis legt de wet u al plichten op, onder meer een melding binnen 72 uur bij een datalek met risico voor personen.
Wat een cyberverzekering wel dekt
Een cyberpolis is in de kern een schadeverzekering voor de gevolgen van een digitale aanval of een menselijke fout. De meeste polissen dekken een handvol blokken die u apart terugvindt in de voorwaarden.
Het eerste blok is reactie en herstel. Daaronder valt het onderzoek dat uitzoekt hoe de indringer binnenkwam, het opnieuw opbouwen van getroffen systemen en de kosten om gegevens te herstellen. Het tweede blok is melding en communicatie. Als u klanten, personeel of de toezichthouder moet verwittigen, betaalt de polis het callcenter, de advocaat en de communicatiecampagne. Het derde blok is aansprakelijkheid. Als een derde schade lijdt door een incident bij u, dekt de polis de schadevergoeding en de verdedigingskosten.
Daarnaast staat er meestal een luik rond bedrijfsonderbreking. Dat vergoedt de winstderving voor de dagen dat u niet kunt leveren, vaak met een langere wachttijd dan bij klassieke verzekeringen. Bij een deel van de polissen krijgt u ook toegang tot een netwerk van specialisten: een forensisch onderzoeker, een crisisadvocaat en een onderhandelaar voor losgeld.
Waar de gaten zitten
De premie is het zichtbare deel. De uitsluitingen zijn het deel dat u bij een echt incident voelt. Vijf terugkerende clausules verdienen uw aandacht.
Ten eerste de basisbeveiliging als voorwaarde. Bijna elke polis schrijft voor dat u back-ups maakt, dat u tweestapsaanmelding gebruikt op uw e-mail en op uw beheeromgevingen en dat u beveiligingsupdates tijdig installeert. Voldoet u daar niet aan, dan kan de verzekeraar weigeren, ook als de aanval met dat gebrek niets te maken had.
Ten tweede de eigen fout. Schade door grove nalatigheid of door een bewuste wetsinbreuk valt bij veel verzekeraars buiten dekking. Dat is de open deur waar betwistingen binnenkomen.
Ten derde de wachttijden en de franchise. De eerste uren of dagen bedrijfsonderbreking zijn vaak uw eigen kost en de franchise ligt hoger dan bij klassieke verzekeringen.
Ten vierde de verzekerde bedragen. Een polis met een laag plafond klinkt betaalbaar en dekt bij een ernstig incident alleen het onderzoek. Het herstel van het systeem loopt dan naast de polis door.
Ten vijfde cyberoorlog en statelijke actoren. Zodra een aanval wordt toegeschreven aan een overheidsactor of aan oorlogshandelingen, valt die bij meerdere verzekeraars buiten dekking. De formulering van die clausule verschilt sterk van maatschappij tot maatschappij. Laat dat punt door een makelaar naast elkaar leggen.
Waarom de vragenlijst van de verzekeraar uw echte voordeel is
Voor u een voorstel krijgt, vult u een vragenlijst in. Terugkerende vragen: hoe vaak test u uw back-up, heeft u een herstelplan dat u ooit echt hebt uitgevoerd, wie heeft beheerdersrechten, staat er tweestapsaanmelding op uw e-mail en hoe meldt een medewerker een verdachte mail?
Dat invullen kost een halve dag en het is de nuttigste halve dag van het dossier. De vragenlijst is in de praktijk een gratis doorlichting. Ze toont u de zwakke plekken die een verzekeraar belangrijk vindt. Meestal zijn dat dezelfde plekken waar een aanvaller begint. Vul ze eerlijk in. Wie te rooskleurig antwoordt, bouwt een betwisting in voor het moment dat hij het geld echt nodig heeft.
Wat de wet u al vraagt, met of zonder polis
Die verplichtingen bestaan los van de verzekering en ze bepalen mee of u in een geschil sterk staat.
De AVG vraagt dat u een datalek met een risico voor de rechten van personen binnen 72 uur meldt aan de Gegevensbeschermingsautoriteit. U houdt daarnaast bij wat er precies gebeurde en welke gegevens geraakt zijn. Bij de schadebehandeling kijkt de verzekeraar bovendien naar de vraag of u die meldplicht naleefde.
De Belgische NIS2-wet van 26 april 2024 legt in een reeks sectoren verplichtingen op rond risicobeheer en meldingen. Het Centre for Cybersecurity Belgium is de toezichthouder en werkt met het Cyber Fundamentals-kader, dat u in niveaus afwerkt. Of uw zaak eronder valt, hangt af van uw sector en van uw omvang. Veel kmo's kennen die vraag niet en daar loopt het mis.
Publieke en kosteloze hulp bestaat en is bruikbaar. De campagnesite safeonweb.be van het Centre for Cybersecurity Belgium geeft concrete tips die u rechtstreeks naar uw medewerkers kunt doorsturen. Assuralia, de federatie van Belgische verzekeraars, publiceert algemene uitleg over cyberverzekeringen. Voor begeleiding van kleine ondernemingen bestaan er kanalen via VLAIO. Gebruik die bronnen om uw vragenlijst voor de makelaar scherp te stellen.
Stap voor stap: zo kiest u in zeven stappen
- Breng uw eigen risico in kaart voor u naar een verzekeraar stapt. Welke gegevens verwerkt u, hoe lang kunt u zonder uw systemen en wie zou er echt last van hebben? Schrijf dat op één pagina.
- Herstel eerst wat de verzekeraar toch als voorwaarde stelt. Back-up, een test van die back-up, tweestapsaanmelding, updates en een afgesproken meldweg voor verdachte mail. Dat werk verlaagt de premie en het maakt de polis uitkeerbaar.
- Test één volledige herstelronde van de back-up voor u betaalt. Een verzekeraar vergoedt geen herstel dat u zelf nooit hebt geoefend. Bovendien ziet u dan wat het echt kost.
- Vraag minstens twee voorstellen bij verschillende maatschappijen en laat een makelaar ze naast elkaar leggen. Vergelijk niet de premie maar de definities, de wachttijden, de franchise en het plafond per jaar.
- Lees de uitsluitingen punt per punt. Eigen fout, cyberoorlog, statelijke actor, eisen van een derde partij en een niet-geteste back-up. Bevraag elke clausule die u niet begrijpt.
- Leg de wettelijke meldplicht naast de polisvoorwaarden. Wie meldt binnen 72 uur, wie houdt het register bij en wie roept de forensisch onderzoeker? Zet namen in het plan, niet alleen rollen.
- Onderteken pas als de polis, uw plan en uw back-uptest op elkaar passen. Herlees het geheel na een half jaar. Een polis dekt wat u op het moment van het incident echt had staan.
Tools en bronnen die u vandaag gebruikt
U hebt geen dure software nodig om dit voor te bereiden. U hebt een set bronnen nodig die u naast uw eigen situatie legt.
- safeonweb.be van het Centre for Cybersecurity Belgium: concrete tips en campagnes voor uw medewerkers.
- Het Cyber Fundamentals-kader van het Centre for Cybersecurity Belgium: een niveaulijst waarmee u afvinkt waar uw zaak staat.
- De website van de Gegevensbeschermingsautoriteit: de meldplicht bij een datalek en de documentatie die u daarbij moet kunnen tonen.
- De uitleg van Assuralia over cyberverzekeringen: achtergrond voor het gesprek met uw makelaar.
- Uw eigen back-upsoftware: de functie die de hersteltijd meet is belangrijker dan de knop die een back-up maakt.
- Een risicoregister in een spreadsheet: per systeem wie de eigenaar is, wat het kost als het uitvalt en wie het herstelt.
Tips die u pas na een eerste ronde kent
Kies een makelaar die cyberverzekeringen regelmatig plaatst. De uitsluitingen verschillen zo sterk dat een goedkope polis bij een echt incident vaak duurder uitkomt. Vraag wat er in de praktijk wordt uitgekeerd, niet alleen wat er wordt beloofd.
Oefen de eerste uren. Wie belt de forensisch onderzoeker, wie opent het crisisdraaiboek en wie licht de klanten in? Doe dat één keer met de ploeg die het op een zondag ook zou moeten doen. De verzekeraar betaalt het onderzoek, maar uw team bepaalt hoe snel het begint.
Scheid beheerderstoegang van gewone accounts. Bij de schadebehandeling wordt gevraagd wie welke rechten had. Zolang elke medewerker beheerder is, verzwakt u uw eigen dossier voor het geopend wordt.
Verzeker niet alleen het incident maar ook de stilstand. Reken uit hoe lang u zonder facturatie, zonder orderopvolging en zonder e-mail kunt. Zet dat getal naast de wachttijd van de polis. Vaak ziet u dan dat u eerder de wachttijd dan de premie wilt aanpakken.
De verzekering vervangt uw back-up en uw plan niet. Ze betaalt de rekening. Uw back-up en uw plan bepalen hoe groot die rekening wordt.
Zelfscan
Vijf vragen. Antwoord eerlijk, ook als het antwoord nee is.
Maakt u back-ups en hebt u er ooit één echt teruggezet?
Een back-up die u nooit hebt teruggezet is een belofte. Test minstens één volledige herstelronde per jaar en meet hoelang het duurt.
Staat tweestapsaanmelding op uw e-mail en op uw beheertoegang?
E-mail is de sleutel tot bijna alles. Zonder tweede factor is één gestolen wachtwoord genoeg voor een volledige overname.
Weet elke medewerker waar hij een verdachte mail of een raar scherm meldt?
Een meldweg die niemand kent bestaat niet. Zet één adres en één nummer in het plan en herhaal dat op het werkoverleg.
Kent u uw meldplicht bij een datalek?
Met een risico voor personen meldt u binnen 72 uur bij de Gegevensbeschermingsautoriteit. Leg nu vast wie dat doet en welke gegevens daarvoor klaarstaan.
Hebt u de uitsluitingen van uw polis ooit gelezen met iemand die er technisch naar kijkt?
Eigen fout, een niet-geteste back-up en cyberoorlog staan in bijna elke polis. Lees ze bij de start, niet na het incident.
Wat u vandaag doet
- Schrijf op één pagina welke gegevens u verwerkt en hoe lang u zonder uw systemen kunt.
- Zet tweestapsaanmelding aan op uw e-mail en op uw beheertoegang.
- Test één herstelronde van uw back-up en schrijf de tijd op.
- Zet één meldadres en één nummer voor verdachte mail op het werkoverleg van deze week.
- Vraag twee offertes bij een makelaar en vergelijk de uitsluitingen, niet de premie.
- Leg naast de polis de meldplicht binnen 72 uur vast, met naam en telefoonnummer.
Hoe u een incident aanpakt vanaf het eerste uur staat in Datalek: wat een KMO wettelijk moet doen, stap voor stap. Wilt u een draaiboek, een risicoregister of een herstelplan dat bij uw zaak past in plaats van een voorbeeld van het internet, dan staat bij business consultancy voor KMO's wat daarvoor komt kijken. Kost het uitzoeken u te veel tijd naast uw zaak, dan neemt HisarWeb dat deel over.
Wilt u zien wat er voor uw eigen bedrijf mogelijk is? Vraag een gratis proefhomepage aan via https://www.hisarweb.be/proefhomepage.
