Een cyberverzekering betaalt meestal de kosten na een hack, ransomware of datalek: het herstel van je systemen en gegevens, de omzet die je misloopt terwijl alles stilligt en claims van klanten van wie gegevens zijn gelekt. Geld dat je kwijtraakt omdat een medewerker een oplichter betaalt, bij CEO-fraude of een vervalste factuur, valt daar niet vanzelf onder. Daarvoor heb je een cybercrimeverzekering of een aparte fraudedekking nodig.

Wat is het verschil tussen een cyberverzekering en een cybercrimeverzekering?

Een cyberverzekering gaat over schade aan en door je systemen. Een cybercrimeverzekering gaat over geld dat criminelen je via een digitale truc afhandig maken. Verzekeraars gebruiken die namen niet allemaal op dezelfde manier: het NCSC schrijft dat er geen eenduidige definitie van een cyberverzekering bestaat. De tabel laat zien waar je meestal moet zoeken.

Infographic: welke polis betaalt welke schade, van ransomware tot een vervalste factuur
Wat er gebeurtWaar je dekking zoekt
Ransomware versleutelt je bestanden, je kunt drie dagen niet werkenCyberverzekering: herstel, IT-specialisten, gemiste omzet
Een hacker kopieert je klantenbestand en klanten eisen schadevergoedingCyberverzekering: aansprakelijkheid en juridische hulp bij het datalek
Je boekhouder maakt € 18.000 over na een mail die van jou lijkt te komenCybercrimeverzekering of fraudemodule
Een leverancier lijkt een nieuw rekeningnummer te sturen en je betaalt de factuur aan een oplichterCybercrimeverzekering of fraudemodule
Je laptop gaat kapot door een val of kortsluitingGeen van beide: dat is een elektronicaverzekering

Staat fraude met betalingen niet met zoveel woorden in de voorwaarden, ga er dan van uit dat het niet gedekt is. CEO-fraude treft volgens de Fraudehelpdesk inmiddels ook kleinere bedrijven, stichtingen en verenigingen. Hoe je een nepfactuur herkent, lees je in factuurfraude voorkomen.

Wat vergoedt een cyberverzekering?

Het NCSC deelt de dekking op in directe en indirecte kosten, plus diensten die verzekeraars erbij leveren:

  • Directe kosten zijn onder meer hard- en software repareren of vervangen, data herstellen, je administratie opnieuw opbouwen, specialisten inhuren en verloren uren of omzet.
  • Indirecte kosten zijn reputatieschade, omzet- of winstderving, vertragingsschade en schadevergoedingen aan gedupeerden.
  • Als dienst krijg je vaak een 24/7 alarmcentrale, technische hulp, juridische hulp bij een datalek onder de AVG, forensisch onderzoek naar de aanvaller of trainingen voor je personeel.

Juridische hulp heb je bij een datalek snel nodig. Lekken er persoonsgegevens, dan moet je dat binnen 72 uur nadat je het ontdekt melden bij de Autoriteit Persoonsgegevens. Dat hoeft alleen niet als het lek waarschijnlijk geen risico oplevert voor de mensen van wie de gegevens zijn. Die melding doe je zelf, ook als je verzekerd bent. Hoe je het lek voorkomt, staat in hoe voorkom je een datalek.

Een deel van de verzekeraars stelt eisen voordat ze je accepteren. Ze vragen naar je beveiliging, soms om een risicoscan, of eisen een virusscanner en firewall. Heb je een certificaat voor informatiebeveiliging, dan kan de aanvraag volgens het NCSC makkelijker gaan.

Dekt je aansprakelijkheidsverzekering al een deel?

Dat weet je vaak niet zeker. Bedrijfspolissen zoals je aansprakelijkheids-, inventaris- en bedrijfsschadeverzekering stammen uit een tijd waarin IT nauwelijks een rol speelde. Het Verbond van Verzekeraars noemt dat stille dekking: cyberschade is in de voorwaarden niet in- of uitgesloten. Bij beroepsaansprakelijkheidspolissen voor het mkb is volgens het Verbond vaak nog geen duidelijk standpunt ingenomen over cyberincidenten.

Je denkt dan goed verzekerd te zijn en kunt na een hack in discussie raken met je verzekeraar. Vraag daarom vóór je een cyberpolis afsluit schriftelijk na wat je huidige polissen bij een cyberincident doen. Meer over de gewone polis lees je in waar je aan moet denken bij een aansprakelijkheidsverzekering.

Wat kost een cyberverzekering?

Er is geen onafhankelijke prijslijst. Het NCSC schrijft dat voorwaarden en premies flink verschillen tussen aanbieders en vaak worden aangepast. Het Verbond van Verzekeraars beschreef in januari 2024 dat verzekeraars in de jaren na 2020 de acceptatie voor mkb-polissen strenger maakten en de premies licht verhoogden. In 2023 namen de prijsstijgingen op de cybermarkt flink af.

Bij de premie komt 21% assurantiebelasting. Je vergelijkt alleen eerlijk als elke offerte hetzelfde verzekerde bedrag en eigen risico heeft. Een lage premie met een eigen risico van een paar duizend euro is voor een klein bedrijf vaak geen koopje.

Rekenvoorbeeld: kun je een week stilstand zelf betalen?

Het NCSC raadt aan te verzekeren wat zelden gebeurt maar hard aankomt. Het CBS meldt dat 4% van de bedrijven in 2024 een cyberincident door een aanval van buitenaf had en dat 1% daar kosten aan overhield. De kans is klein. De vraag is dus wat het kost als het jou treft.

Neem een webwinkel met € 600.000 omzet per jaar en 40% brutomarge. Na een ransomware-aanval ligt de winkel een week plat. De bedragen hieronder zijn aannames voor dit voorbeeld.

PostBerekeningBedrag
Gemiste brutowinst€ 600.000 × 40% ÷ 52 weken€ 4.615
IT-specialist voor herstel40 uur × € 125€ 5.000
Juridisch advies en klanten informeren over gelekte gegevens10 uur × € 200€ 2.000
Totaal€ 11.615

Duurt het herstel twee weken, dan loopt de gemiste brutowinst op tot € 9.231. Claims van klanten komen daar nog bij. Kun je zo'n bedrag niet uit je buffer betalen, dan heeft een verzekering zin.

Waarom verzekerde bedrijven meer losgeld betalen

Tom Meurs, specialist cybercriminaliteit bij de politie, bestudeerde voor zijn promotieonderzoek meer dan 500 ransomware-aanvallen op mkb-bedrijven tussen 2019 en 2023. Bedrijven met een cyberverzekering betaalden gemiddeld 2,8 keer meer losgeld. Criminelen zoeken in je netwerk naar bestanden met namen als 'insurance' of 'policy' en stellen hun eis daarop af.

Bewaar je polis dus buiten je bedrijfsnetwerk. Bedrijven met goed ingerichte back-ups betaalden in hetzelfde onderzoek 27 keer minder vaak losgeld. Politie en NCSC raden af om te betalen: je krijgt geen garantie dat je je gegevens terugkrijgt. Wat je kunt doen om een aanval te voorkomen, lees je in cybercrime voorkomen in 5 stappen.

Advies van De Zaak: Werk je alleen, staan je bestanden in de cloud en kun je € 10.000 aan schade uit je buffer betalen? Sla de cyberverzekering dan over en zet dat geld in offline back-ups en tweestapsverificatie op je mail en bank. Hangt je omzet aan je webshop of systemen, of bewaar je gegevens van veel klanten, neem de verzekering dan wel. Laten anderen dan jij betalingen doen, vraag dan ook fraudedekking: CEO-fraude mikt op de medewerker die het geld overmaakt.

Zo kies je een cyberverzekering

  1. Schrijf op welke systemen en gegevens je bedrijf stilleggen als ze een week weg zijn.
  2. Reken uit wat die week kost, zoals in het rekenvoorbeeld hierboven.
  3. Vraag je adviseur schriftelijk wat je aansprakelijkheids-, bedrijfsschade- en elektronicaverzekering nu al dekken bij een hack of datalek.
  4. Bepaal of je fraudedekking wil voor CEO-fraude en valse facturen, en vraag die met zoveel woorden aan.
  5. Vergelijk offertes op verzekerd bedrag per incident en per jaar, eigen risico, de maatregelen die je verplicht moet nemen en een 24/7 hulplijn.
  6. Bewaar de polis en de voorwaarden buiten je netwerk, bijvoorbeeld op papier of in een apart account.

Wil je dit soort wijzigingen in verzekeringen en regels op tijd zien? Schrijf je in voor de nieuwsbrief van De Zaak.

Veelgestelde vragen

Is een cyberverzekering verplicht?

Nee, je bent als mkb-bedrijf niet wettelijk verplicht om een cyberverzekering te hebben. Een klant of leverancier kan het wel in een contract eisen. De Cyberbeveiligingswet, die op 15 augustus 2026 is ingegaan voor ruim 8.000 organisaties, stelt eisen aan beveiliging, niet aan verzekeringen.

Ben ik als bedrijf verzekerd tegen internetfraude?

Meestal niet vanzelf. Gewone bedrijfspolissen noemen cyberincidenten vaak niet, zodat onduidelijk is wat ze dekken. Geld dat je overmaakt aan een oplichter, bijvoorbeeld bij CEO-fraude, is alleen gedekt als je polis fraude met betalingen met zoveel woorden noemt.

Vergoedt een cyberverzekering losgeld?

Dat verschilt per verzekeraar en staat in de voorwaarden. Politie en NCSC raden af om losgeld te betalen, omdat je geen garantie hebt dat je je gegevens terugkrijgt. Uit politieonderzoek blijkt dat verzekerde mkb-bedrijven gemiddeld 2,8 keer meer losgeld betaalden.

Hoeveel bedrijven hebben een cyberverzekering?

Volgens de Cybersecuritymonitor 2025 van het CBS is 19% van de bedrijven met twee of meer werknemers verzekerd voor cyberincidenten. Zzp'ers zonder personeel zitten niet in deze cijfers. In de financiële dienstverlening is dat 40% en in de informatie en communicatie 35%. In de bouw, het vervoer en de horeca is het 12%.

Moet ik een datalek ook melden als ik verzekerd ben?

Ja. Je meldt een datalek met persoonsgegevens binnen 72 uur nadat je het ontdekt bij de Autoriteit Persoonsgegevens, tenzij het lek waarschijnlijk geen risico oplevert voor de mensen om wie het gaat. Die plicht ligt bij je eigen bedrijf, niet bij de verzekeraar. Soms moet je ook de mensen informeren van wie gegevens zijn gelekt.

Bronnen