Je softwareleverancier ligt plat: wat dekt je cyberverzekering?

Een dag zonder portalen

Op woensdag 21 oktober konden we een deel van ons eigen werk niet doen. Het portaal van een verzekeraar ging dicht, en ook de app en de omgeving waar klanten hun polissen zien. Ons adviesprogramma voor hypotheken ging offline, en het portaal van een aanbieder van woonlastenverzekeringen ook. Geen van hen was gehackt. Ze schreven er allemaal hetzelfde bij: dit is een voorzorgsmaatregel.

De oorzaak was PHP, de programmeertaal onder een groot deel van alle websites en webapplicaties. Op 20 oktober lekten twee kritieke fouten uit, nog voordat er een reparatie was. Via die fouten kon een aanvaller van buitenaf een server overnemen. De reparatie kwam op 21 oktober om 16:00 uur Nederlandse tijd, in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Tot die tijd was offline gaan de veiligste keuze.

Voor een ondernemer betekent zo'n dag dat je geen offerte kunt maken, geen aanvraag kunt indienen of geen klant kunt helpen. Dan is de vraag logisch: krijg ik die verloren dag vergoed?

Waarom een cyberverzekering hier meestal niet betaalt

Een cyberverzekering dekt de schade van een incident op je eigen systemen: een hack, ransomware, een datalek. De bedrijfsschade die daaruit volgt valt er ook onder. Uitval bij een ander is iets anders. Wij hebben de cybervoorwaarden van vijf verzekeraars naast elkaar gelegd (Hiscox, Chubb, Markel, AIG en de volmacht van Hienfeld). Zo zit het daar:

• Stilstand bij je leverancier is niet altijd standaard. Bij Hiscox en AIG kies je het er apart bij, en het staat dan op je polisblad. Bij Markel en Chubb zit het in de dekking voor bedrijfsschade, met een eigen maximum.
• Het moet gaan om een leverancier met wie je een contract hebt. Alle vijf spreken van een dienstverlener met wie je een overeenkomst hebt, en Markel, AIG en Hienfeld noemen daarbij ook dat je hem betaalt. Het portaal van een verzekeraar, waar je geen abonnement op hebt, valt daar waarschijnlijk niet onder. Een abonnement op je boekhoud- of planningsprogramma wel.
• En meestal moet die leverancier zelf getroffen zijn. Hiscox betaalt als de leverancier last heeft van een aanval of een tekortkoming in zijn beveiliging, Markel alleen bij een aanval, schadelijke software of onbevoegde toegang. Chubb dekt daarnaast een fout van de leverancier, zoals een programmeerfout of een menselijke fout. AIG gaat het verst: daar telt ook een onbedoelde en ongeplande uitval. Of een leverancier die bewust uit voorzorg offline gaat daaronder valt, staat er niet. Reken er niet op.
• Internet, stroom en telecom vallen er bij alle vijf buiten. Ligt je provider plat, dan is dat geen verzekerd incident.
• De eerste uren zijn altijd voor jezelf. Elke polis kent een wachttijd voor bedrijfsschade. Hoe lang die is, staat op je polis en niet in de voorwaarden. Een storing van een dag kan daar helemaal binnen vallen.

En als je je eigen website uit voorzorg uitzet?

Ook dat is bij de meeste verzekeraars niet vanzelf gedekt. Er moet bijna altijd al iets aan de hand zijn. Bij Hiscox is dat een aanval of inbraak die je ontdekt of redelijkerwijs vermoedt, en de kosten die je in de eerste 72 uur maakt om erger te voorkomen worden vergoed. Bij Chubb telt het uitzetten als het de gevolgen van een aanval of een fout beperkt. Markel vergoedt een onderbreking alleen als deskundigen je die adviseren om schade door een incident te beperken. Hienfeld omschrijft het het ruimst: daar telt ook een onderbreking die je zelf start om onbevoegde toegang te voorkomen. Of dat ook geldt zonder dat er een aanval is geweest, staat er niet met zoveel woorden.

Een lek dat je kent en laat liggen, kan je dekking kosten. Bij Chubb krijg je na een aanval via een bekend en niet gerepareerd lek een lagere maximale uitkering en een hoger eigen risico, als er al een reparatie beschikbaar was en de termijn op je polisblad voorbij is. Hienfeld sluit schade uit door een probleem dat je vooraf kende of had moeten kennen. Sinds 21 oktober is dit een bekend lek, met een reparatie.

Wat je nu kunt doen

1. Laat je eigen website bijwerken. Draait je site op WordPress of een andere toepassing in PHP, vraag dan je bouwer of hostingpartij of de reparatie van 21 oktober is geïnstalleerd. Draait je site nog op PHP 8.1 of ouder, dan krijgt die versie geen reparatie meer en moet hij over naar een nieuwere. Doe dat deze week, niet bij de volgende onderhoudsronde.
2. Pak je polisblad erbij. Kijk of je de optie voor stilstand bij je leverancier hebt, wat de grens is en hoe lang de wachttijd is. Staat er geen cyberverzekering op je lijstje, dan weet je nu ook waar het gat zit.
3. Maak een lijstje van je kritieke leveranciers. Zonder welk programma of portaal sta je na een dag stil? Dat bepaalt of de optie voor je leverancier de premie waard is, en welke grens je nodig hebt.

Wij lopen dat graag met je door. We kijken naar je huidige polis, of je de dekking hebt die je denkt te hebben, en of het bij jouw bedrijf past. Meer over wat een cyberverzekering wel dekt lees je op onze pagina over de cyberverzekering. Bedrijfsschade door brand of storm valt onder een andere polis: de bedrijfsschadeverzekering.

Over de auteur

Dit is algemene informatie, geen persoonlijk advies. Neem voor jouw situatie contact op.