Cyberverzekering

Een cyberverzekering klinkt als iets voor grote bedrijven, maar juist het mkb en steeds vaker particulieren met vermogen lopen risico. Eén phishing-mail, een gehackte webshop of een gegijzelde administratie kan zomaar tienduizenden euro’s en weken werk kosten. Als onafhankelijk adviseur in ’t Gooi vergelijken we de cyberpolissen van tientallen verzekeraars en kijken we wat écht bij jouw situatie past, niet wat één bank of tussenpersoon toevallig op de plank heeft liggen.

De dreiging neemt elk jaar toe. Aanvallen op kleine bedrijven gaan allang niet meer met de hand: criminelen scannen geautomatiseerd het hele internet af op zwakke plekken en slaan toe waar het kan. Een eenmanszaak met een verouderde plug-in is voor zo’n bot net zo interessant als een groot kantoor. Het verschil zit in de gevolgen: een groot bedrijf heeft een IT-afdeling die de schade opvangt, een zzp’er of klein mkb-bedrijf staat er alleen voor. Dáár vult een cyberverzekering het gat.

Wat dekt een cyberverzekering?

Een cyberverzekering vergoedt de kosten van een digitaal incident: het herstel van je systemen en data, de omzet die je misloopt terwijl je stilligt, de claims van klanten van wie gegevens zijn gelekt en de directe hulp van IT-forensisch experts en juristen. De dekking verschilt per verzekeraar, maar een goede cyberpolis vergoedt doorgaans dit:

• Herstel en data: het terugzetten van systemen en bestanden na een hack of ransomware, inclusief de kosten van externe IT-specialisten.
• Bedrijfsschade door stilstand: gederfde omzet als je dagen of weken plat ligt en niet kunt factureren of leveren.
• Aansprakelijkheid en datalekken: claims van klanten of partners van wie persoonsgegevens zijn gelekt, plus begeleiding rond een AVG-melding.
• Crisis- en forensische hulp: direct toegang tot IT-forensisch onderzoekers en juristen die uitzoeken wat er gebeurd is en de schade beperken, 24/7.
• Afpersing en ransomware: begeleiding bij gijzelsoftware en, afhankelijk van de polis, het losgeld en de onderhandeling daarover.
• Meldplicht en boetebegeleiding: ondersteuning bij de verplichte datalek-melding aan de Autoriteit Persoonsgegevens en bij een eventuele AVG-procedure.

Reken bij een boete niet te snel op vergoeding. Chubb dekt in de zakelijke voorwaarden alleen een boete die volgens het toepasselijke recht ook echt verzekerbaar is, en sluit strafrechtelijke boetes en het terugbetalen van behaalde winst uitdrukkelijk uit. De term AVG-boete komt in die voorwaarden niet voor. Wat wel een belangrijk deel van de dekking is, is de juridische begeleiding eromheen. Vraag dus altijd na wat precies onder de boete- en aansprakelijkheidsdekking valt, want daar zit het verschil tussen polissen.

Hackschade, ransomware en datalek, wat betekent dat concreet?

Drie scenario’s zie ik het vaakst. Bij een hack komt iemand binnen via een gestolen wachtwoord of een lek in je software en kijkt mee, steelt gegevens of verstoort je systemen. Bij ransomware wordt je hele administratie versleuteld en moet je betalen om er weer bij te kunnen, of alles opnieuw opbouwen vanaf je back-up. Bij een datalek komen persoonsgegevens van klanten of medewerkers op straat te liggen, met meldplicht en mogelijke claims als gevolg. In alle drie de gevallen telt de eerste 24 uur het zwaarst: hoe sneller er een expert meekijkt, hoe kleiner de schade.

Dekt een cyberverzekering de stilstand van je bedrijf na een hack?

Ja. Een zakelijke cyberverzekering kan de bedrijfsschade door stilstand na een hack vergoeden. CyberClear by Hiscox (polisvoorwaarden HCC-2022/01, art. 2.1.5) vergoedt bijvoorbeeld gederfde inkomsten en hogere arbeidskosten die uitsluitend en direct het gevolg zijn van een gedeeltelijke of totale stagnatie van je bedrijf. De aanleiding is een inbreuk, beveiligingsinbreuk, onrechtmatige bedreiging of cyberaanval die je tijdens de looptijd ontdekt of redelijkerwijs vermoedt (art. 2.1).

Bij Hiscox gelden daarbij deze regels (polisvoorwaarden HCC-2022/01):

• Retentietijd en termijn: De stilstand moet langer duren dan de retentietijd en korter dan de schadevergoedingstermijn. Beide staan op je polis, de termijn in maanden (art. 2.1.5, begrippenlijst).
• Eerste periode voor eigen rekening: Schade tijdens de retentietijd, direct na het begin van de stilstand, draag je zelf (art. 4.1.1, begrippenlijst).
• Berekening: De uitkering is het verschil tussen feitelijke en geschatte inkomsten tijdens de schadevergoedingstermijn, verminderd met bespaarde kosten (art. 4.1.5).
• Dataherstel: Apart gedekt zijn redelijke, noodzakelijke kosten voor toegang tot data of software vanuit back-ups, originelen of andere bronnen, met voorafgaande toestemming van Hiscox. Datawaarde is uitgesloten, net als opwaardering boven het eerdere niveau, tenzij je data of software alleen te herstellen is door een nieuwere gelijkwaardige versie te kopen (art. 2.1.4, begrip dataherstelkosten).
• Menselijke fout: Deze stilstand is gedekt tot de sublimiet op je polis (art. 2.1.9).
• Stilstand bij je ICT-leverancier: Stilstand door een beveiligingsinbreuk of cyberaanval bij je afhankelijke ICT-dienstverlener is een apart mee te verzekeren optie (art. 2.1.10).

De Hienfeld Cyberverzekering 2025 (art. 3.1 en 15.3) rekent met de vermindering van je brutowinst tijdens de herstelperiode. Die begint na de wachttijd op je polis en duurt maximaal 365 dagen (art. 15.19). Herstel van digitale data is daar een eigen dekking (art. 3.5). Kijk op je polisblad naar de retentietijd of wachttijd en naar de termijn: daar zit het verschil tussen twee polissen die allebei bedrijfsschade dekken. De verhouding tot een gewone bedrijfsschadeverzekering lees je op onze pagina over de bedrijfsschadeverzekering.

Voor wie is het echt belangrijk?

Heb je klantgegevens, een webshop, online betalingen of gevoelige administratie? Dan is cyber geen luxe. We zien het vooral bij zzp’ers en mkb-ondernemers die digitaal werken, maar ook bij vermogende particulieren die bijvoorbeeld via family-office-achtige constructies veel online regelen. De vuistregel: hoe afhankelijker je bent van je systemen en data, hoe groter de schade als het misgaat.

Voor zzp’ers en kleine ondernemers weegt nog iets extra mee: tijd. Lig je een week plat, dan loopt je omzet niet alleen mis, je loopt ook achter op alles wat ondertussen blijft binnenkomen. De 24/7-hulplijn die bij een goede cyberpolis hoort, neemt op dat moment het technische en juridische werk uit handen zodat jij je op je klanten kunt richten. Kijk voor de bredere zakelijke dekkingen ook naar je bedrijfsverzekering en, als zelfstandige, naar de gerichte zzp-verzekeringen.

Wat houdt incident response in, en waarom is dat de kern van de polis?

Het belangrijkste onderdeel van een cyberverzekering is vaak niet de geldvergoeding maar de directe hulp. Je krijgt één noodnummer en aan de andere kant zit een incidentteam van IT-forensisch experts, juristen en communicatie-adviseurs dat meteen meekijkt: ze isoleren de aanval, achterhalen hoe groot het lek is, regelen de meldplicht en helpen je systemen weer op te starten. Die expertise heb je zelf niet in huis, en op het moment dat het misgaat heb je geen tijd om hem te zoeken.

Of je dat team móet inschakelen verschilt per polis, en dat is een verschil dat de moeite waard is. In de zakelijke voorwaarden van Chubb is het uitdrukkelijk geen verplichting, maar staat het eigen risico voor de dienstverlening van de cyberincident manager op nul euro als je hem wel belt. Bij de particuliere cyberdekking van Nationale-Nederlanden is het omgekeerd: daar staat dat je zo snel mogelijk de Cyberwacht moet bellen. Ga dus niet zelf eerst een IT-bureau inhuren voordat je hebt gekeken wat je polis hierover zegt.

1. 1Je belt het noodnummerEén nummer, dat je bij je polis krijgt. Je hoeft niet eerst uit te zoeken wie je moet hebben.
2. 2Het incident-team isoleert de aanvalIT-forensisch experts, juristen en communicatie-adviseurs kijken meteen mee en zorgen dat de schade zich niet verder verspreidt.
3. 3Ze achterhalen hoe groot het lek isWelke systemen zijn geraakt en welke gegevens zijn buitgemaakt. Dat bepaalt alle vervolgstappen.
4. 4De meldplicht wordt geregeldIs er sprake van een datalek, dan verzorgt het team de melding en de communicatie richting betrokkenen.
5. 5Je systemen gaan weer draaienHerstel en opstart, zodat je bedrijf weer verder kan.

Welke beveiliging eist een verzekeraar van je?

Een cyberverzekering is geen vrijbrief om je beveiliging te laten versloffen, en bij de particuliere dekkingen staat dat verrassend concreet in de voorwaarden. Nationale-Nederlanden en a.s.r. noemen allebei een termijn van veertien dagen, voor zowel je back-up als je updates. Voldoe je daar niet aan, dan vervalt de hulp of de vergoeding. Dit zijn de eisen die we letterlijk terugvonden:

• Back-ups: Nationale-Nederlanden schrijft in de voorwaarden Cyberservice PP 2811-03 voor dat je minimaal eens per veertien dagen een back-up van je data maakt. Doe je dat niet, dan is er geen aanspraak op hulp bij het herstellen ervan. a.s.r. hanteert in de inboedelvoorwaarden dezelfde veertien dagen.
• Up-to-date software: beide verzekeraars eisen dat je beveiligingsupdates binnen veertien dagen na het beschikbaar komen installeert, en je moet kunnen aantonen dat je dat doet.
• Een sterk wachtwoord en werkende virusscanner: a.s.r. noemt die twee expliciet als voorzorgsmaatregel bij de cyberdekking.

Zakelijk werkt het anders, en dat verschil is belangrijk. In de zakelijke voorwaarden van Chubb staat geen preventieplicht vooraf. In plaats daarvan wordt een aanval die binnenkomt via een bekende, niet gedichte kwetsbaarheid (een CVE met een score van 7.0 of hoger waarvoor al een patch bestond) apart behandeld, met een lagere maximumuitkering en een hoger eigen risico. Je bent dan dus niet onverzekerd, maar je krijgt wel aanmerkelijk minder. Wij lopen deze punten met je door voordat je iets afsluit. Tweestapsverificatie raden we daarbij aan omdat het werkt, niet omdat een polis het eist: in de voorwaarden die wij hebben nagelezen staat die eis nergens.

Wat dekt een cyberverzekering juist niet?

Niet alles is gedekt, en daar zit het venijn in de kleine lettertjes. Opzet valt eruit, net als schade die met oorlog of een statelijke cyberoperatie samenhangt. Chubb sluit daarnaast het uitvallen of haperen van infrastructuur uit, dus een storing bij een leverancier of provider is niet vanzelf een verzekerd incident. Hoe vijf cyberpolissen omgaan met een leverancier die platligt, lees je in ons blog Je softwareleverancier ligt plat: wat dekt je cyberverzekering?. En een aanval via een bekende, niet gedichte kwetsbaarheid wordt apart en beperkter afgehandeld.

De opzetuitsluiting is bij Chubb overigens smaller opgeschreven dan je zou verwachten: die geldt pas als de bewuste overtreding is vastgesteld in een onherroepelijke uitspraak of schriftelijk is erkend. Kijk verder naar het eigen risico, dat bij cyberpolissen fors kan zijn, en naar de maximale uitkering per onderdeel, want ransomware, eerste hulp en bedrijfsschade hebben elk hun eigen limiet. Tot slot de wachttijd voordat bedrijfsschade vergoed wordt. Dit zijn precies de punten waar wij bij het vergelijken op letten.

Heb je een zakelijke of een particuliere cyberdekking nodig?

Voor ondernemers is de zakelijke cyberverzekering de standaard, vaak te combineren met je bedrijfsaansprakelijkheid. Voor particulieren bestaat er cyberdekking die identiteitsfraude, gehackte accounts en online aankoopfraude afdekt, en soms zit een basis al in je rechtsbijstand- of inboedelverzekering. We checken eerst wat je al hebt, zodat je niet dubbel betaalt.

Het scherpste verschil zit bij losgeld. De zakelijke Chubb-polis vergoedt losgeld bij digitale afpersing, maar alleen met voorafgaande schriftelijke toestemming van de verzekeraar, die zij niet op onredelijke gronden mogen weigeren. De cyberdekkingen binnen de inboedelverzekering van Nationale-Nederlanden (Cyberservice PP 2811-03) en a.s.r. (inboedelvoorwaarden) doen het omgekeerde: Nationale-Nederlanden schrijft letterlijk dat er geen losgeld wordt vergoed en a.s.r. sluit losgeld bij afpersing met gijzelsoftware eveneens uit. De losse Cyberverzekering voor particulieren van Turien & Co. (model 12.22, art. 4.4.1 en 4.4.2) vergoedt losgeld wel, maar alleen met een vooraf gegeven autorisatiecode of bevestiging van hun Cyberhulplijn. Werk je thuis zakelijk door op een particuliere polis, dan is dat dus geen kleine nuance.

Wat kost een cyberverzekering?

De premie hangt af van je omzet, je branche, hoeveel en wat voor gegevens je verwerkt en hoe goed je digitale beveiliging op orde is. Hiscox legt die factoren ook zo vast: de premie van CyberClear gaat uit van je bedrijfsactiviteiten, je omzet, de hoeveelheid en soort data en het beveiligingsniveau van je data en computersystemen (HCC-2022/01, art. 4.6). Wij noemen vooraf geen richtprijs, want de spreiding tussen een eenmanszaak zonder klantgegevens en een webshop met betalingsverkeer is zo groot dat een gemiddelde niets zegt. Wat we wel doen: dezelfde uitgangspunten bij meerdere verzekeraars uitzetten, zodat je ziet wat je voor een prijsverschil inlevert of terugkrijgt.

Waarom via Bouvy Advies?

Ik ben onafhankelijk en heb zelf twintig jaar een ICT-bedrijf gehad, cyberrisico’s zijn voor mij geen abstractie. We vergelijken de polissen, vertalen de kleine lettertjes en zorgen dat de dekking aansluit op hoe jij digitaal werkt. Eén vast aanspreekpunt, geen call-center. Plan een vrijblijvende kennismaking en we kijken samen waar je staat.

Gerelateerde verzekeringen

• Bedrijfsverzekering
• ZZP-verzekeringen
• Wagenparkverzekering
• Droneverzekering

Bron: de polisvoorwaarden zelf. Chubb Cyber ERM (versie 2.2.2023) met het clausuleblad Cyber incident manager, Nationale-Nederlanden Cyberservice PP 2811-03 en a.s.r. VP IB 2026-01 Inboedel. Nagekeken op 16 augustus 2026. De eerste is een zakelijke polis, de laatste twee zijn particuliere cyberdekkingen, en juist daartussen zitten de grootste verschillen. Voor bedrijfsstilstand, dataherstel en de premie ook CyberClear by Hiscox (HCC-2022/01) en de Hienfeld Cyberverzekering 2025, en voor de losse particuliere polis de Cyberverzekering voor particulieren van Turien & Co. (model 12.22), nagekeken op 7 oktober 2026. Voorwaarden verschillen per verzekeraar en per versie, dus jouw polisblad en jouw voorwaarden zijn altijd leidend.

Geschreven door Thijs Bouvy, onafhankelijk financieel adviseur bij Bouvy Advies (Rubberstraat 9, Naarden). Geboren en getogen in ’t Gooi. Vragen? Neem gerust contact op.

Veelgestelde vragen