Cyberverzekering voor KMO’s: kostprijs en dekking

Een cyberaanval kan een klein bedrijf in enkele uren lamleggen: bestanden versleuteld, systemen plat, klanten die niet meer geholpen kunnen worden. De opruimkosten lopen snel op. Een cyberverzekering is bedoeld om net die financiële klap op te vangen. Maar wat dekt zo’n polis precies, wat kost ze, en wat wil de verzekeraar van jou zien voordat hij tekent? Dat laatste is het stuk dat de meeste ondernemers verrast, en het is meteen het stuk dat je dekking kan kosten.

Belangrijk vooraf: een verzekeraar verwacht dat je basisbeveiliging op orde is. Doe de gratis cybersecurity-scan om te zien of je aan die verwachting voldoet.

Wat is een cyberverzekering?

Een cyberverzekering is een polis die je onderneming beschermt tegen de financiële gevolgen van een cyberincident, denk aan een ransomware-aanval, een datalek of een hack. Waar een klassieke verzekering je gebouw of je wagenpark dekt, dekt een cyberverzekering de schade die ontstaat wanneer je digitale systemen worden getroffen.

In België bieden onder meer KBC, AXA en AG Insurance cyberverzekeringen aan, naast gespecialiseerde makelaars. Het aanbod groeit, want ook kleine bedrijven worden steeds vaker doelwit.

Wat dekt het typisch?

De precieze dekking verschilt per polis, maar een cyberverzekering dekt doorgaans:

• Gegevensherstel, het herstellen of reconstrueren van verloren of versleutelde data.
• Systeemherstel, het weer werkend krijgen van je IT-systemen na een aanval.
• Bedrijfsonderbreking, het inkomensverlies wanneer je door het incident (deels) stilligt.
• Aansprakelijkheid tegenover derden, schade en claims van klanten of partners wiens gegevens getroffen werden.
• Forensisch onderzoek, experts die uitzoeken wat er precies gebeurd is en hoe.
• Juridische bijstand, hulp bij meldplicht, aansprakelijkheidsvragen en geschillen.

Assuralia, de beroepsvereniging van de Belgische verzekeringsondernemingen, groepeert die waarborgen in vier blokken: je eigen schade, de schade aan derden, de bijstand (technische hulp, communicatie, crisisbeheer) en een ransom-luik met bijstand bij onderhandelingen en betalingsmodaliteiten. Dat laatste luik wordt niet altijd toegekend, dus ga er niet vanuit dat het in je polis zit.

Die combinatie doet er toe, want na een incident heb je niet alleen technische hulp nodig maar ook juridische. Vooral bij een datalek: onder de privacyregels moet je snel handelen.

Wat een verzekeraar van je vraagt voor een cyberpolis

Voor je een offerte krijgt, krijg je een vragenlijst. Assuralia omschrijft het als een document dat de kandidaat-verzekerde zorgvuldig en volledig moet invullen: op basis daarvan schat de verzekeraar het risico in en ziet hij welke maatregelen je op het vlak van preventie en weerbaarheid al genomen hebt.

Vier technische punten komen daarbij expliciet aan bod:

• multifactorauthenticatie (MFA);
• regelmatige back-ups, zo mogelijk op verschillende geografische locaties;
• Endpoint Detection & Response (EDR);
• Managed Detection & Response (MDR).

Daarnaast wordt je schadeverleden opgevraagd en grondig geanalyseerd. De aanwezigheid van een crisismanagementplan of een bedrijfscontinuïteitsplan kan de verzekeraar volgens Assuralia eveneens geruststellen. En een princiepsakkoord om later een audit door een erkend extern en onafhankelijk organisme te laten uitvoeren, kan mee de acceptatiebeslissing bepalen.

Wat opvalt aan die lijst: er staat niets in dat je niet zelf kunt regelen. Het is geen exotische technologie, het is de basis, alleen dan aantoonbaar.

Herken je die vragen, dan klopt dat: het is grotendeels dezelfde set die een grote klant je stuurt in een leveranciersvragenlijst, en die het CCB in CyberFundamentals heeft samengebracht. Wie dat huiswerk één keer maakt, kan het bij elke aanvraag opnieuw gebruiken.

De vragenlijst is geen formaliteit

Hier zit het stuk dat zelden uitgelegd wordt. Je antwoorden op die vragenlijst zijn geen marketing, ze zijn een juridische verklaring. De wet van 4 april 2014 betreffende de verzekeringen legt in artikel 58 een mededelingsplicht op: je moet bij het sluiten van de overeenkomst alle je bekende omstandigheden nauwkeurig meedelen die je redelijkerwijs moet beschouwen als gegevens die van invloed kunnen zijn op de beoordeling van het risico.

Wat er gebeurt als dat misloopt, hangt volledig af van de opzet.

• Opzettelijk onjuist of verzwegen (artikel 59). Wordt je verzekeraar daardoor misleid bij zijn risicobeoordeling, dan is de overeenkomst nietig. De premies die tot dan vervallen zijn, komen hem toe. Je hebt dan betaald voor een polis die er nooit geweest is.
• Onopzettelijk (artikel 60). De overeenkomst is niet nietig. De verzekeraar heeft één maand vanaf het ogenblik dat hij het ontdekt om een wijziging voor te stellen, of om op te zeggen als hij bewijst dat hij het risico in geen geval zou hebben verzekerd. Doet hij binnen die termijn geen van beide, dan kan hij zich later niet meer op die feiten beroepen.
• Onopzettelijk, maar verwijtbaar, en er gebeurt intussen schade (artikel 60, § 3). Dan keert de verzekeraar uit naar verhouding tussen de premie die je betaalde en de premie die je had moeten betalen als je het risico correct had meegedeeld. Bewijst hij bij dat schadegeval dat hij dit risico in geen geval zou hebben verzekerd, dan beperkt zijn tussenkomst zich tot het terugbetalen van alle betaalde premies.

Valt je niets te verwijten en gebeurt er schade voordat de wijziging of de opzegging van kracht is, dan moet de verzekeraar wel gewoon de overeengekomen prestatie leveren (artikel 60, § 2).

Er staat nog één zin in artikel 58 die het onthouden waard is: laat je een schriftelijke vraag onbeantwoord en sluit de verzekeraar de overeenkomst tóch, dan kan hij zich daar later niet meer op beroepen, behalve bij bedrog. De praktische les is dus contra-intuïtief. Een eerlijk “nee” of een blanco antwoord is veiliger dan een optimistisch “ja” over iets wat je niet zeker weet. Vink geen MFA aan omdat het op jouw account staat terwijl de helft van je team er nog zonder werkt.

Wat dekt het (vaak) níét?

Naast de vragenlijst zelf zitten er in de polis uitsluitingen die er voor een KMO echt toe doen:

• Schade door al bekende, niet-verholpen kwetsbaarheden wordt vaak niet gedekt. Wist je van een lek en deed je niets, dan kan de verzekeraar weigeren. Dat is een van de redenen waarom patchbeheer meer is dan hygiëne.
• Ook schade door ontbrekende basismaatregelen valt regelmatig buiten de dekking.

Een polis vangt dus op wat er ondanks je maatregelen tóch misgaat, niet wat je had kunnen voorkomen.

Wat bepaalt de premie?

Er is geen vast bedrag voor een cyberverzekering. Assuralia geeft aan dat de premie kan variëren van enkele honderden tot duizenden euro’s, en dat de tarifering bij dit type verzekering vaak maatwerk blijft. Wat de berekening stuurt:

Die vierde regel is de enige waar je zelf aan kunt draaien, en ze werkt twee kanten op: ze verlaagt je premie én ze vergroot de kans dat je bij schade effectief wordt uitbetaald.

Wanneer is een cyberverzekering zinvol?

Een cyberverzekering is vooral interessant als:

• je bedrijf sterk afhankelijk is van IT-systemen om te werken;
• je persoonsgegevens van klanten verwerkt en dus aansprakelijkheidsrisico’s loopt;
• een paar dagen stilstand je financieel echt pijn zou doen;
• je aan klanten levert die garanties eisen rond je beveiliging en continuïteit.

Voor de meeste KMO’s die vandaag draaien op cloudsoftware, e-mail en online betalingen, is dat al snel het geval. In de praktijk blijft de polis wel een minderheidskeuze: volgens de FOD Economie had in 2022 slechts 23,8 % van de middelgrote kmo’s een verzekering tegen ICT-veiligheidsincidenten, en bij bedrijven met 2 tot 9 werknemers was dat 15,7 %. Die cijfers komen uit de enquête over ICT-veiligheid bij ondernemingen, die Statbel jaarlijks afneemt.

Wil je eerst een beter beeld van je totale kostenplaatje, lees dan wat cybersecurity een KMO kost: een verzekering is één post naast beveiliging en back-up.

Waar let je op bij het kiezen?

1. Check de voorwaarden voor uitkering. Welke basismaatregelen eist de verzekeraar? Zorg dat je eraan voldoet vóór je tekent, en niet pas na het eerste schadegeval.
2. Lees de uitsluitingen, vooral rond bekende kwetsbaarheden en ontbrekende maatregelen.
3. Kijk naar de dekkingsplafonds. Zijn de bedragen realistisch voor de schade die jouw bedrijf zou lijden?
4. Let op de bijstand. Krijg je meteen toegang tot forensische experts en juridische hulp? Die snelle hulp is vaak evenveel waard als de uitkering zelf.
5. Vergelijk bij meerdere aanbieders of via een makelaar. Premies en voorwaarden verschillen sterk.
6. Hou de ingevulde vragenlijst bij. Zij is het document waarop je polis rust. Verandert er iets aan je omgeving, meld het dan.

De basis eerst, dan de polis

Een cyberverzekering werkt als sluitstuk op een degelijke beveiliging, niet als vervanging ervan. De verzekeraar wil zien dat je de basics hebt geregeld, en de regelgeving verwacht dat ook: val je onder NIS2, dan gelden er concrete minimummaatregelen.

Kort samengevat

• Een cyberverzekering dekt typisch gegevensherstel, systeemherstel, bedrijfsonderbreking, aansprakelijkheid, forensisch onderzoek en juridische bijstand.
• Voor je een polis krijgt, vul je een vragenlijst in. Assuralia noemt MFA, regelmatige back-ups, EDR en MDR als de technische punten waar de verzekeraar naar kijkt, aangevuld met je schadeverleden, een crisis- of continuïteitsplan en soms een externe audit.
• Die vragenlijst is juridisch bindend. Opzettelijk onjuiste antwoorden maken de overeenkomst nietig (artikel 59); een verwijtbare vergissing leidt tot een evenredige uitkering (artikel 60).
• De premie is maatwerk en loopt volgens Assuralia van enkele honderden tot duizenden euro’s.
• Slechts 23,8 % van de middelgrote kmo’s en 15,7 % van de kleinste bedrijven had er in 2022 een.

Wat die minimale basisbeveiliging precies inhoudt, staat per onderdeel bij de zes pijlers van een veilige KMO.