Cyberverzekering: de complete gids voor compliance- en beveiligingsteams

Wat is cyberverzekering?

Cyberverzekering is een gespecialiseerd risico-overdrachtsproduct dat financiele bescherming biedt tegen verliezen als gevolg van cybersecurityincidenten. Het dekt kosten die organisaties niet kunnen voorkomen door beveiligingscontroles alleen — incidentrespons, bedrijfsonderbreking, regelgevingssancties en aansprakelijkheidsclaims.

Voor compliance-gedreven organisaties complementeert cyberverzekering de controles die worden vereist door ISO 27001, SOC 2, NIS2 en DORA door het resterende risico te adresseren dat niet volledig kan worden gemitigeerd door technische en organisatorische maatregelen.

Dekkingssoorten

Dekking	Type	Wat het dekt
Incidentrespons	Eerstehandsdekking	Forensisch onderzoek, juridisch advies, inbreuknotificatie
Bedrijfsonderbreking	Eerstehandsdekking	Verloren inkomsten en extra kosten tijdens uitvaltijd
Gegevensherstel	Eerstehandsdekking	Kosten om verloren of beschadigde gegevens te herstellen of opnieuw te creëren
Ransomware	Eerstehandsdekking	Losgeldbetalingen, onderhandelingsdiensten, herstelkosten
Regelgeving	Eerstehandsdekking	Boetes, sancties en kosten voor regelgevingsverdediging
Aansprakelijkheid datalekken	Derdehandsdekking	Claims van getroffen personen of bedrijven
Aansprakelijkheid netwerkbeveiliging	Derdehandsdekking	Claims door netwerkfalen dat anderen treft
Media-aansprakelijkheid	Derdehandsdekking	Claims door online-inhoud of reclame

Beveiligingsvereisten van verzekeraars

Controle	Prioriteit verzekeraar	Impact op dekking
MFA voor toegang op afstand	Kritiek	Aanvraag afgewezen zonder
EDR op alle endpoints	Kritiek	Kan dekking ongeldig maken als afwezig tijdens claim
Offline/onwijzigbare backups	Kritiek	Ransomwareclaims vereisen bewezen backup
Patchbeheer	Hoog	Ongepatchte bekende kwetsbaarheden uitgesloten
E-mailbeveiliging	Hoog	Claims door zakelijke e-mailcompromittering worden nauwkeurig onderzocht
PAM	Hoog	Claims door privilege-escalatie worden onderzocht
Security awareness training	Gemiddeld	Phishing-gerelateerde claims worden beoordeeld
Incidentresponsplan	Gemiddeld	Snellere respons vermindert claimomvang
Netwerksegmentatie	Gemiddeld	Vermindert impactradius van incidenten
Kwetsbaarheidsscanning	Gemiddeld	Toont proactieve risico-identificatie

Selectiecriteria voor polissen

Criterium	Overweging	Te stellen vragen
Dekkingslimieten	Afstemmen op realistisch worstcasescenario	Wat is ons maximale potentiele verlies?
Eigen risico	Premiekosten afwegen tegen eigen risicobehoud	Wat kunnen we opvangen zonder verzekering?
Retroactieve datum	Dekking voor incidenten die plaatsvonden voor polisingang	Worden reeds bestaande onontdekte inbreuken gedekt?
Sublimieten	Specifieke plafonds voor bepaalde dekkingsgebieden	Zijn ransomwarebetalingen apart begrensd?
Uitsluitingen	Wat specifiek niet wordt gedekt	Is staatsactiviteit uitgesloten?
Notificatievereisten	Termijnen voor het melden van incidenten aan de verzekeraar	Hoe snel moeten we de verzekeraar notificeren?
Panelaanbieders	Verplicht gebruik van door de verzekeraar goedgekeurde leveranciers	Kunnen we ons eigen incidentresponsteam gebruiken?

Strategieen voor premievermindering

Strategie	Verwachte impact	Vereist bewijs
ISO 27001-certificering	10-20% reductie	Certificaat en bereikdocumentatie
SOC 2 Type II-rapport	10-15% reductie	Actueel SOC 2-rapport
MFA-uitrol (100%)	5-15% reductie	MFA-dekkingsrapport
EDR-dekking (100%)	5-10% reductie	EDR-implementatiebewijs
Getest incidentresponsplan	5-10% reductie	Tabletop-oefenrapporten
Onwijzigbare backupstrategie	5-10% reductie	Backuparchitectuurdocumentatie
Security awareness-programma	3-5% reductie	Trainingsvoltooiingsregistraties
Geen eerdere claims	Significante impact	Schone claimgeschiedenis

Claimproces

Fase	Acties	Tijdlijn
Detectie	Potentieel incident identificeren, ernst beoordelen	Onmiddellijk
Notificatie	Contact opnemen met de claimhotline van de verzekeraar binnen polistermijn	Binnen 24-72 uur
Triage	Verzekeraar wijst breach coach, forensisch team en juridisch adviseur toe	1-3 dagen
Onderzoek	Forensisch onderzoek om omvang en oorzaak te bepalen	1-4 weken
Respons	Inbreuknotificatie, kredietmonitoring, PR-respons	Zoals wettelijk vereist
Herstel	Systeemherstel, remediatie van kwetsbaarheden	2-8 weken
Claimafhandeling	Documentatie van alle kosten, indiening voor vergoeding	30-90 dagen

Raakvlakken met compliance

Framework	Verzekeringrelevantie	Overlap met controles
ISO 27001	Risicobehandelingsoptie (A.5.6, risico-overdracht)	Beveiligingscontroles verlagen premies
SOC 2	Toont volwassenheid van controleomgeving aan	SOC 2-rapport verlaagt premies
NIS2	Risicobeheermaatregelen (Art. 21)	Compliancehouding ondersteunt aanvragen
DORA	ICT-risicobeheerframework (Art. 6)	Vereisten voor operationele veerkracht sluiten aan
AVG	Financiele bescherming voor inbreukkosten	Dekking van regelgevingsboetes (waar verzekerbaar)

Veelgemaakte fouten

Fout	Risico	Oplossing
Verzekering behandelen als beveiligingsvervanging	Claim afgewezen wegens ontoereikende controles	Verzekering complementeert beveiliging, vervangt het nooit
Uitsluitingen niet lezen	Onverwachte claimafwijzing voor uitgesloten scenario's	Beoordeel alle uitsluitingen met makelaar, begrijp oorlogsclausules
Onderverzekeren	Kosten overschrijden dekkingslimieten tijdens groot incident	Modelleer realistische worstcasescenario's voor limietselectie
Late notificatie aan verzekeraar	Claim afgewezen wegens te late melding	Ken notificatiedeadlines, meld vroeg bij twijfel
Polis niet bijwerken bij bedrijfswijzigingen	Dekkingslacunes door overnames, nieuwe diensten of cloudmigratie	Jaarlijkse polisbeoordeling afgestemd op bedrijfswijzigingen
Sublimieten negeren	Belangrijke dekkingsgebieden begrensd onder verwachte kosten	Beoordeel en onderhandel sublimieten voor ransomware, bedrijfsonderbreking

Hoe Orbiq cyberverzekeringgereedheid ondersteunt

Orbiq helpt u de beveiligingshouding aan te tonen die verzekeraars vereisen:

• Bewijsverzameling — Centraliseer beveiligingsbeleid, controlebewijs en compliancerapporten
• Continue monitoring — Volg controledekking over verzekeraarvereisten
• Trust Center — Deel uw beveiligingshouding via uw Trust Center
• Compliancemapping — Koppel controles aan vereisten van verzekeraarvragenlijsten
• Auditgereedheid — Kant-en-klare bewijspakketten voor verzekeringsaanvragen en -verlengingen

Verder lezen

• Risicomanagement-frameworks — Risicobeoordeling ter ondersteuning van verzekeringsbeslissingen
• Incidentrespons — Incidentafhandeling die verzekeringsclaims ondersteunt
• Bedrijfscontinuiteitsplanning — Continuiteitsplanning die verzekeringsclaims vermindert
• Multifactorauthenticatie — Kritieke verzekeraarvereiste
• Endpoint-beveiliging — EDR-vereisten voor dekking