Je hebt een cyberverzekering. Maar keert die ook uit?

Veel directeuren slapen rustig omdat ze een cyberverzekering hebben. Begrijpelijk. Maar er is een vraag die te weinig wordt gesteld. Wat staat er eigenlijk in de kleine lettertjes?

Verzekeraars zijn de afgelopen jaren flink strenger geworden. Niet enkel in wat ze vragen bij het afsluiten van een polis, ook in wat ze controleren zodra er iets misgaat. En dat is precies het moment waarop je erop wilt kunnen rekenen.

De verzekeraar als stille auditor

Een cyberincident is al stressvol genoeg. Maar je meldt een ransomware-aanval en de verzekeraar komt terug met vragen. Waren je patches up-to-date? Waren je back-ups aanwezig en getest? Waren je mensen getraind? Stond er monitoring aan?

Is het antwoord nee, of weten we niet zeker, dan heb je een probleem. Niet met de aanvaller, maar met je eigen verzekeraar. Steeds meer polissen bevatten uitsluitingen die precies op deze punten inspringen. Geen goede basisbeveiliging? Dan vervalt de dekking, helemaal of voor een deel.

Dat is geen denkbeeldig scenario. Het gebeurt.

Een verzekering is een vangnet, geen fundering

De kern van het probleem is een verkeerd beeld van wat een cyberverzekering doet. Het is geen vervanging voor beveiliging. Het is een laatste vangnet voor als het ondanks goede maatregelen toch misgaat.

Verzekeraars weten dat. Daarom stellen ze steeds hogere eisen aan de basisbeveiliging van wie zich wil verzekeren. En terecht. Een huis zonder rookmelders verzeker je ook niet zomaar.

De vraag is dus niet of je een verzekering hebt. De vraag is of je voldoet aan de eisen die je verzekeraar stelt, en of je dat ook kunt aantonen.

Wat verzekeraars steeds vaker eisen

De precieze eisen verschillen per verzekeraar en per polis, maar de rode draad is steeds dezelfde. Een aantoonbaar patchbeleid, waarbij software op tijd wordt bijgewerkt en je dat kunt laten zien. Werkende back-ups, inclusief regelmatige hersteltests, want een back-up die je nooit hebt getest bestaat pas op het moment dat het te laat is. Technische e-mailbeveiliging tegen phishing en spoofing, in plaats van te vertrouwen op het gezonde verstand van je mensen. Bewustzijn bij medewerkers, want training is geen luxe meer maar een polisvoorwaarde. En monitoring met opvolging, dus iemand die het ziet als het misgaat en ook ingrijpt.

Dit zijn geen hoge eisen. Het is de minimale digitale hygiëne die elke organisatie zou moeten hebben. Toch ontbreekt het bij verrassend veel bedrijven, of is het niet aantoonbaar geregeld. En dat laatste is minstens zo gevaarlijk als het eerste.

Weet jij waar je staat?

Als directeur hoef je dit niet zelf te regelen. Je bent er wel verantwoordelijk voor. Bij een incident kijkt de verzekeraar naar jouw organisatie, niet naar je IT-leverancier.

De vraag die ik je wil meegeven. Weet jij precies welke eisen jouw verzekeraar stelt, en kun je vandaag aantonen dat je eraan voldoet?

Is het antwoord nee, of ik denk het wel, dan is dit het moment om in actie te komen. Niet omdat een incident morgen gebeurt, maar omdat je bij een claim niet wilt ontdekken dat je verzekering alleen op papier bestond.

Precies hier ligt onze rol als regiepartner voor het midden-MKB. We brengen in kaart welke eisen jouw polis stelt en zorgen dat je het aantoonbaar op orde hebt, zodat je vangnet er ook echt is als je het nodig hebt. Benieuwd hoe jouw organisatie ervoor staat? We gaan graag met je in gesprek.