Cyberverzekering
Wat een cyberverzekering van medewerkers en directie verwacht: offline back-ups, tweestapsverificatie, eerste stappen en melding.
In 30 seconden
Waar gaat het over
Een cyberverzekering is een contract dat een bedrijf afsluit om de gevolgen van een cyberaanval op te vangen. Voor een medewerker blijft die verzekering meestal onzichtbaar, tot er een incident plaatsvindt: de verzekeraar kan dan behoren tot de partijen die moeten worden gewaarschuwd, naast de IT-afdeling en de betrokken leidinggevenden1.
De hier aangehaalde bronnen zijn openbare gidsen over beveiliging en incidentafhandeling. Geen ervan beschrijft de inhoud van een verzekeringscontract: niet de dekking (crisiskosten, gegevensherstel, bedrijfsschade, aansprakelijkheid), niet de uitsluitingen en ook niet de voorwaarden van een bepaalde verzekeraar. Dit artikel gaat daar dus niet op in. Het geeft weer wat deze bronnen zeggen over de beveiligingsmaatregelen die een verzekeraar kan vragen en over de stappen bij een incident. De werkelijke voorwaarden staan in het contract van het bedrijf.
Directe vragen
Wat dekt een cyberverzekering?
De hier aangehaalde bronnen zeggen dat niet. Ze vermelden alleen dat een cyberverzekeraar bij de betrokken partijen van een incident hoort1. De precieze reikwijdte, de maxima en de uitsluitingen hangen af van het contract. Alleen de directie, of wie het contract heeft onderhandeld, kan ze aangeven.
Welke beveiligingsmaatregelen eisen verzekeraars?
De bronnen stellen geen lijst van eisen van verzekeraars op. Ze beschrijven wel maatregelen die openbare instanties aanbevelen: offline back-ups, multifactorauthenticatie en een plan voor incidentrespons135. Wie wil weten welke maatregelen een verzekeraar het bedrijf oplegt, moet het contract lezen.
Waarom moeten back-ups offline zijn?
Veel varianten van ransomware zoeken naar toegankelijke back-ups om ze te verwijderen of te versleutelen1. Een back-up die met de computer of het bedrijfsnetwerk is verbonden, kan door het schadelijke programma worden vernietigd. Daarom is het advies om de back-up los te koppelen of offline te halen wanneer die niet in gebruik is2.
Wat verandert multifactorauthenticatie?
Ze vraagt minstens twee elementen om uw identiteit te bewijzen: iets wat u weet, iets wat u heeft of iets wat u bent3. Zelfs als een wachtwoord wordt gestolen, heeft de aanvaller het tweede element niet3. Niet alle methoden zijn even goed: CISA schrijft dat "any MFA is better than no MFA" en raadt aan te streven naar methoden die bestand zijn tegen phishing3. Ook het Britse NCSC beveelt technieken aan die beter beschermen tegen phishing4.
1Wat er verandert voor medewerkers1 min
De medewerker hoeft het contract niet te kennen. Er zijn wel handelingen die hij of zij moet uitvoeren, omdat een deel van de beveiliging op de medewerker rust.
- Tweestapsverificatie inschakelen zodra die wordt aangeboden voor e-mail en zakelijke diensten3.
- Geen back-upschijf permanent aangesloten laten op de eigen werkplek2.
- Elk verdacht verschijnsel melden, bijvoorbeeld een phishingmail: een bewustmakingsprogramma moet uitleggen hoe u die herkent en meldt1.
Wat het gevolg is van een tekortkoming voor de uitkering, staat niet in de hier aangehaalde bronnen. Dat hangt af van de bepalingen in het contract.
2Wat er verandert voor de directieDirectie1 min
De directie kiest de maatregelen en houdt de plannen actueel. De hier aangehaalde bronnen vragen haar meerdere dingen.
- Een plan voor incidentrespons en een communicatieplan opstellen, onderhouden en regelmatig oefenen, met een papieren exemplaar en een offlineversie1.
- Dit plan koppelen aan bedrijfshervatting, continuïteit en crisisbeheer5.
- Back-ups regelmatig testen, inclusief het terugzetten ervan12.
- Als een dienstverlener de back-ups beheert, zijn beveiligingseisen contractueel vastleggen1.
- De leidinggevenden gedurende de crisis op de hoogte houden, waarbij de verzekeraar tot de te informeren partijen kan behoren1.
Het NCSC schrijft dat geen enkele beveiliging perfect is: "Incidents can and will happen"5. Alleen goede voorbereiding helpt om ze goed af te handelen5.
3Wat de tekst zegtOfficiële tekst1 min
Geen van de hier aangehaalde bronnen is een wettekst over cyberverzekeringen. De juridische teksten die ze vermelden gaan over persoonsgegevens.
De AVG verplicht om datalekken met persoonsgegevens intern te documenteren en de lekken die een risico vormen voor de rechten en vrijheden van personen te melden bij de CNIL6. Bij een hoog risico moeten ook de betrokken personen worden geïnformeerd6. De plicht om de CNIL te informeren staat in artikel 33 van de AVG en geldt voor alle verwerkingsverantwoordelijken. Artikel 34 verplicht om personen te informeren bij een hoog risico6.
De melding gebeurt zo snel mogelijk. Als informatie ontbreekt, kan de melding in twee stappen: een eerste melding binnen 72 uur indien mogelijk, daarna een aanvullende melding. Na 72 uur moeten de redenen van de vertraging worden toegelicht6.
De CNIL geeft ook aan dat het raadzaam is om, als het datalek volgt op een cyberaanval, aangifte te doen bij de politie of de gendarmerie en de technische bewijsstukken ter beschikking van de onderzoekers te houden6. Back-ups vallen onder dezelfde juridische regimes als de oorspronkelijke gegevens, en bij persoonsgegevens kan bij een bewezen tekortkoming civiele of strafrechtelijke aansprakelijkheid ontstaan2.
4Hoe ver de toepassing staat2 min
De hier aangehaalde bronnen geven geen stand van toepassing voor een wettelijk kader dat specifiek is voor cyberverzekeringen in Frankrijk, en ook geen verplichting om een verzekering af te sluiten. Vaststaat de melding bij de CNIL waarin de AVG voorziet6.
Wat de referentiekaders betreft: het NIST presenteert zijn Cybersecurity Framework 2.0 als een document om cyberbeveiligingsrisico's te verkleinen voor de industrie, overheden en organisaties7. Het NCSC herinnert aan de levenscyclus die het NIST beschrijft: identificeren, beschermen, detecteren, reageren, herstellen5. Voor het incident zelf richt de Amerikaanse bron zich tot IT-professionals: ze vraagt om de getroffen systemen te identificeren en onmiddellijk, op gecoördineerde wijze, te isoleren, en een apparaat alleen uit te schakelen als het niet van het netwerk kan worden losgekoppeld1. Ze adviseert te communiceren per telefoon in plaats van via hulpmiddelen die mogelijk worden gemonitord1. Ze vraagt ook vluchtig bewijsmateriaal te bewaren (geheugen, beveiligingslogboeken, firewallbuffers) en de nuttige logboeken te verzamelen1. Ze voorziet in het informeren van de betrokken partijen, waartoe de verzekeraar kan behoren, en in het melden van het incident aan Amerikaanse autoriteiten (CISA, FBI)1. In de praktijk volgt het bedrijf zijn eigen responsplan. Als persoonsgegevens zijn getroffen, moet de melding bij de CNIL zo snel mogelijk worden verstuurd, indien mogelijk binnen 72 uur6. Tijdens het onderzoek vraagt de bron om te zoeken naar sporen van voorloper-malware ("dropper"), omdat een ransomware-aanval een eerdere, niet opgeloste compromittering van het netwerk aan het licht kan brengen1. Bij het herstel vraagt ze erop te letten dat gezonde systemen niet opnieuw worden besmet1. De teams kunnen ook de logboeken van het antivirusprogramma of de EDR bekijken om andere getroffen systemen op te sporen1.
Fiche
- Identificatie
- CP-385
- Vleugel
- 6. Governance en GRC
- Brain-competentie
- Gegevens beschermen (safeguard_data)
- Brain-reflex
- cr-063
- Schema
- G3 · Anatomische doorsnede
- Talen
- de, en, es, fr, it, nl
- Bronnen
- 7 bronnen gecontroleerd op 3 november 2026
Bronnen7 bronnen
- CISA, “#StopRansomware Guide | CISA”. https://www.cisa.gov/stopransomware/ransomware-guide (geraadpleegd op 3 november 2026)
- Cybermalveillance.gouv.fr, “Pourquoi et comment bien gérer ses sauvegardes ?”, 13 november 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/sauvegardes (geraadpleegd op 3 november 2026)
- CISA, “More than a Password”. https://www.cisa.gov/MFA (geraadpleegd op 3 november 2026)
- NCSC (Royaume-Uni), “Multi-factor authentication for your corporate online services”, 26 september 2024. https://www.ncsc.gov.uk/collection/mfa-for-your-corporate-online-services (geraadpleegd op 3 november 2026)
- NCSC (Royaume-Uni), “Incident management”, 19 september 2019. https://www.ncsc.gov.uk/collection/incident-management (geraadpleegd op 3 november 2026)
- CNIL, “Notifier une violation de données personnelles”, 24 mei 2018. https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles (geraadpleegd op 3 november 2026)
- NIST, “Cybersecurity Framework”. https://www.nist.gov/cyberframework (geraadpleegd op 3 november 2026)
Dit artikel citeren
Brain, “Cyberverzekering”, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp385_nl_2026,
author = {Brain},
title = {Cyberverzekering},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/nl/articles/cyberverzekering-voorwaarden-schadegeval/},
note = {CC BY 4.0}
}