Traditionele aansprakelijkheidsverzekeringen bieden zelden dekking voor aansprakelijkheid naar aanleiding van cyberincidenten. In de regel bieden algemene aansprakelijkheidsverzekeringen alleen dekking in geval van letsel of fysieke schade. Uw cyberverzekering biedt wel dekking voor aansprakelijkheid voor cyberincidenten.

Hoewel deze middelen zeker kunnen helpen schade te voorkomen of beperken, vormen ze geen gegarandeerde bescherming tegen datalekken of andere cyberincidenten. Cybersecurity en cyberverzekeringen zijn complementair aan elkaar. Er zijn tal van voorbeelden van grote multinationals die het slachtoffer werden van cybercrime. Zelfs de beste antivirussoftware en de meest ervaren in-house it-experts konden dit niet verhinderen. Bovendien zijn meer dan 40% van de claims zijn te herleiden naar menselijk of systeem falen.

De cyberverzekering verzekert, naast de aansprakelijkheid van een onderneming voor door derden geleden schade (inclusief daaruit voortvloeiende gevolgschade), tevens de eigen kosten naar aanleiding van een digitaal risico. Deze risico’s kunnen bestaan uit het verloren gaan van gegevens door hacking, maar ook verlies of diefstal van bijvoorbeeld laptops, tablets of usb-sticks.

• aansprakelijkheid voor door derden geleden schades;
• verdedigings- en verweerkosten voor de aansprakelijkheid bij tekortkoming van goed beheer van privacydata en andere digitale risico’s;
• onderzoekskosten;
• kosten voor public relations consultancy ter bescherming van het imago;
• klantnotificatiekosten;
• kredietbewakingskosten;
• boetes die door de overheid worden opgelegd (mits wettelijk toegestaan);
• reconstructiekosten van de data;
• cyberdiefstal, ransomware;
• bedrijfsstilstand als gevolg van digitale risico’s (optioneel).

Voor cyberrisico’s geldt dat zelfs de beste cybersecuritymaatregelen niet kunnen garanderen dat hackers u niet kunnen raken. U kunt een cyberverzekering vergelijken met een brandverzekering. Ondanks blusinstallaties, sprinklers en brandwerend materiaal blijft er altijd risico op een brand. Daarom hebben bedrijven met uitstekende brandpreventie daarnaast een brandverzekering. Daarnaast is uw IT-expert niet verantwoordelijk én aansprakelijk voor de cyberveiligheid van uw systemen.

Een hacker maakt geen onderscheid tussen grote en kleine bedrijven. Veel aanvallen zijn geen doelgerichte aanvallen. Aanvallen als deze kunnen ieder bedrijf raken dat ermee in aanraking komt. Uiteraard is de premie wel afhankelijk van de omvang van uw bedrijf. Juist kleinere bedrijven worden vaak als target gezien door hackers, omdat hun veiligheidsmaatregelen over het algemeen minder uitgebreid zijn dan die van multinationals.

Dekking tegen cyberrisico’s is van meerwaarde voor elke onderneming die beschikt over vertrouwelijke informatie en/ of klantgegevens. Per 25 mei 2018 is de Algemene verordening gegevensbescherming (AVG, ook wel General Data Protection Regulation (GDPR)) van kracht. Deze Europese privacywetgeving stelt o.a. eisen aan het veilig bewaren van gegevens. Hierdoor lopen bedrijven een aanmerkelijk aansprakelijkheidsrisico. Naast het aansprakelijkheidsrisico voor schade aan derden, kan ook de schade die bedrijven zelf lijden door cybercriminaliteit, systeemfalen en menselijk handelen desastreus zijn. Diefstal of verlies van gevoelige informatie over klanten of werknemers kan iedere onderneming overkomen. Het verlies van één laptop kan al tot ernstige financiële gevolgen en reputatieschade leiden. Een cyberverzekering voorziet daarbij niet alleen in een financiële tegemoetkoming, ook de ‘incident response’-diensten worden gedekt.

Na een cyberincident kunt u het crisisnummer dat op uw cyberpolis vermeld staat, bellen. Er wordt in overleg met de crisismanager bepaald welke partijen ingeschakeld moeten worden om de crisis onder controle te krijgen. Aon heeft een wereldwijd netwerk van specialisten, zoals forensische-, juridische- en cyberexperts en specialisten op het gebied van fraude en public relations, om elk soort cyberincident te kunnen beheersen.

Dekking door een cyberverzekering

Ja. Wanneer het verlies van bijvoorbeeld een laptop of usb-stick met daarop privacygevoelige informatie tot schade leidt, valt deze schade onder de dekking van uw polis.

Ja. Een cyberverzekering maakt geen onderscheid tussen een digitaal en niet-digitaal document. De gemene deler is het feit dat in beide gevallen privacygevoelige informatie op straat is gekomen. Veelvoorkomende kosten in dit soort scenario’s zijn notificatiekosten, reputatiekosten, juridisch advies, aansprakelijkheid en in ernstige gevallen business-interruptie.

Wanneer u ontdekt gehackt te zijn, kunt u onmiddellijk bellen naar het crisisnummer dat op uw polis vermeldt staat. De crisismanager zal met u bespreken wat de beste aanpak is om deze zogenaamde ransomware-aanval op te lossen. De kosten - inclusief een eventuele betaling van losgeld - die gemaakt worden om deze situatie op te lossen, vallen onder de dekking van uw verzekering.

Ja. Of gegevens nu op een eigen server worden opgeslagen of in de cloud, voor de dekking maakt dit geen verschil. In beide gevallen zijn cyberincidenten doorgaans voor de volledige polis limiet verzekerd conform de dekkingsvoorwaarden, zowel voor eigen schade als voor de aansprakelijkheidsschade jegens derden.

De meeste verzekeraars bieden een vergoeding voor pr-kosten na een cyberincident. Deze vergoeding valt onder de crisisresponse-diensten. De kosten die u maakt om advies in te winnen bij een communicatie-expert vallen ook onder dekking. De kosten die gemaakt zijn voor het uitvoeren van dit advies zijn echter niet gedekt. Denk hierbij aan de kosten die u maakt bij het inkopen van zowel offline als online advertenties.

Een cyberverzekering biedt dekking, mits dit wettelijk is toegestaan, voor door een toezichthouder opgelegde boete in verband met verlies/openbaarmaking van (persoons)gegevens, evenals de daarbij behorende verweerkosten ten tijde van het onderzoek door een toezichthouder. De verweerkosten zoals juridische bijstand worden ook gedekt wanneer de eventueel opgelegde boete dit niet is. Het dekken van deze boetes ligt in veel landen echter gevoelig, doordat dit het doel van de wetgeving kan ondermijnen.

Bedrijfsschade

Nee. Naast de bedrijfsschade die op online activiteiten geleden wordt, is de bedrijfsschade op offline activiteiten eveneens verzekerd. Dus bijvoorbeeld ook als door een cyberincident de voorraadsystemen niet meer functioneren of de telefooncentrale is uitgeschakeld. De bedrijfsschade die daaruit voortvloeit, is meeverzekerd.

Dit is niet standaard gedekt, maar kan onder hele specifieke voorwaarden wel in de dekking worden meegenomen. Dit verschilt per verzekeraar.

Voor publieke instellingen is het lastiger om deze gederfde nettowinst te berekenen. Onder het nettoverlies verstaan we bij scholen het verlies van inkomsten door bijvoorbeeld minder aanmeldingen, bij gemeenten is dit bijvoorbeeld verlies door extra werk (overuren). De premie voor gemeenten is doorgaans afhankelijk van het aantal inwoners van de gemeente. Voor onderwijs is dit het aantal leerlingen/studenten. Uw premie wordt aangepast op het verwachte risico en de kosten.

De kostenberekening kan op twee verschillende manieren gemaakt worden. Veel verzekeraars hanteren de nettowinst-methode waarbij het verlies van (nettowinst + de vaste kosten) wordt vergoed. Een andere gebruikte methode is de brutowinst-methode waarbij de (omzet - de variabele kosten) het uitgangspunt zijn.

De verzekeraars die cyberpolissen aanbieden maken gebruik van twee soorten eigen risico: het klassieke eigen risico en franchise. Voordat de dekking ingaat wat betreft bedrijfsinterruptie is van belang:

• het eigen risico: een gelimiteerd bedrag waarover u het risico zelf draagt;
• de wachttijd: een eigen risico in de vorm van een bepaald aantal uur bedrijfsstilstand alvorens de dekking ingaat.

Informatie over cyberverzekeringen en veelgestelde vragen

Cyber is complex. Lastige termen, ingewikkelde processen en een ‘onzichtbare’ dreiging. Wij hebben algemene informatie over cyberverzekeringen en de meestgestelde vragen over cyberverzekeringen handig voor u in een PDF op een rij gezet.

Download PDF