Hoe weet je of je cyberverzekering ook incident response dekt?

Weet jij wat je cyberpolis dekt bij een aanval? Ontdek de cruciale hiaten in IR-dekking voordat het te laat is.

Verzegeld verzekeringspolisdocument op donker bureau naast combinatieslot en incidentresponse checklist, verlicht door amberkleurige bureaulamp.

Als IT-manager of operations directeur weet je dat verstoringen bij elke organisatie voorkomen. Een systeem dat uitvalt, een leverancier die een fout maakt, een medewerker die per ongeluk iets verkeerd configureert. De vraag is niet óf er een verstoring komt, maar hoe snel je daarna weer normaal kunt werken. Een cyberverzekering kan daarbij helpen, maar alleen als je vooraf weet wat er precies in staat. Of incident response gedekt is, staat bijna altijd in de polis — de details bepalen alles.

Wat valt er precies onder incident response in een cyberpolis?

Incident response in een cyberpolis omvat doorgaans de directe kosten die worden gemaakt na een cyberincident: forensisch onderzoek, crisismanagement, juridisch advies, notificatie van betrokkenen en het inschakelen van gespecialiseerde IR-experts. De meeste polissen vergoeden de kosten van het beheersen en onderzoeken van het incident, niet de bredere schade die eruit voortvloeit.

Concreet betekent dit dat een verzekeraar bij een ransomware-incident of datalek doorgaans de volgende elementen kan vergoeden:

Forensisch onderzoek om de oorzaak en omvang van het incident vast te stellen
Kosten van een extern IR-team dat het incident beheert en afhandelt
Juridisch advies over meldplichten en aansprakelijkheid
Communicatiekosten, inclusief notificatie van betrokken klanten of medewerkers
Crisiscommunicatie en PR-ondersteuning

Wat er niet onder valt, is minstens zo belangrijk om te weten. Bedrijfsschade door downtime, omzetderving, reputatieschade op lange termijn en de kosten van structurele beveiligingsverbeteringen na het incident zitten in de meeste polissen in een apart onderdeel, of zijn helemaal uitgesloten. Lees de polisonderdelen daarom altijd in samenhang.

Welke voorwaarden bepalen of incident response wordt vergoed?

Of een IR-claim wordt gehonoreerd, hangt af van een aantal polisvoorwaarden die veelal als drempeleis gelden. De meest bepalende zijn de meldtermijn, de toestemming voor het inschakelen van externe partijen en de naleving van de beveiligingsbaseline die de verzekeraar vereist.

Verzekeraars stellen steeds hogere eisen aan de basisbeveiliging van een organisatie voordat ze een polis verstrekken. Denk aan verplichte multi-factor authenticatie, up-to-date patch management, actieve endpoint protection en aantoonbare back-upprocessen. Als bij een incident blijkt dat je hier niet aan voldeed op het moment van de verstoring, kan de verzekeraar dekking weigeren of de vergoeding verlagen.

Daarnaast geldt in vrijwel alle polissen dat je het incident binnen een bepaalde termijn moet melden, soms binnen 24 tot 72 uur. Wie te laat meldt of zelfstandig een IR-partij inschakelt zonder voorafgaande goedkeuring van de verzekeraar, loopt het risico dat de kosten niet worden vergoed. Controleer altijd of je verzekeraar een eigen 24/7 meldlijn heeft en wat het goedkeuringsproces is voor het inschakelen van externe experts.

Wat is het verschil tussen een eigen IR-team en de IR-partner van de verzekeraar?

Het verschil zit in controle, snelheid en afstemming op jouw organisatie. Een eigen IR-team of een vooraf gekozen IR-partner kent jouw omgeving, je kritieke systemen en je herstelprocessen al. De IR-partner van de verzekeraar is een neutrale derde partij die de verzekeraar inschakelt, maar die jouw infrastructuur niet kent en wiens werkzaamheden mede worden bepaald door de polislimieten.

Dat betekent niet dat de IR-partner van de verzekeraar per definitie minder geschikt is. Veel verzekeraars werken samen met gerenommeerde partijen die professioneel en snel handelen. Maar er zijn wel praktische verschillen die je moet kennen:

Bekendheid met jouw omgeving: Een eigen IR-partner die je vooraf hebt ingeschakeld, kent je architectuur, je back-upstrategie en je kritieke applicaties. Dat bespaart kostbare uren in het begin van een incident.
Prioritering: De IR-partner van de verzekeraar bedient meerdere klanten tegelijk. Bij een grootschalige verstoring die veel organisaties tegelijk treft, kan capaciteit een knelpunt zijn.
Scope van de opdracht: De IR-partner van de verzekeraar werkt binnen de grenzen van wat de polis vergoedt. Herstelwerkzaamheden of verbeteringen die buiten die scope vallen, worden niet opgepakt.
Afstemming op bedrijfscontinuïteit: Een eigen partner kan breder kijken dan het incident zelf en ook adviseren over minimale operationele continuïteit tijdens het herstel.

De beste aanpak is een combinatie: gebruik de IR-partner van de verzekeraar voor de formele schadeafwikkeling, maar zorg dat je ook een eigen IR-plan en een vertrouwde partner hebt voor de operationele herstelkant.

Hoe controleer je of jouw polis incident response dekt?

Controleer je polis op drie specifieke onderdelen: de definitie van een gedekt incident, de lijst van vergoede IR-kosten en de voorwaarden waaronder die vergoeding geldt. Zoek in de polisdocumentatie naar termen als “cyber incident response”, “forensische kosten”, “crisismanagement” en “notification costs”.

Praktisch gezien doe je dit het beste door samen met je verzekeraar of een onafhankelijke adviseur de polis door te lopen aan de hand van concrete scenario’s. Stel vragen als: wat gebeurt er als wij een ransomware-incident hebben en onze eigen IR-partner willen inschakelen? Welke kosten worden vergoed als wij drie dagen niet operationeel zijn? Wat als de verstoring via een leverancier binnenkomt?

Kijk ook naar de sublimits: veel polissen hebben een totale verzekerde som, maar stellen per onderdeel een maximum. De IR-kosten kunnen gedekt zijn tot een lager bedrag dan de totale polis. Dat verschil is cruciaal als een incident langer duurt dan verwacht.

Welke hiaten in IR-dekking komen het vaakst voor?

De meest voorkomende hiaten in IR-dekking zijn uitsluiting van incidenten die via leveranciers binnenkomen, onvoldoende dekking voor herstelkosten na het incident en het ontbreken van vergoeding voor interne uren van je eigen IT-team.

Andere hiaten die organisaties regelmatig tegenkomen:

Supply chain-incidenten: Als de verstoring via een derde partij binnenkomt, valt dit soms buiten de definitie van een gedekt incident.
Menselijke fouten: Incidenten veroorzaakt door een medewerker die per ongeluk data verwijdert of verkeerd configureert, vallen niet altijd onder de cyberrubriek.
OT- en IoT-omgevingen: Operationele technologie is in veel polissen niet standaard meeverzekerd.
Kosten van structurele verbeteringen: De verzekeraar vergoedt het incident, niet de investering die nodig is om herhaling te voorkomen.
Reputatieschade op lange termijn: Directe crisiscommunicatie wordt soms vergoed, maar de bredere reputatieschade valt vrijwel nooit onder de polis.

Een structurele aanpak van cyber resilience helpt om deze hiaten te verkleinen, niet door de polis te vervangen, maar door te zorgen dat je minder vaak een beroep op die polis hoeft te doen.

Wanneer is een cyberverzekering geen vervanging voor een IR-plan?

Een cyberverzekering is nooit een vervanging voor een incident response plan. De verzekering dekt kosten achteraf; een IR-plan bepaalt wat je doet in de eerste minuten en uren van een verstoring. Zonder plan verlies je kostbare tijd en voldoe je mogelijk niet aan de meldtermijnen die de verzekeraar vereist voor dekking.

Een IR-plan regelt wie welke beslissingen neemt, welke systemen als eerste worden geïsoleerd, hoe je communiceert met medewerkers en klanten, en wat de minimale set aan systemen is die operationeel moet blijven. Dat is iets wat je vooraf vastlegt, zodat je er tijdens een verstoring niet meer over hoeft na te denken.

Bovendien zijn er situaties waarbij de verzekeraar pas in beeld komt nadat je al actie hebt ondernomen. Als je in die eerste uren geen plan hebt, neem je beslissingen onder druk die later de schadeafwikkeling kunnen bemoeilijken. Een IR-plan en een cyberverzekering vullen elkaar aan: de een zorgt dat je weet wat je doet, de ander zorgt dat de kosten beheersbaar blijven.

Hoe OpenSight helpt bij incident response en cyberweerbaarheid

Wij helpen organisaties om niet alleen verzekerd te zijn, maar ook echt voorbereid. Dat betekent dat we kijken naar de hele keten: van het inzichtelijk maken van risico’s en kritieke systemen tot het inrichten van herstelprocessen die ook onder druk werken. Concreet doen we dat door:

Het in kaart brengen van je kritieke applicaties en de minimale set aan systemen die operationeel moeten blijven na een incident
Het beoordelen en versterken van je back-up- en herstelprocessen, zodat je niet alleen verzekerd bent maar ook snel kunt herstellen
Het opstellen of verbeteren van een incident response plan dat aansluit op jouw organisatie, je polisvoorwaarden en je doelstellingen voor bedrijfscontinuïteit
Het adviseren over de technische en procesmatige maatregelen die verzekeraars steeds vaker als basiseis stellen
Het begeleiden van de implementatie van die maatregelen, zodat het niet bij een rapport blijft

Een cyberverzekering is een vangnet, geen strategie. Wil je weten hoe jouw organisatie er nu voor staat en waar mogelijke verbeterpunten liggen? Neem contact met ons op voor een vrijblijvend gesprek.