Cyberverzekering: wat vraagt uw verzekeraar vandaag?

Kort: Voor een cyberverzekering vragen verzekeraars vandaag bijna altijd tweestapsverificatie op alle accounts, back-ups die een aanval overleven, tijdige updates, een opleiding voor medewerkers en een plan voor als het misgaat. Antwoord eerlijk: een “ja” dat niet klopt, kan bij een schadegeval de uitbetaling kosten.

Een cyberverzekering afsluiten was een paar jaar geleden een formaliteit. Vandaag krijgt u eerst een vragenlijst. Verzekeraars hebben te veel schadegevallen betaald en willen nu weten of uw bedrijf de basis op orde heeft. Is dat niet zo, dan betaalt u een hogere premie, krijgt u een lagere dekking, of wordt u gewoon geweigerd.

En er is een tweede risico dat minder bekend is: wie op de vragenlijst “ja” antwoordt terwijl het in de praktijk niet klopt, riskeert dat de verzekeraar bij een schadegeval weigert uit te betalen.

Wat staat er bijna altijd op de vragenlijst?

De vragen verschillen per verzekeraar, maar deze komen bijna overal terug.

Tweestapsverificatie

Op e-mail, op toegang van buitenaf (VPN, extern bureaublad) en op alle beheerdersaccounts. Dit is voor veel verzekeraars een harde voorwaarde: zonder geen polis. Let op het woord alle: één vergeten beheerdersaccount zonder tweestapsverificatie kan volstaan om bij een schadegeval in de problemen te komen.

Back-ups die een aanval overleven

Niet de vraag óf u back-ups heeft, maar of ze offline of onveranderbaar zijn, en of u het terugzetten test. Ransomware zoekt eerst naar uw back-ups. Een kopie die altijd met het netwerk verbonden is, telt voor een verzekeraar nauwelijks mee.

Updates en beveiligingssoftware

Hoe snel worden kritieke updates geïnstalleerd? Draait er op elke pc en server beveiligingssoftware die verdacht gedrag opmerkt, en niet alleen bekende virussen? Steeds vaker vraagt de verzekeraar ook of iemand die meldingen effectief opvolgt.

Opleiding van medewerkers

Krijgen medewerkers minstens jaarlijks een opleiding rond phishing? Sommige verzekeraars vragen ook of u phishing simulaties uitvoert. Een opleiding met een aanwezigheidslijst is hier uw bewijsstuk.

Een plan voor als het misgaat

Weet u wie u belt bij een aanval, wie beslist en hoe u verder werkt als de systemen plat liggen? Een eenvoudig incidentplan op één A4 is vaak al voldoende, als het maar bestaat en gekend is.

Een externe test

Steeds vaker staat de vraag op de lijst of een externe partij de beveiliging recent heeft getest. Een pentest of een onafhankelijke cybersecurity audit met een rapport is dan het sterkste bewijs dat u kunt voorleggen.

Antwoord eerlijk, en kunnen aantonen

Vul de vragenlijst niet in op gevoel. Vraag het na bij uw IT-partner en laat het liefst nakijken. Drie tips:

1. Lees elke vraag letterlijk. “Tweestapsverificatie op alle accounts” betekent alle accounts, ook dat ene beheerdersaccount van de vorige IT-partner.
2. Bewaar bewijs. Een schermafbeelding van de instellingen, een rapport van de back-uptest, de aanwezigheidslijst van de opleiding. Bij een schadegeval vraagt de verzekeraar ernaar.
3. Klopt iets niet? Zeg dat en maak een plan. Een verzekeraar verkiest “nog niet, wordt in orde gebracht tegen maart” boven een “ja” dat bij een schadegeval niet blijkt te kloppen.

Waar begint u?

Met onze cybersecurity checklist voor kmo’s ziet u in een paar minuten welke punten nog openstaan. Het CCB biedt via Safeonweb@Work ook gratis hulpmiddelen voor bedrijven. Wilt u zeker zijn dat uw antwoorden kloppen voor u ze indient? Een onafhankelijke audit toont zwart op wit waar uw bedrijf staat, en geeft u een rapport om aan uw verzekeraar of makelaar te tonen.

Plan een vrijblijvend gesprek van 30 minuten en we overlopen de vragenlijst van uw verzekeraar samen.