Uw cyberverzekering dekt minder dan u denkt

U heeft een cyberverzekering afgesloten, u betaalt de premie en het risico voelt daarmee afgedekt. De vraag is of dat terecht is. In de polissen die wij onder ogen krijgen, sluit de dekking regelmatig niet aan op het scenario waarvoor de verzekering nu juist is afgesloten.

De cyberverzekeringsmarkt is in enkele jaren wezenlijk veranderd. Verzekeraars toetsen bij de aanvraag op de aanwezigheid van beveiligingsmaatregelen, en toetsen daar bij een schadeclaim opnieuw op. Blijkt een maatregel die u bij de aanvraag heeft opgegeven in werkelijkheid niet aanwezig te zijn geweest, dan wordt de uitkering verlaagd of geheel geweigerd. Dat is geen uitzonderingsclausule maar de kern van hoe deze polissen tegenwoordig werken.

De illusie van dekking

Het volgende verloop is exemplarisch voor de wijze waarop een claim in de praktijk strandt. Beschouw het als rekenvoorbeeld, niet als casus.

Een productiebedrijf wordt getroffen door ransomware. De aanvaller komt binnen via een VPN-apparaat waarop een bekende kwetsbaarheid niet was verholpen, en versleutelt vervolgens zowel de kantoor- als de productieomgeving. De productie ligt enkele dagen stil en de totale schade, bestaande uit omzetverlies, herstelkosten en forensisch onderzoek, loopt in de honderdduizenden euro's.

Bij het indienen van de claim komt het aanvraagformulier weer op tafel. Daarop is destijds aangegeven dat alle externe toegang met multifactor-authenticatie is beveiligd. Voor het VPN-apparaat dat als toegangsweg diende, gold dat niet. De verzekeraar merkt dat aan als een onjuiste verklaring en keert een fractie van de schade uit. Niet de aanval bepaalde de uitkomst, maar één zin op een formulier van twee jaar eerder.

Wat uw polis waarschijnlijk NIET dekt

Hieronder de uitsluitingen en beperkingen die wij het vaakst aantreffen in Nederlandse cyberverzekeringen. Loop uw eigen polis op elk van deze punten na:

• OT-systemen en industriële omgevingen: veel polissen dekken uitsluitend IT-systemen. Schade aan PLC's, SCADA-systemen of HMI's en productieverlies door OT-incidenten vallen daarbuiten. Voor een productiebedrijf is dat het grootste deel van het risico.
• Ransombetalingen: een toenemend aantal verzekeraars sluit losgeld uit of beperkt de dekking tot een deel van het verzekerde bedrag. Sommige polissen vergoeden wel de herstelkosten, maar niet de betaling zelf.
• Schade via bekende kwetsbaarheden: is misbruik gemaakt van een kwetsbaarheid waarvoor al geruime tijd een patch beschikbaar was, dan kan de verzekeraar zich beroepen op nalatigheid.
• Social engineering en CEO-fraude: veel polissen dekken geen schade door social engineering, Business Email Compromise of factuurfraude, terwijl juist die categorie sterk groeit.
• Bedrijfsonderbreking binnen de wachttijd: de meeste polissen kennen een wachttijd van acht tot vierentwintig uur. Uitsluitend het omzetverlies daarna wordt vergoed. Bij een korte maar ingrijpende verstoring blijft de schade volledig voor eigen rekening.
• Reputatieschade en klantverlies: de schade op langere termijn, zoals afnemers die vertrekken en hogere kosten voor klantbehoud, wordt vrijwel nooit vergoed.
• Boetes en sancties: bestuurlijke boetes op grond van de AVG of de Cyberbeveiligingswet zijn in de meeste Europese jurisdicties niet verzekerbaar.

Wat verzekeraars nu eisen

De keerzijde van beperktere polissen is dat verzekeraars ook zwaardere eisen stellen voordat zij dekking verlenen. De acceptatievoorwaarden zijn de afgelopen jaren aanzienlijk aangescherpt. Dit is wat wij in aanvraagtrajecten standaard terugzien:

• Multifactor-authenticatie op alle externe toegang, beheeraccounts en clouddiensten. Zonder MFA komt een polis bij vrijwel geen enkele verzekeraar meer tot stand.
• Endpoint detection and response op werkstations en servers. Klassieke antivirussoftware wordt niet langer als afdoende beschouwd.
• Patchmanagement met aantoonbare procedures, waarbij kritieke patches binnen veertien tot dertig dagen worden toegepast.
• Een back-upstrategie met offline of onveranderbare kopieën, inclusief bewijs dat deze bij een aanval niet mee versleuteld kunnen worden.
• Een beproefd incident response plan. Niet uitsluitend een document, maar aantoonbaar geoefend.
• Bewustwordingstraining voor alle medewerkers, ten minste jaarlijks.

Voldoet u niet aan deze eisen, dan zijn er drie uitkomsten mogelijk: de aanvraag wordt afgewezen, de premie valt aanzienlijk hoger uit, of er komt een polis tot stand met zoveel uitsluitingen dat de dekking beperkt betekenis heeft.

Waarop claims in de praktijk stuklopen

De patronen waarlangs een claim strandt, zijn opvallend consistent. Drie daarvan komen steeds terug.

Gedeeltelijk doorgevoerde maatregelen. Multifactor-authenticatie staat aan op de e-mailomgeving, maar niet op de beheertoegang op afstand. Juist die laatste route is de aanvalsweg. Een maatregel die u op het formulier zonder voorbehoud heeft bevestigd, blijkt in de praktijk een uitzondering te kennen, en die uitzondering is precies waar het misging.

Een dekking die de productieomgeving niet omvat. De aanval treft de procesautomatisering. De verzekeraar merkt dat aan als operationele technologie en verwijst naar de uitsluiting voor niet-IT-systemen. De herstelkosten aan de kantoorzijde worden vergoed, het productieverlies niet, terwijl daar het grootste deel van de schade zit.

Een overschreden meldtermijn. Polissen schrijven doorgaans melding binnen achtenveertig uur voor. In de eerste dagen van een incident gaat de aandacht naar herstel, en de melding blijft liggen. De verzekeraar keert dan wel uit, maar brengt een korting in mindering wegens te late melding.

Wat u vandaag moet controleren

Neem uw polisvoorwaarden erbij en loop het volgende na:

1. Reikwijdte van de dekking. Dekt de polis uitsluitend IT, of ook OT- en ICS-systemen? Bij een productieomgeving is dit het eerste punt om vast te stellen.
2. Ransomwareclausule. Wordt losgeld vergoed, tot welk bedrag, en onder welke aanvullende voorwaarden?
3. Garanties en voorwaarden. Welke beveiligingsmaatregelen heeft u bij het afsluiten bevestigd, en voldoet u daar op dit moment nog aan? Iedere afwijking vormt een grond voor gehele of gedeeltelijke afwijzing.
4. Meldtermijnen. Binnen hoeveel uur moet een incident worden gemeld, is dat bij uw team bekend, en staat het in uw incident response plan?
5. Wachttijd en maximale uitkering. Hoe lang is de wachttijd bij bedrijfsonderbreking, en dekt het maximum uw werkelijke schade bij een week stilstand?
6. Uitsluitingen. Lees de uitsluitingenlijst woordelijk door, met bijzondere aandacht voor statelijke aanvallen, bekende kwetsbaarheden en social engineering.

Verzekering is geen vervanging voor beveiliging

De meest voorkomende denkfout is de cyberverzekering opvatten als alternatief voor beveiliging. Enkele jaren geleden was die redenering nog te verdedigen; inmiddels niet meer.

Verzekeraars verleggen het risico stelselmatig terug naar de polishouder, met hogere eigen risico's, lagere maxima, strengere voorwaarden en meer uitsluitingen. De richting is eenduidig: de cyberverzekering ontwikkelt zich tot een vangnet voor restrisico en niet tot een vervanging van basismaatregelen.

Daarmee ontstaat een opmerkelijke situatie. De organisaties die het meeste profijt hebben van hun cyberverzekering, zijn de organisaties die haar het minst nodig hebben: zij met een degelijk beveiligingsniveau, vastgelegde processen en een beproefd incident response plan. Zij krijgen de gunstigste premies, de ruimste dekking en bij een incident de minste discussie.