AVB vs. cyberverzekering: waarom je beide nodig hebt bij een datalek

05 augustus 2026

Kees Tuijp Algemeen Directeur

Een aansprakelijkheidsverzekering voor bedrijven (AVB) en een cyberverzekering zijn twee fundamenteel verschillende producten: de AVB dekt schade aan personen en eigendommen, de cyberverzekering dekt financiële schade door digitale incidenten zoals datalekken, ransomware en hacks. Voor bedrijven die persoonsgegevens beheren, zijn beide verzekeringen elk voor een ander risico relevant — maar bij een datalek is alleen de cyberverzekering van toepassing.

 

Heeft u uw administratie uitbesteed en werkt u met externe clouddiensten?

Dan is de vraag niet óf u klantdata beheert, maar wie er aansprakelijk is als het misgaat — en welke verzekering dat risico daadwerkelijk dekt.

TL;DR — de drie belangrijkste verschillen

Een aansprakelijkheidsverzekering voor bedrijven (AVB) dekt vrijwel nooit schade door een datalek. Een cyberverzekering doet dat wél — mits u de juiste dekking hebt én preventieve maatregelen hebt getroffen. En als u bepaalt waarvoor klantgegevens worden gebruikt, bent u de aansprakelijke partij — ook als een externe leverancier het lek veroorzaakte.

"Maar ik heb het toch uitbesteed?"

Rick runt een e-commercebedrijf met acht medewerkers. Zijn salarisadministratie doet een extern bureau. Zijn klantenbestand staat in een Amerikaanse cloudomgeving. Zijn nieuwsbrieven lopen via een marketingplatform. Handig, efficiënt — en Rick denkt er verder niet over na.

Tot het marketingplatform gehackt wordt. De Autoriteit Persoonsgegevens (AP) — de Nederlandse privacytoezichthouder — meldt zich voor een onderzoek. En zijn verzekeraar zegt drie woorden die Rick niet wil horen: niet gedekt.

Rick had niks verkeerd gedaan aan zijn eigen beveiliging. Maar hij is de verwerkingsverantwoordelijke — oftewel: de partij die bepaalt waarvoor en hoe klantgegevens worden gebruikt. Dat maakt hem het juridische aanspreekpunt. Had een cyberverzekering dit anders gemaakt?
 

Wat zijn dit voor verzekeringen?

AVB — aansprakelijkheidsverzekering voor bedrijven

De AVB dekt schade die u of uw medewerkers toebrengen aan anderen. Denk aan letselschade of beschadigde eigendommen. Een klant die uitglijdt in uw winkel, een medewerker die per ongeluk een laptop van een klant vernielt. Dat soort schade.

Schade door een datalek valt hier vrijwel nooit onder. Verzekeraars classificeren datalekkenschade als zuivere vermogensschade — financieel verlies waarbij niets kapotgaat en niemand gewond raakt. Zuivere vermogensschade is op de AVB standaard uitgesloten.

Cyberverzekering

Een cyberverzekering is specifiek bedoeld voor digitale incidenten. Denk aan een hack, ransomware of een datalek. De polis kan kosten dekken voor juridisch advies, IT-herstel, communicatie naar gedupeerden en medewerking aan onderzoek door toezichthouders. Ook aansprakelijkheidsclaims van klanten vallen er bij een goede polis onder.
 

AVB en cyberverzekering: de vijf grootste verschillen

Dit zijn de vijf punten waarop de AVB en een cyberverzekering het meest van elkaar verschillen — en waarom het geval van Rick typisch is.

Kernpunt	AVB (aansprakelijkheidsverzekering voor bedrijven)	Cyberverzekering
Dekt schade door datalek?	Nee — vrijwel universeel uitgesloten als zuivere vermogensschade	Ja, mits juiste dekking en preventiemaatregelen getroffen
Dekt claims van klanten bij datalek via externe partij?	Vrijwel nooit — u bent aansprakelijk als verwerkingsverantwoordelijke, niet de externe verwerker	Ja — aansprakelijkheidsdekking is onderdeel van het pakket
Dekt kosten van meldplicht en AP-onderzoek?	Nee	Ja: juridische kosten, onderzoekskosten, advies
Dekt IT-herstel, data recovery en crisiscommunicatie?	Nee	Ja, inclusief externe deskundigen en reputatieadvies
Vereist verwerkersovereenkomst voor dekking?	Niet van toepassing	Soms wel — controleer uw specifieke polis

Let op: Als verwerkingsverantwoordelijke bent u de boete van de Autoriteit Persoonsgegevens (AP) verschuldigd — ook als een externe partij het datalek veroorzaakte. Dat is een verplichting onder de Algemene Verordening Gegevensbescherming (AVG), geen keuze.
 

Wat er werkelijk gebeurde bij Rick

Week 1 — het lek

Het marketingplatform wordt gehackt. Vierduizend e-mailadressen zijn gestolen. Rick hoort het op dag twee. Zijn reactie: dit kan iedereen overkomen, wij hebben er niets aan kunnen doen.

Week 1–2 — de meldplicht

Rick is op grond van artikel 33 van de AVG wettelijk verplicht het lek binnen 72 uur te melden bij de Autoriteit Persoonsgegevens (AP). De toezichthouder start een onderzoek. Rick schakelt een jurist in voor advies. Kosten in dit fictieve scenario: €3.500. Rick denkt: dat betaalt mijn AVB wel.

Week 3–4 — de klantclaims

Drie klanten stellen Rick aansprakelijk voor identiteitsfraude als gevolg van het lek. Totale claim in dit scenario: €12.000. Rick meldt het bij zijn AVB-verzekeraar. Het antwoord: dit is schade door een cyberincident, geen zaak- of letselschade — niet gedekt. Rick betaalt de rekening zelf.

Maanden later — reputatieschade

Er verschijnen berichten over het incident. Een deel van zijn klanten vertrekt. In dit fictieve voorbeeld: een omzetdaling van circa 8% — geen statistisch onderbouwde gemiddelde, maar een indicatief scenariocijfer. Rick wil professionele crisiscommunicatie inzetten. Kosten in dit scenario: €5.000. AVB: niet gedekt. Met een cyberverzekering had hij hier wél op kunnen rekenen.

Achteraf — de verwerkersovereenkomst

Rick onderzoekt of hij de kosten kan terugvorderen bij het marketingplatform. Dat is wat een verwerkersovereenkomst regelt: een schriftelijke afspraak, vereist onder artikel 28 AVG, waarin u vastlegt wat een externe partij met uw klantgegevens mag doen en welke beveiligingsmaatregelen gelden. Denk aan een contract met een aannemer die toegang heeft tot uw bedrijfspand: zonder schriftelijke afspraken over aansprakelijkheid staat u zwak, ook als u er niks aan kon doen.

Bij Rick bleek: er was geen ondertekende verwerkersovereenkomst. Verhaal op het marketingplatform was daardoor aanzienlijk moeilijker. Verhaal via de buitencontractuele zorgplicht is in theorie mogelijk — zo oordeelden rechters eerder dat een IT-leverancier aansprakelijk kan zijn als hij tekortschiet in beveiliging, ook zonder contractuele afspraken daarover, zoals de Beursbengel in augustus 2023 beschreef — maar zo'n procedure is onzeker, kostbaar en kan jaren duren. Een civiele vordering biedt in de praktijk geen snel verhaal.

Ricks conclusie: hij had twee dingen nodig gehad. Een cyberverzekering. En een verwerkersovereenkomst met elke externe partij die klantdata beheert.
 

Wanneer past een AVB — en wanneer een cyberverzekering?

De AVB past wanneer u vooral risico loopt op letsel- of zaakschade. Een installatiebedrijf, een cateraar, een winkel met fysieke klantcontacten. De AVB doet waarvoor hij bedoeld is — maar dat is niet de digitale wereld.

De cyberverzekering past wanneer u persoonsgegevens beheert, digitaal werkt met klant- of medewerkersdata, of externe partijen toegang geeft tot die gegevens. Voor vrijwel elk MKB-bedrijf van nu is dat het geval. Webshops, praktijken, bureaus, administratiekantoren — de omvang van uw bedrijf zegt niets over hoe gevoelig uw data is.

Een cyberverzekering afsluiten lukt niet zonder dat u basismaatregelen hebt getroffen. Verzekeraars vragen standaard naar multi-factor authenticatie (MFA — een tweede verificatiestap bij inloggen), gesegmenteerde back-ups, virusbeveiliging en een plan voor als het toch misgaat. Bedrijven die dit niet kunnen aantonen, krijgen óf geen dekking, óf een hogere premie met beperkte limieten. En als bij schade achteraf blijkt dat u deze maatregelen niet had getroffen, kan de verzekeraar dekking weigeren.
 

Nadelen en risico's per optie

AVB — waar u op moet letten

De AVB geeft een gevoel van dekking dat bij cyberincidenten niet klopt. Sommige verzekeraars bieden een beperkte cyber-aansprakelijkheidsdekking als module op de AVB aan — maar dit is een uitzondering. Laat uw eigen polis hier expliciet op controleren. Ga er niet van uit.

Een tweede risico: als een datalek voortvloeit uit een professionele beroepsfout — bijvoorbeeld een verkeerde configuratie door uw IT-dienstverlener — dan is de beroepsaansprakelijkheidsverzekering (BAV) het relevante product. Niet de AVB, en ook niet automatisch de cyberverzekering. De Beursbengel signaleerde in augustus 2023 dat de discussie over welke polis een claim dekt in de praktijk frequent voorkomt bij IT-leveranciers die zowel een BAV als een cyberverzekering hebben: afhankelijk van de aard van de aansprakelijkstelling kan de claim onder één van beide verzekeringen vallen, wat tot vertraging en onzekerheid leidt.

Cyberverzekering — waar u op moet letten

Niet elke cyberpolis dekt hetzelfde. Let specifiek op het volgende: hoewel sommige polissen "bestuurlijke boetes" als dekkingscategorie noemen, is de boete van de Autoriteit Persoonsgegevens (AP) lang niet altijd daadwerkelijk verzekerd. In Nederland geldt als rechtsbeginsel dat bestuurlijke sancties met een bestraffend karakter niet verzekerbaar zijn — ongeacht of er sprake is van opzet van de overtreder. De AP-boete valt hier doorgaans onder. Wat verzekeraars wél vaak dekken: de kosten van medewerking aan het onderzoek van de toezichthouder en civiele claims van gedupeerden. Laat dit punt expliciet toelichten door uw adviseur.

Een tweede risico: de discussie over dekking tussen verzekeraars kan maanden duren. In de praktijk kunnen veel kosten voorbijgaan terwijl u zelf voor de kosten van bedrijfsherstel staat. Zorg daarom voor een eigen cyberverzekering, los van de verzekering van uw leverancier.
 

Hoe we vergelijken

Meegenomen criteria:

Marktpatroon voor dekking van zuivere vermogensschade op AVB-producten; standaard dekkingscategorieën van cyberverzekeringen; acceptatie-eisen voor cyberverzekeringen; wettelijke positie van de verwerkingsverantwoordelijke onder de AVG; aansprakelijkheidspositie bij ontbrekende verwerkersovereenkomst.

Bewust niet meegenomen:

Specifieke premies en limieten (te sterk afhankelijk van branche, omvang en preventiemaatregelen); vergelijking van individuele verzekeraars of polissen (buiten het kader van een informatief artikel).

Peildatum: 2025. Polisvoorwaarden en acceptatiebeleid kunnen wijzigen.

Bronnen: Opleidingsmateriaal Wft Schade Zakelijk; vakkennis aansprakelijkheid IT-leveranciers; Beursbengel (augustus 2023); polisvoorwaarden (allocatieclausule); SME-validatie.
 

Drie vragen om uw positie te checken

Beantwoord deze vragen voor uw eigen situatie:

1. Wie beheert uw klant- of medewerkersdata?

Als dat (ook) externe partijen zijn — een boekhouder, een clouddienst, een marketingplatform — dan bent u de verwerkingsverantwoordelijke. Controleer of er voor elke partij een ondertekende verwerkersovereenkomst ligt. Zonder die overeenkomst staat u juridisch aanzienlijk zwakker bij verhaal op de externe partij.

2. Wat staat er in uw huidige polis over cyberincidenten?

Bel uw verzekeraar en vraag expliciet: dekt mijn AVB schade door een datalek via een externe verwerker? Het antwoord is bijna altijd nee. Controleer het toch — ook op de aanwezigheid van een eventuele cyber-module.

3. Voldoet u aan de acceptatie-eisen voor een cyberverzekering?

Hebt u multi-factor authenticatie (MFA) ingesteld, gesegmenteerde back-ups en virusbeveiliging? Als dat niet het geval is, is de eerste stap geen verzekering afsluiten, maar orde op zaken stellen in uw beveiliging.
 

Wat u nu zelf kunt doen — en wanneer helpt een adviseur

U kunt zelf nagaan of er verwerkersovereenkomsten liggen met externe partijen die uw klantdata beheren. En u kunt zelf uw verzekeraar bellen om te vragen wat uw AVB wel en niet dekt.

Of een cyberverzekering aansluit bij uw specifieke situatie — uw branche, uw klantenbestand, uw huidige polisdekking — dat is lastiger zelf te beoordelen. De dekkingsvragen zijn situatieafhankelijk, en de vraag over de verzekeringsrechtelijke positie van AP-boetes verdient een eerlijk gesprek met iemand die de polis kent.

Maak een afspraak met een adviseur van MZA om uw huidige dekking te laten beoordelen en te bespreken of een cyberverzekering in uw situatie zinvol is.

 

De informatie in dit artikel is indicatief en heeft een algemeen karakter. Individueel advies is noodzakelijk voor de beoordeling van uw persoonlijke situatie. Polisvoorwaarden, dekkingslimieten en acceptatiecriteria verschillen per verzekeraar en kunnen wijzigen. MZA Assurantiën B.V. is geregistreerd bij de Autoriteit Financiële Markten (AFM) onder nummer 12009961. Peildatum: 2025.