Cyberverzekering claim afgewezen? Dit zijn de eisen
19 augustus 2026
Acceptatievoorwaarden voor een cyberverzekering (ook wel: beveiligingseisen, polisverplichtingen of garantieclausules) zijn de doorlopende maatregelen waaraan een ondernemer moet voldoen om daadwerkelijk gedekt te zijn bij een cyberincident — niet alleen op het moment van afsluiten, maar gedurende de volledige looptijd van de polis.
Premie betaald. Claim afgewezen.
Marco belde me niet meteen. Dat doen ze nooit.
Hij belde pas twee weken nadat zijn systemen waren platgelegd door ransomware — software die je bestanden gijzelt totdat je betaalt. Zijn logistieke bedrijf, twaalf medewerkers, lag er een volle week uit. Facturen onbereikbaar. Chauffeurs die niet wisten waar ze moesten zijn. Klanten die belden.
En toen de claim bij zijn verzekeraar binnenkwam, kregen ze één vraag terug: "Had u meerfactorauthenticatie ingesteld op uw mailsysteem?"
Marco wist niet eens wat dat was.
Twee weken later: brief in de bus. Claim afgewezen wegens niet-naleving van de polisvoorwaarden. Hij had altijd netjes betaald. Hij wist alleen nooit wat er van hem verwacht werd.
Acceptatievoorwaarden: de spelregels die niemand je uitlegt
Acceptatievoorwaarden — dat klinkt als iets uit een juridisch formulier. Maar het idee erachter is gewoon: wat moet jij doen om echt gedekt te zijn? Niet eenmalig bij het afsluiten, maar doorlopend, gedurende de hele looptijd van je polis.
Vergelijk het met een brandverzekering waarbij in de kleine lettertjes staat dat je rookmelders verplicht hebt. Geen rookmelders in huis? Dan keert de verzekeraar misschien niet uit — ook al heb je jaren premie betaald. De premie zegt niets over de dekking. De naleving bepaalt die.
Bij een cyberverzekering werkt dat precies zo. Alleen zijn de "rookmelders" hier technische beveiligingseisen. En die staan zelden op de voorkant van je polis. Zoals de Beursbengel het treffend formuleerde: bij een schade doet een verzekering examen — en dan blijken de details in de voorwaarden doorslaggevend.
Vier veel voorkomende eisen. Klein gedrukt. Groot gevolg.
Veel cyberverzekeraars stellen concrete beveiligingseisen als voorwaarde voor dekking. De volgende vier komen het meest voor. Ze staan in de voorwaarden. Klein gedrukt, maar ze staan erin.
1. Meerfactorauthenticatie (MFA) — inloggen met een extra verificatiestap
Je voert je wachtwoord in, en dan stuurt het systeem je een sms-code of een melding via een authenticator-app die je ook moet bevestigen. Dat is meerfactorauthenticatie, of kortweg MFA. Marco miste dit op zijn zakelijke e-mail. Dat werd hem fataal.
2. Software-updates op tijd installeren
Updates zijn niet alleen functioneel — ze dichten beveiligingsgaten. Wie updates uitstelt, laat die gaten open staan. Veel ondernemers klikken "later" en vergeten het. Verzekeraars noemen dit "patchbeleid". Als je updates structureel achterwege laat, ben je mogelijk niet gedekt.
3. Back-ups maken én testen
Niet gewoon een back-up draaien en hopen dat het goed zit. Verzekeraars verwachten dat je ook controleert óf die back-up werkt bij een herstelpoging. Dat wordt in de praktijk vaak vergeten.
4. Verwerkersovereenkomsten als je IT hebt uitbesteed
Heb je een externe IT-partij? Dan blijf jij als ondernemer verantwoordelijk voor de beveiliging van jouw gegevens. Dat is vastgelegd in de Algemene Verordening Gegevensbescherming (AVG). Ontbreekt de schriftelijke overeenkomst met die IT-partij, dan kan de verzekeraar stellen: jij hebt je beveiliging niet afdoende geregeld.
Maar wacht even — hij had toch een verzekering?
Dat klopt. Marco had een polis. Hij betaalde elke maand. En toch: claim afgewezen.
Wat hier eigenlijk speelt, is dat betaalde premie en daadwerkelijke dekking twee verschillende dingen zijn. De verzekeraar accepteert je op basis van wat je opgeeft. Maar als bij een claim blijkt dat de werkelijkheid afwijkt van de voorwaarden, mag de verzekeraar de dekking weigeren. Dat is zijn goed recht.
Marco wist dat MFA een eis was? Nee. Was het zijn schuld? Zo simpel is het niet. Maar de verantwoordelijkheid om de polisvoorwaarden te kennen, ligt bij de ondernemer — ook als die voorwaarden complex zijn. Het was dan ook wél zijn probleem.
Vier vragen die je nu even kunt nalopen
- Heb ik MFA ingesteld op mijn e-mail en andere zakelijke accounts?
- Worden mijn software-updates automatisch geïnstalleerd, of blijft dat liggen?
- Heb ik een back-up — én heb ik ooit getest of die back-up ook écht werkt bij herstel?
- Weet ik wat mijn cyberpolis precies van mij eist?
Als je bij één van deze vragen twijfelt — en dat hoeft echt maar één vraag te zijn — dan is het de moeite waard om even verder te kijken.
Even sparren?
De kloof bij een cyberverzekering zit in twee lagen: begrijpen wát er in je polis staat, en weten of jouw huidige IT-situatie daaraan voldoet. Dat is voor de meeste ondernemers lastig zelfstandig te beoordelen — en dat is ook niet gek. Polisvoorwaarden zijn niet geschreven voor mensen die ook nog een bedrijf moeten runnen.
Als je wil, kijk ik een keer mee. Wat er staat, wat er ontbreekt — gewoon even samen doorlopen.
Kom langs, of stuur een bericht. Dan kijken we er even samen naar.
De informatie in dit blog is algemeen van aard en geen persoonlijk advies. Elke situatie is anders. Neem contact op met een adviseur voor advies dat past bij jouw specifieke omstandigheden. MZA is geregistreerd bij de Autoriteit Financiële Markten (AFM) onder registratienummer 12009961.
