vragenlijst vraagt of ons bedrijf een cyberverzekering heeft afgesloten

Cyberverzekering is geen vervanging voor de tien maatregelen

Een cyberverzekering is een financiële voorziening tegen de schade van een incident, geen bewijs van beveiligingsniveau. De vraag naar een cyberverzekering staat meestal los van de vragen over de tien maatregelen uit artikel 21 lid 2 van NIS2 — die gaan over risicoanalyse, incidentafhandeling, continuïteit en toegang. Een klant die dit vraagt, wil vooral weten of financiële schade bij een incident is afgedekt, niet of de beveiliging op orde is. Dat onderscheid is voor het antwoord van belang: "nee" op deze vraag zegt niets over het antwoord op de vraag of er een procedure is voor beveiligingsincidenten of op de vraag naar back-ups en noodvoorzieningen.

Heeft de onderneming geen cyberverzekering, dan is "nee" het feitelijk juiste antwoord — er is geen reden om dat om te buigen naar "gedeeltelijk" of "in behandeling". Sommige polissen dekken alleen bepaalde schadesoorten (bijvoorbeeld bedrijfsonderbreking, maar geen reputatieschade of boetes); als dat relevant is voor de vragenlijst, staat dat meestal in een aparte toelichtingsvraag en niet in de ja/nee-vraag zelf. Let op dat de polis op naam van de juiste entiteit staat: een verzekering van de moedermaatschappij dekt niet automatisch de dochter die de vragenlijst invult.

Waarom dit los staat van de NIS2-maatregelen

De tien maatregelen van artikel 21 lid 2 van de NIS2-richtlijn noemen geen verzekeringsplicht; ze beschrijven technische en organisatorische maatregelen zoals risicobeheer, cryptografie en toegangsbeheer. Ook Annex A van ISO/IEC 27001 kent geen beheersmaatregel die een verzekering verplicht stelt. Een cyberverzekering kan wel nuttig zijn als aanvulling op de maatregelen die in het beleid voor risicoanalyse zijn vastgelegd, maar juridisch en normatief zijn het twee gescheiden onderwerpen.