verzekeraar vraagt securityvragenlijst voor cyberverzekering wat moet ik doen

Verzekeraars vragen dezelfde tien maatregelen, maar willen bewijs

Een cyberverzekeraar stelt vragen die grotendeels overlappen met artikel 21 lid 2 van NIS2: incidentrespons, back-ups, MFA, patchbeleid, leveranciersbeheer. Het verschil met een NIS2-vragenlijst van een klant is dat de verzekeraar concreet bewijs wil, geen beleidsintentie. Waar een ketenpartner tevreden is met "ja, we hebben een procedure", wil de verzekeraar vaak weten of er een procedure is voor het behandelen van beveiligingsincidenten inclusief hersteltijd, en of meerfactorauthenticatie verplicht is voor alle externe toegang of alleen voor admin-accounts. Dat granulariteitsverschil is waar de meeste twijfel ontstaat: een antwoord dat bij de ene vragenlijst volstaat, is bij de andere te globaal.

Als een maatregel er wel is maar niet overal consequent — bijvoorbeeld MFA wel op de cloudomgeving maar niet op het VPN — is het gangbare antwoord "deels" met een korte toelichting, niet een "ja" dat de dekking later ter discussie kan stellen. Voor de vragen over back-ups en noodvoorziening en over beveiligingseisen aan eigen leveranciers geldt hetzelfde: de verzekeraar toetst vaak achteraf, bij een claim, of het antwoord klopte. Een ISO 27001-certificaat versnelt dit proces aanzienlijk, omdat het certificaat de Annex A-maatregelen al onafhankelijk laat toetsen — zonder certificaat moet je per vraag zelf het bewijs aanleveren.

Waarom verzekeraars net iets meer vragen dan de tien NIS2-maatregelen

De tien maatregelen van artikel 21 lid 2 van NIS2 vormen de kern van vrijwel elke securityvragenlijst, cyberverzekeraars incluis, maar verzekeraars vullen dit vaak aan met vragen die specifiek zijn voor risico-inschatting bij een claim — zoals de scope van MFA of de hersteltijd na een incident. ISO/IEC 27001 Annex A geeft per maatregel de beheersmaatregelen waarmee je een antwoord kunt onderbouwen, wat vooral relevant is omdat verzekeraars vaker om bewijsstukken vragen dan andere afnemers.