mijn cyberverzekeraar stuurt een uitgebreide vragenlijst, wat moet ik invullen

Cyberverzekeraars vragen dezelfde tien maatregelen als NIS2

Een uitgebreide securityvragenlijst van een cyberverzekeraar overlapt grotendeels met de tien maatregelen van artikel 21 lid 2 van de NIS2-richtlijn: risicoanalyse, incidentafhandeling, bedrijfscontinuïteit, ketenbeveiliging, kwetsbaarhedenbeheer, cryptografiebeleid, toegangsbeheer en MFA. Verzekeraars gebruiken die indeling niet omdat ze onder de richtlijn moeten rapporteren, maar omdat het een bruikbare risico-indicator is voor de premie en de dekking. Herken je die indeling in de vragenlijst, dan kun je grotendeels teruggrijpen op wat je al hebt vastgelegd voor andere afnemers.

Waar dit lastiger wordt: verzekeraars vragen vaak net iets concreter door dan een klant die alleen "hebben jullie een incidentprocedure" wil weten. Ze willen bijvoorbeeld weten of er een procedure is voor het behandelen van beveiligingsincidenten inclusief meldtermijnen en escalatiepaden, of vragen door op de doeltreffendheid van beveiligingsmaatregelen — dus niet alleen of het beleid bestaat, maar of het ooit getoetst is. Heb je geen bewijsstuk, antwoord dan feitelijk: "nog niet geformaliseerd" of "in ontwikkeling" is beter dan een ja die je niet kunt onderbouwen bij een claim.

ISO 27001 als kortere weg door de lijst

Heb je een ISO 27001-certificaat, dan dekt dat een groot deel van de vragenlijst in één keer, omdat de Annex A-maatregelen vrijwel één-op-één aansluiten op wat verzekeraars uitvragen. Vermeld het certificaat expliciet waar gevraagd wordt of de onderneming ISO 27001-gecertificeerd is en verwijs voor de onderliggende maatregelen naar het bijbehorende auditrapport als de verzekeraar daar om vraagt — dat scheelt vaak een aparte toelichting per vraag.

Waar dit uit volgt: artikel 21 lid 2 en Annex A

De tien categorieën maatregelen staan in artikel 21 lid 2 van Richtlijn (EU) 2022/2555 (NIS2); de Nederlandse omzetting volgt via de Cyberbeveiligingswet, die op 15 augustus 2026 in werking treedt. De vergelijkbare indeling in beheersmaatregelen staat in Annex A van ISO/IEC 27001. Verzekeraars zijn aan geen van beide gebonden — de vragenlijst is een eigen risico-instrument — maar de overlap in indeling is geen toeval: beide bronnen beschrijven wat in de praktijk als basisbeveiliging geldt.