klant vraagt of wij verzekerd zijn tegen cyberschade

Cyberverzekering zelf is geen NIS2-maatregel

Een cyberverzekering staat niet in het rijtje van artikel 21 lid 2 van de NIS2-richtlijn. De tien maatregelen uit dat artikel gaan over risicoanalyse, incidentafhandeling, bedrijfscontinuïteit, ketenbeveiliging, toegangsbeleid en dergelijke — een verzekeringspolis is geen beveiligingsmaatregel maar een manier om financiële restschade op te vangen. Toch komt de vraag vaak terug in vragenlijsten van klanten en verzekeraars zelf, omdat een polis iets zegt over hoe volwassen een onderneming met risico omgaat. Bij ISO/IEC 27001 zie je hetzelfde: Annex A bevat geen beheersmaatregel "verzekering", maar risicobehandeling — waarvan verzekering een erkende vorm is naast reductie, vermijding en acceptatie — hoort wel bij het managementsysteem.

Of je moet verzekerd zijn, hangt dus niet af van de tien maatregelen zelf maar van wat je klant er in de praktijk mee wil weten: heb je financiële dekking als het misgaat, of heb je vooral de basis op orde? Die twee vragen worden in de meeste lijsten los van elkaar gesteld. Herken het patroon: staat de vraag in een blok over risicomanagement, dan wordt vaak gevraagd naar de onderbouwing van het beleid voor risicoanalyse en beveiliging van informatiesystemen. Staat de vraag los, als aparte regel over financiële weerbaarheid, dan volstaat een feitelijk antwoord over de polis zelf — heb je die niet, dan is "nee" het juiste antwoord, ook al voelt dat als een gemis.

Waar dit vandaan komt: artikel 21 lid 2 en Annex A

Artikel 21 lid 2 van de NIS2-richtlijn noemt de tien verplichte maatregelen limitatief; een verzekering staat er niet bij, ook niet impliciet onder continuïteit — dat gaat over back-ups en noodvoorzieningen om de dienstverlening te herstellen, niet over financiële compensatie achteraf. In Annex A van ISO/IEC 27001 is risicobehandeling wel een expliciet onderdeel van het managementsysteem, en verzekering is daarbinnen een erkende behandeloptie naast technische en organisatorische maatregelen. De Cyberbeveiligingswet, die NIS2 in Nederland omzet en op 15 augustus 2026 in werking treedt, herhaalt de tien maatregelen uit de richtlijn zonder een verzekeringsplicht toe te voegen.