Cyberverzekeringsaanvragen voelden vroeger meer als papierwerk. Tegenwoordig lijken ze veel meer op een beveiligingsreview. Een bedrijfseigenaar of COO die een polis verlengt, kan vragen krijgen over multi-factorverificatie (MFA), back-ups, toegangscontroles, personeelstraining, patchen, incidentrespons en wachtwoordbeheer voordat een verzekeraar zelfs maar de voorwaarden bevestigt.
Verzekeraars willen weten welke maatregelen aanwezig zijn, waar ze van toepassing zijn, hoe consistent ze worden gehandhaafd en of het bedrijf dat kan bewijzen. Dit komt doordat cyberverzekering geen vervanging kan zijn voor cybersecurity. Het staat naast beveiligingsmaatregelen, incidentplanning, herstelprocessen en risicobeheer als onderdeel van het beheren van cyberrisico’s.
Voor bedrijven die zich voorbereiden om een aanvraag te doen of te verlengen, is dit wat u moet weten over wat verzekeraars verwachten te zien voordat ze het risico met een gerust hart aangaan.
Wat cyberverzekeraars echt controleren
De maatregelen die de meeste verzekeraars verwachten
Een praktische checklist voor cyberverzekeringen
Waarom bedrijven moeite hebben om in aanmerking te komen
Hoe het risico van mkb-bedrijven verzekeringsgesprekken beïnvloedt
Hoe Proton Pass cyberverzekeringsgereedheid ondersteunt
Wat cyberverzekeraars echt controleren
Een cyberverzekeringsbeoordeling is bedoeld om te begrijpen hoe waarschijnlijk het is dat een bedrijf een cyberincident krijgt, hoe ernstig dat incident kan worden en hoe goed het bedrijf is voorbereid om te herstellen.
De verzekeraar kijkt niet alleen naar wat een bedrijf doet of hoeveel omzet het genereert. Ze willen ook begrijpen hoe het omgaat met toegang, inloggegevens, data, systemen, leveranciers en continuïteit. Een bedrijf met zwakke beheerderscontroles, geen MFA-handhaving en ongeteste back-ups heeft een ander risicoprofiel dan een bedrijf dat duidelijke beleidslijnen, gehandhaafde maatregelen en herstelbewijs kan tonen.
Daarom richten cyberverzekeringseisen zich vaak op operationele beveiliging. Verzekeraars willen weten of aanvallers gemakkelijk binnen kunnen komen, of het bedrijf de schade kan beperken en of essentiële systemen kunnen worden hersteld zonder losgeld te betalen of dagenlang offline te blijven.
Cyberverzekeringsacceptatie kan een gedetailleerde vragenlijst, vervolgvragen, verzoeken om bewijs, scans of gesprekken met IT-leveranciers omvatten. Voor kleinere bedrijven kan dit proces moeilijk zijn, vooral wanneer beveiliging nog geen formele processen heeft opgezet.
Het is bijvoorbeeld niet voldoende om te zeggen dat uw bedrijf MFA gebruikt. Een verzekeraar wil misschien weten waar en hoe MFA wordt gehandhaafd, of het beheerdersaccounts dekt en welke kritieke toepassingen, indien van toepassing, buiten beschouwing worden gelaten. Een sterker antwoord is specifiek, gedocumenteerd en onderbouwd met bewijs.
De maatregelen die de meeste verzekeraars verwachten
Cyberverzekeringseisen variëren per aanbieder, polistype, bedrijfsgrootte en risicoprofiel. Toch zoeken de meeste beoordelingen nu naar dezelfde basissignalen: of uw bedrijf veelvoorkomende aanvallen kan voorkomen, de schade kan beperken als een account wordt gecompromitteerd, kan herstellen van verstoringen en kan bewijzen dat maatregelen daadwerkelijk aanwezig zijn. Dit omvat vaak hoe uw bedrijf met wachtwoorden omgaat. Een sterk wachtwoordbeleid en een veilige zakelijke wachtwoordbeheerder behoren tot de meest effectieve best practices voor wachtwoordbeheer die u kunt invoeren.
MFA
Dit is een van de eerste maatregelen waar verzekeraars naar kijken, omdat veel claims voortkomen uit misbruik van inloggegevens. U kunt worden gevraagd of 2FA is ingeschakeld voor e-mail, VPN’s, externe toegang, cloudplatforms, wachtwoordbeheerders en andere kritieke toepassingen.
De beoordeling kan ook verder gaan en vragen of MFA wordt gehandhaafd voor alle gebruikers, alleen voor bepaalde systemen of alleen voor beheerdersaccounts, en hoe die handhaving daadwerkelijk werkt.
Er is een verschil tussen beschikbare MFA en verplichte MFA: een verzekeraar wil weten of het wordt gehandhaafd, of het wordt geconfigureerd bij de identiteitsprovider of per app, en wat er gebeurt als iemand de prompt niet haalt of omzeilt.
Een sterker antwoord laat zien waar MFA vereist is, welke toepassingen worden gedekt, hoe het wordt gehandhaafd en hoe uitzonderingen worden goedgekeurd en beoordeeld.
Beheerders- en geprivilegieerde accountbeveiliging
Verzekeraars willen ook begrijpen hoe uw bedrijf accounts met verhoogde toegang beschermt. Beheerdersaccounts kunnen instellingen wijzigen, gebruikers aanmaken, toegang krijgen tot gevoelige data, beveiligingsmaatregelen uitschakelen of zich tussen systemen verplaatsen, wat ze bijzonder waardevol maakt voor aanvallers.
Bedrijven kunnen worden gevraagd of beheerderstoegang beperkt is tot specifieke personen, regelmatig wordt beoordeeld, beschermd is met MFA en gescheiden is van alledaagse gebruikersaccounts. Bewijs kan bestaan uit toegangsbeleid, gebruikerslijsten, functiegebaseerde machtigingen en logboeken die geprivilegieerde activiteiten tonen.
Back-ups en herstelgereedheid
Back-ups zijn belangrijk omdat verzekeraars verder kijken dan preventie. Ze willen ook weten hoe snel uw bedrijf kan herstellen. Als een ransomware-aanval, accidentele verwijdering of systeemstoring uw bedrijf treft, wil de verzekeraar weten of het kan herstellen zonder losgeld te betalen of kritieke data te verliezen.
Dit betekent meestal dat u back-ups hebt die regelmatig, beschermd tegen ongeoorloofde toegang en getest zijn. Het is niet voldoende om te zeggen dat er back-ups bestaan. U moet klaar zijn om te laten zien waarvan een back-up wordt gemaakt, hoe vaak back-ups worden uitgevoerd, waar ze zijn opgeslagen, wie er toegang toe heeft en wanneer het herstel voor het laatst is getest.
Endpoint- en e-mailbeveiliging
Veel aanvallen beginnen via de inbox of het apparaat van een medewerker, dus verzekeraars vragen vaak naar endpoint- en e-mailbeveiliging. Dit kan anti-malware, endpointdetectie, spamfiltering, phishingbescherming en maatregelen omvatten die verdachte bijlagen, koppelingen of inlogpogingen blokkeren.
Voor e-mail specifiek kunnen verzekeraars ook vragen of uw domein e-mailverificatie (SPF, DKIM en DMARC) gebruikt om te voorkomen dat aanvallers het adres van uw bedrijf spoofen.
Voor kleinere bedrijven kan dit worden afgehandeld door een IT-leverancier of via ingebouwde functies in de tools die ze al gebruiken. Wat telt, is dat u kunt uitleggen welke bescherming actief is, welke apparaten en accounts worden gedekt en hoe meldingen of incidenten worden afgehandeld.
Patchbeheer
Verouderde software geeft aanvallers een gemakkelijkere weg naar bedrijfssystemen. Daarom kunnen verzekeraars vragen hoe snel uw bedrijf beveiligingsupdates toepast op besturingssystemen, browsers, toepassingen, servers en andere kritieke software.
Ze kunnen ook vragen of updates automatisch, handmatig beoordeeld of beheerd door een externe IT-leverancier zijn. Een sterker antwoord legt uit wie eigenaar is van patchbeheer, hoe updates worden gevolgd en hoe het bedrijf met urgente kwetsbaarheden omgaat.
Beveiligingstraining voor medewerkers
Verzekeraars weten dat medewerkers vaak het doelwit zijn van phishing, social engineering, valse facturen, kwaadaardige koppelingen en diefstal van inloggegevens.
Terugkerende beveiligingsbewustzijnstraining helpt die blootstelling te verminderen, en phishingbewustzijnstraining pakt specifiek het aanvalstype aan dat achter de meeste claims met betrekking tot inloggegevens zit. Toch kan de beoordeling meer vragen dan een algemene verklaring dat medewerkers zijn getraind.
Bedrijven moeten mogelijk laten zien hoe vaak training plaatsvindt, wat er wordt behandeld, of nieuwe medewerkers onboarding krijgen en of personeel weet hoe ze verdachte activiteiten moeten melden. Praktische, terugkerende training is nuttiger dan een eenmalige sessie die niemand opnieuw bezoekt.
Incidentresponsplanning
Een geschreven incidentresponsplan laat zien dat uw bedrijf weet wat te doen als er iets misgaat. Verzekeraars kunnen vragen of uw bedrijf een gedocumenteerd proces heeft voor het identificeren, melden, beperken en escaleren van beveiligingsincidenten.
Het plan moet duidelijk maken wie verantwoordelijk is, wie moet worden gecontacteerd, hoe bewijs wordt bewaard en hoe het bedrijf indien nodig communiceert met medewerkers, leveranciers, klanten, juridisch adviseurs of toezichthouders. Zelfs een eenvoudig plan is beter dan vertrouwen op improvisatie tijdens een crisis.
Toegangscontroles voor derden
Leveranciers, contractanten, bureaus, IT-leveranciers en softwarepartners kunnen risico introduceren wanneer ze toegang hebben tot bedrijfssystemen of data. Verzekeraars kunnen vragen of toegang van derden beperkt, beoordeeld en verwijderd wordt wanneer deze niet meer nodig is.
Ze kunnen ook kijken naar MFA op leveranciersaccounts, aparte inloggegevens voor externe gebruikers en een duidelijk proces voor het goedkeuren van toegang. Het bedrijf moet kunnen laten zien wie toegang heeft, waartoe ze toegang hebben, waarom ze het nodig hebben en wanneer die toegang voor het laatst is beoordeeld.
Een praktische checklist voor cyberverzekeringen
Voordat u een cyberverzekeringsaanvraag of -verlenging start, moet uw bedrijf bewijs verzamelen dat de beveiligingsmaatregelen niet alleen gepland zijn, maar al werken. Verzekeraars verwachten niet dat elk kleiner bedrijf documentatie op ondernemingsniveau heeft. Maar ze verwachten wel duidelijke antwoorden, consistente praktijken en bewijs dat het bedrijf kan uitleggen hoe toegang, herstel, training en incidentrespons worden afgehandeld.
Een checklist garandeert geen dekking of lagere premies, maar kan uw beoordeling effectiever maken, heen-en-weer-communicatie verminderen en het bedrijf helpen om het acceptatieproces met sterkere antwoorden in te gaan.
Checklist voor cyberverzekeringsgereedheid
MFA
Bewijs om voor te bereiden: Lijst van systemen waar MFA wordt gehandhaafd, waaronder e-mail, cloud-apps, externe toegang, beheerdersaccounts en eventuele gedocumenteerde uitzonderingen.
Wachtwoordbeheer
Bewijs om voor te bereiden: Beleid voor wachtwoordbeheerders, gebruikersadoptiegegevens, gedeelde kluisstructuur, beheerdersinstellingen en rapporten die zwakke, hergebruikte of blootgestelde wachtwoorden tonen.
Back-ups
Bewijs om voor te bereiden: Back-upschema, opslaglocatie, toegangscontroles, retentiebeleid en de datum van de meest recente hersteltest.
Incidentresponsplan
Bewijs om voor te bereiden: Geschreven responsplan, escalatiecontacten, interne functies, rapportagestappen en een recente tabletop-oefening of planreview.
Trainingsregistraties
Bewijs om voor te bereiden: Datums van beveiligingstrainingen, aanwezigheidsregistraties, onboardingmateriaal, phishingbewustzijnsmateriaal en rapportage-instructies voor medewerkers.
Patchbeheer
Bewijs om voor te bereiden: Patchbeleid, updatelogboeken, lijst van gedekte systemen, eigendomsgegevens en registraties voor urgente kwetsbaarheidsremediatie.
Beoordeling van geprivilegieerde toegang
Bewijs om voor te bereiden: Lijst van beheerdersgebruikers, op rollen gebaseerde machtigingen, registraties van toegangsbeoordelingen, MFA-status voor geprivilegieerde accounts en offboardingdocumentatie.
Waarom bedrijven moeite hebben om in aanmerking te komen
Bedrijven worstelen vaak met cyberverzekeringen omdat de aanvraag lacunes blootlegt die dagelijkse activiteiten kunnen verbergen. Een bedrijf kan MFA hebben op sommige systemen, back-ups hebben, een IT-provider achter de hand en medewerkers die de basis van phishing kennen. Maar verzekeraars letten op consistentie binnen het hele bedrijf: waar controles worden afgedwongen, wie ze bezit, hoe vaak ze worden beoordeeld en welk bewijs elk antwoord ondersteunt.
Dit is vooral moeilijk voor kleinere bedrijven die hun beveiliging geleidelijk hebben opgebouwd, zonder formele documentatie. Toegang kan via verschillende systemen worden verleend, gedeelde inloggegevens staan misschien nog in spreadsheets in plaats van in een veilige teamwachtwoordbeheerder, back-ups zijn misschien recent niet getest en beveiligingstraining vindt misschien informeel plaats.
Geen van deze problemen betekent automatisch dat een bedrijf onverzekerbaar is, maar ze kunnen vertragingen, uitsluitingen, hogere premies of vervolgvragen tijdens de acceptatie veroorzaken.
De sterkste aanvragen zijn meestal niet de aanvragen met de meest complexe beveiligingsprogramma’s. Het zijn de aanvragen die duidelijk kunnen aantonen hoe kerncontroles werken, waar de resterende lacunes zitten en wat het bedrijf doet om ze te dichten.
Hoe mkb-risico’s verzekeringsgesprekken beïnvloeden
Verzekeraars geven om controles omdat kleine en middelgrote bedrijven niet onzichtbaar zijn voor aanvallers. Uit Proton’s SMB Cybersecurity Report blijkt dat een op de vier mkb-bedrijven vorig jaar te maken kreeg met een datalek, ondanks dat ze cybersecuritymaatregelen hadden genomen. Het rapport wijst ook op menselijke fouten, inconsistent beveiligingsbeleid en gebrek aan datacontrole als belangrijkste oorzaken.
Veel bedrijven benaderen hun cyberverzekeringsaanvragen met beveiligingsmaatregelen die al zijn genomen, maar de beoordeling laat vaak zien of die maatregelen consistent, actueel en gemakkelijk te bewijzen zijn. MFA beschermt misschien sommige accounts, maar niet andere. Back-ups worden misschien volgens schema uitgevoerd, maar er is geen recente hersteltest uitgevoerd. Beheerderstoegang is misschien uitgebreid naarmate het bedrijf groeide, zonder een duidelijk overzicht van wie het nog nodig heeft.
Voor een COO of bedrijfseigenaar kan die kritische blik nuttig zijn voordat de polis zelfs maar is afgegeven. Het verandert alledaagse aannames in concreet bewijs: toegangslijsten, back-upregistraties, MFA-dekking, wachtwoordpraktijken, gedocumenteerd beleid en bekende lacunes. In plaats van te vertrouwen op wat mensen denken dat er gebeurt, krijgt het bedrijf een duidelijker beeld van hoe de controles daadwerkelijk werken.
Op deze manier bekeken is de beoordeling niet alleen een obstakel voor dekking. Het kan het bedrijf helpen de zwakke punten te identificeren die er het meest toe doen tijdens een inbreuk, en ze te verhelpen voordat ze moeilijker, duurder of verstorender worden om aan te pakken.
Hoe Proton Pass cyberverzekeringsgereedheid ondersteunt
Cyberverzekeringsbeoordelingen kijken naar het bedrijf als geheel, inclusief back-ups, patching, incidentrespons, medewerkerstraining, netwerkbeveiliging en leveranciersrisico. Een wachtwoordbeheerder kan niet alleen aan elke eis voldoen, maar kan een van de gebieden versterken die verzekeraars nauwlettend onderzoeken: hoe uw bedrijf omgaat met inloggegevensbeheer en toegang.
Een zakelijke wachtwoordbeheerder zoals Proton Pass for Business helpt teams onveilige wachtwoordgewoonten te vervangen door een beter gecontroleerd systeem. Medewerkers kunnen unieke wachtwoorden aanmaken en opslaan in end-to-end versleutelde wachtwoordkluizen, automatisch aanvullen gebruiken om hergebruik te verminderen, passkeys beheren en inloggegevens veilig delen zonder afhankelijk te zijn van e-mail, spreadsheets, chatdiscussiedraden of in de browser opgeslagen wachtwoorden.
Ingebouwde tweestapsverificatie helpt teams ook om wachtwoorden en verificatiecodes in één veilige workflow te houden, in plaats van toegang te verspreiden over verschillende apps en persoonlijke apparaten, wat wrijving veroorzaakt en mensen richting sneltoetsen duwt.
Als wachtwoordbeheerder voor IT-teams voegt Proton Pass de zichtbaarheid en controle toe die nodig zijn om die praktijken gemakkelijker te handhaven. Teams kunnen wachtwoordvereisten configureren, 2FA-beleid handhaven, kluistoegang beheren, op rollen gebaseerde machtigingen toewijzen, gebruikers voorzien van SCIM, single sign-on (SSO) ondersteunen en logboeken gebruiken voor compliance- of incidentresponsbeoordelingen. Deze functies kunnen ondersteuning bieden bij veelvoorkomende acceptatievragen over MFA, wachtwoordbeheer, gedeelde inloggegevens, geprivilegieerde toegang, onboarding, offboarding en toegangsbeoordelingen.
De bredere cyberverzekeringsaanvraag zal nog steeds documentatie vereisen voor de rest van het beveiligingsprogramma. Maar voor het onderdeel inloggegevens van de beoordeling kan Proton Pass uw bedrijf helpen een duidelijker antwoord te geven: wie toegang heeft, hoe inloggegegevens worden beschermd, hoe delen wordt gecontroleerd en welk bewijs beschikbaar is wanneer een acceptant erom vraagt.
Vink elk cyberverzekeringsvakje aan met een zakelijke wachtwoordbeheerder.
