vragenlijst vraagt of wij verzekerd zijn tegen cyberincidenten

Cyberverzekering is geen vervanging voor maatregelen, maar een aparte vraag

Een cyberverzekering staat los van de tien maatregelen uit artikel 21 lid 2 van NIS2 en los van Annex A van ISO/IEC 27001. De vraag of je verzekerd bent tegen cyberincidenten gaat over financiële dekking na een incident, niet over de kwaliteit van je beveiliging vooraf. Sommige klanten vragen dit als losse vraag, andere gebruiken het als indirecte toets: een verzekeraar accepteert doorgaans geen polis zonder dat er minimale basismaatregelen zijn, dus "ja, verzekerd" wordt soms gelezen als impliciet bewijs van een zekere volwassenheid. Dat is een aanname van de vragende partij, niet een norm uit de aangehaalde bronnen.

Heb je een polis, dan is het antwoord met "ja" te onderbouwen zodra je de polis of het verzekeringscertificaat als bewijsstuk hebt. Heb je geen polis, dan is "nee" het feitelijk juiste antwoord — een vervolgvraag over compenserende maatregelen wordt meestal apart gesteld, bijvoorbeeld over de procedure voor het behandelen van beveiligingsincidenten of over back-ups en noodvoorzieningen voor herstel. Twijfel je of de vraag naar de polis zelf gaat of naar de onderliggende dekking (bijvoorbeeld dekking bij ransomware versus bedrijfsonderbreking), lees dan de vraagtekst letterlijk: "verzekerd tegen cyberincidenten" is breder dan "cyberverzekering afgesloten", en het ketendossier moet het antwoord op de gestelde vraag dekken, niet op een verwante vraag.

Geen van de drie bronnen verplicht een cyberverzekering

Noch NIS2 artikel 21 lid 2, noch Annex A van ISO/IEC 27001, noch de Cyberbeveiligingswet noemt een verzekeringsplicht. De tien maatregelen van NIS2 gaan over risicobeheer, incidentafhandeling, bedrijfscontinuïteit en dergelijke — een verzekering komt daar niet in voor. Annex A kent evenmin een beheersmaatregel die specifiek een verzekering vereist. Een klant die naar verzekering vraagt, doet dat dus op eigen initiatief, los van deze regelgeving; het antwoord blijft daarom een feitelijke ja/nee-vraag met een polis als bewijsstuk, niet een compliance-vraag met een wettelijke ondergrens.