onze verzekeraar wil een cyberveiligheidsvragenlijst invullen voor de polis

Cyberpolisvragenlijst dekt vaak dezelfde tien punten

De vragenlijst van een verzekeraar overlapt grotendeels met de tien maatregelen uit artikel 21 lid 2 van NIS2: risicoanalyse, incidentafhandeling, continuïteit, keten, kwetsbaarhedenbeheer, toetsing, bewustwording, cryptografie, toegangsbeleid en MFA. Verzekeraars vragen dit niet omdat de onderneming onder NIS2 valt — dat is vaak niet zo — maar omdat deze tien punten inmiddels de gangbare maatstaf zijn voor cyberrisico. Herkenning van die structuur maakt het invullen sneller: elke vraag is terug te voeren op een van de tien, ook als de verzekeraar eigen bewoordingen gebruikt.

Voor bewijsstukken geldt: een vraag over toegangsbeheer wil meestal een antwoord over het toegangsbeleid en het beheer van bedrijfsmiddelen, los van de vraag of er ook meerfactorauthenticatie is ingericht — verzekeraars vragen die twee vaak los van elkaar uit, ook als het antwoord in de praktijk samenhangt. Ontbreekt een stuk, dan is "nee, nog niet" een geldig antwoord op de lijst; verzekeraars wegen dat mee in de premie, niet in de acceptatie op zichzelf. Een ISO 27001-certificaat versnelt het invullen aanzienlijk, omdat de Annex A-maatregelen grotendeels met deze tien punten overlappen — wie gecertificeerd is, kan per vraag naar het bijbehorende controlenummer verwijzen in plaats van een nieuwe toelichting te schrijven.

Herkomst van de tien maatregelen en de overlap met ISO 27001

De tien maatregelen staan opgesomd in artikel 21 lid 2 van Richtlijn (EU) 2022/2555; de Nederlandse Cyberbeveiligingswet zet die richtlijn om en treedt naar verwachting op 15 augustus 2026 in werking, maar de maatregelen zelf worden door verzekeraars al vóór die datum als referentiekader gebruikt. ISO/IEC 27001 Annex A werkt dezelfde onderwerpen verder uit in concrete beheersmaatregelen, wat verklaart waarom een certificaat vaak meteen meerdere vragen op de lijst beantwoordt.