Een ransomware-aanval die drie dagen lang je administratie platgooit. Een datalek waarbij klantgegevens op straat belanden. Een phishingmail die een medewerker ongemerkt opent en je bankrekening leegt. Voor steeds meer MKB-ondernemers is dit geen theoretisch scenario meer, maar bittere realiteit. Toch heeft volgens onderzoek van het Verbond van Verzekeraars eind 2025 nog geen 30 procent van de Nederlandse bedrijven met minder dan 50 medewerkers een cyberverzekering afgesloten.
De drempel is begrijpelijk: cyberverzekeringen ogen complex, de polisvoorwaarden variëren sterk per aanbieder en de premies bewegen mee met een markt die voortdurend in beweging is. Toch is 2026 het jaar om de knoop door te hakken. De NIS2-richtlijn treedt naar verwachting per 1 juli 2026 in werking als Cyberbeveiligingswet in Nederland, en hackers richten hun aanvallen steeds vaker op kleinere bedrijven omdat die doorgaans minder goed beveiligd zijn. Dit artikel legt uit wat een cyberrisicoverzekering dekt, wat het kost en hoe je als MKB-ondernemer de juiste polis kiest.
Waarom het MKB een makkelijk doelwit is
Grote corporates investeren miljoenen in cybersecurity-teams, penetratietests en geavanceerde detectiesoftware. Het gemiddelde MKB-bedrijf heeft die middelen niet. Een mkb-ondernemer met 8 medewerkers runt zijn IT meestal met een combinatie van een extern bureau, cloudoplossingen en gezond verstand. Dat is in veel gevallen voldoende voor dagelijks gebruik, maar het laat kwetsbaarheden open die voor criminelen interessant zijn.
Cybercriminelen gebruiken geautomatiseerde tools die continu het internet scannen op onbeveiligde systemen. Ze zoeken niet per se het grootst mogelijke doelwit, maar het meest toegankelijke. Bedrijven zonder tweefactorauthenticatie, met verouderde software of zwakke wachtwoorden komen bovenaan hun lijstjes. Ransomware-groepen als LockBit en Cl0p hadden in 2024 aantoonbaar meer MKB-slachtoffers dan Fortune 500-bedrijven in hun portefeuille. De aanname dat wij te klein zijn om interessant te zijn klopt simpelweg niet meer.
Wat een cyberrisicoverzekering precies dekt
Een goede cyberverzekering bestaat uit drie lagen: eigen schade, aansprakelijkheid tegenover derden en crisismanagement. Niet elke polis biedt alle drie in gelijke mate, dus het loont om polissen naast elkaar te leggen.
Eigen bedrijfsschade omvat de directe financiële gevolgen van een incident: omzetverlies door stilstand, herstelkosten voor data en systemen, en eventueel losgeld bij ransomware (waarbij niet elke verzekeraar dit vergoedt). Allianz en Hiscox dekken in hun zakelijke cyberpolis beiden herstelkosten voor versleutelde of verwijderde data en vergoeden de kosten van externe IT-forensici die de aanval onderzoeken.
Aansprakelijkheid tegenover derden springt in als jouw datalek ook schade veroorzaakt bij klanten, leveranciers of andere partijen. Denk aan een accountantskantoor dat persoonsgegevens van cliënten lekt, of een webshop waarvan klantbetalingsdata worden gestolen. De juridische claims die hieruit volgen kunnen fors oplopen, zeker nu de AP (Autoriteit Persoonsgegevens) actief handhavend optreedt.
Crisismanagement en PR is vaak het meest onderschatte onderdeel. Na een serieuze cyberaanval heb je binnen uren een team nodig van IT-forensici, juristen, een woordvoerder en soms zelfs een crisispsycholoog voor medewerkers. De kosten voor communicatie met klanten, toezichthouders en media worden gedekt, net als de PR-campagne om reputatieschade te beperken. Hiscox biedt voor MKB-klanten tot 2,5 miljoen euro omzet bovendien meteen een dagelijks voorschot op de vergoeding uit, zodat je cash flow niet meteen in gevaar komt.
Ransomware: de grootste dreiging van 2026
Ransomware blijft de dreiging die MKB-ondernemers het meeste om moeten geven. Criminelen versleutelen bedrijfsdata en eisen losgeld — doorgaans in cryptocurrency — voor de decryptiesleutel. Betaal je niet, dan dreigen ze de data openbaar te maken of aan concurrenten te verkopen. Betaal je wel, dan is er geen garantie dat de sleutel werkt of dat de criminelen de data niet alsnog lekken.
De gemiddelde downtime na een ransomware-aanval bedraagt volgens het NCSC (Nationaal Cyber Security Centrum) drie tot vijf werkdagen voor kleine bedrijven die niet zijn voorbereid. Bij een bakkerij met een geautomatiseerd bestelproces of een logistiek bedrijf met routeplanning-software betekent dat concreet: geen inkomsten en mogelijk onherstelbare reputatieschade bij klanten die overstappen naar een concurrent.
Een cyberverzekering compenseert het omzetverlies tijdens de herstelperiode (de bedrijfsstilstanddekking), vergoedt de kosten van een professioneel recovery-team en kan ook bijdragen aan het losgeld zelf, mits dat contractueel is opgenomen. Let erop dat sommige verzekeraars een losgeldbetaling alleen vergoeden als je eerst overleg hebt gehad met hun crisisteam — eigenmachtig betalen valt dan buiten de dekking.
Datalekken en de meldplicht
Onder de AVG (Algemene Verordening Gegevensbescherming) ben je als ondernemer verplicht een datalek binnen 72 uur te melden bij de Autoriteit Persoonsgegevens, als het lek een risico vormt voor de rechten van betrokkenen. Bij een ernstig lek — waarbij medische gegevens, financiële data of BSN-nummers betrokken zijn — moet je bovendien de getroffen personen individueel informeren. Zie voor de officiële meldprocedure autoriteitpersoonsgegevens.nl.
Die meldprocedure kost tijd en geld: juridisch advies over wat en hoe je meldt, communicatie richting gedupeerden en kosten voor monitoring van identiteitsfraude. Een cyberverzekering dekt al deze kosten, inclusief de eventuele boetes die de AP kan opleggen — hoewel niet alle polissen bestuurlijke boetes meeverzekeren. Controleer dit vooraf specifiek in de polisvoorwaarden.
De schaal van potentiële boetes is niet gering. De AP kan bij ernstige overtredingen boetes opleggen tot 20 miljoen euro of 4 procent van de wereldwijde jaaromzet. Voor een MKB-bedrijf met 3 miljoen euro omzet betekent dat een maximale boete van 120.000 euro — een bedrag dat de meeste polishouders niet zomaar kunnen opvangen uit eigen middelen.
NIS2 en de Cyberbeveiligingswet: wat verandert er in 2026
De Europese NIS2-richtlijn wordt naar verwachting per 1 juli 2026 omgezet in de Nederlandse Cyberbeveiligingswet. De richtlijn verplicht bedrijven in kritieke sectoren — van energie en transport tot gezondheidszorg en digitale infrastructuur — tot aanmerkelijk strengere cyberbeveiligingsmaatregelen. Zie de officiële toelichting op digitaleoverheid.nl.
Voor het bredere MKB geldt NIS2 in principe pas als je meer dan 50 medewerkers hebt of een jaaromzet boven 10 miljoen euro. Maar: ook kleinere bedrijven krijgen er indirect mee te maken. Grote opdrachtgevers die zelf onder NIS2 vallen, zijn straks verplicht hun leveranciersketen te screenen op cyberveiligheid. Als je als toeleverancier geen aantoonbaar beveiligingsbeleid hebt, loop je het risico contracten te verliezen.
De vier verplichtingen onder NIS2 zijn concreet: een zorgplicht (10 technische en organisatorische maatregelen), een meldplicht bij incidenten (melding binnen 24 uur, gedetailleerd rapport binnen 72 uur), een registratieplicht bij de toezichthouder en leveranciersverantwoordelijkheid. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld bij nalatigheid, met boetes tot 10 miljoen euro voor de organisatie. Een cyberverzekering kan dekking bieden voor de juridische kosten van verweer en voor de directe schade, maar vervangt investeren in preventie niet.
Premies per omzetklasse: wat betaal je in 2026
De premie voor een cyberverzekering is geen vaste prijs maar een berekening op basis van meerdere variabelen: omzet, branche, beveiligingsniveau, verzekerd bedrag en claimhistorie. Als richtlijn gelden in 2026 de volgende bandbreedtes:
| Omzetklasse | Premie (indicatief per jaar) | Maximale dekking |
|---|---|---|
| Tot 500.000 euro | Vanaf 576 euro | 250.000 euro per aanspraak |
| 500.000 – 2,5 mln euro | 1.200 – 2.500 euro | 500.000 – 1 mln euro |
| 2,5 – 10 mln euro | 2.500 – 6.000 euro | 1 – 2,5 mln euro |
| Boven 10 mln euro | Maatwerk via assurantiemakelaar | Maatwerk |
Naast omzet weegt de branche zwaar. IT-dienstverleners, advocatenkantoren en zorgaanbieders betalen structureel hogere premies dan bijvoorbeeld een bouwbedrijf of kapper, omdat zij veel meer persoonsdata verwerken of in kritieke ketens opereren. Bedrijven die aantoonbaar investeren in preventie — multifactorauthenticatie, regelmatige backups, medewerkerstraining — krijgen van verzekeraars als Allianz en Hiscox korting op de basispremie. Dat kan oplopen tot 15 tot 20 procent.
Eigen risico varieert bij de meeste polissen tussen 500 en 5.000 euro per incident, afhankelijk van het verzekerd bedrag en de polisvariant. Hogere eigen risico betekent lagere premie, maar pas op: bij een ransomware-aanval kom je dat eigen risico gegarandeerd tegen. Kies het eigen risico op basis van wat je realistisch uit eigen kas kunt betalen in een crisissituatie.
Hoe kies je de juiste polis
De markt voor cyberverzekeringen heeft zich de afgelopen vijf jaar sterk geprofessionaliseerd. Naast Allianz en Hiscox bieden ook AIG, Chubb, AXA XL en een reeks gespecialiseerde aanbieders als Baobab CyberSafe polissen aan die specifiek op het MKB zijn afgestemd. Het loont om met een gespecialiseerde assurantiemakelaar te werken die meerdere polissen naast elkaar kan leggen, in plaats van direct bij één aanbieder te tekenen.
Let bij de vergelijking op vijf kernpunten. Ten eerste: dekt de polis ook social engineering en CEO-fraude, of alleen technische hacks? Ten tweede: is er een 24/7 crisishotline beschikbaar en hoe snel reageert de verzekeraar? Ten derde: zijn er uitsluitingen voor landen of aanvalstypen die relevant zijn voor jouw bedrijf? Ten vierde: wat zijn de eisen die de verzekeraar stelt aan je beveiliging — sommige polissen vereisen dat je een EDR-oplossing hebt draaien. Ten vijfde: hoe worden claims afgehandeld — per incident of per beleidsjaar en is er een sublimiet per categorie schade?
Gebruik de vergelijkingstools op Cyberverzekering & Dataverlies en bekijk ook de bredere context van bedrijfsverzekeringen om te zien welke combinatie van polissen voor jouw situatie logisch is. Het NCSC biedt daarnaast praktische handvatten voor ondernemers die nog geen baseline-beveiligingsniveau hebben bereikt.
Een cyberrisicoverzekering is geen eindpunt maar een vangnet. Investeren in basisbeveiliging — sterke wachtwoorden, gelaagde authenticatie, regelmatige back-ups op een offline locatie en bewustwording bij medewerkers — verlaagt zowel je risico als je premie. De verzekeraar staat klaar als het misgaat, maar de eerste verdedigingslinie bouw je zelf.
Veelgestelde vragen
Valt losgeld bij ransomware altijd onder een cyberverzekering?
Niet automatisch. Of een losgeldbetaling vergoed wordt, hangt af van de specifieke polisvoorwaarden. Sommige verzekeraars — waaronder Allianz in bepaalde polisversies — vergoeden het losgeld alleen als de betaling vooraf is afgestemd met hun crisisteam. Betaal je op eigen initiatief, dan kan de vergoeding worden geweigerd. Lees dit punt altijd na bij het afsluiten van de polis en vraag de verzekeraar expliciet om helderheid over het goedkeuringsproces.
Geldt NIS2 voor mijn MKB-bedrijf met 20 medewerkers?
De Cyberbeveiligingswet (implementatie van NIS2) is per 1 juli 2026 van kracht en richt zich primair op organisaties met 50 of meer medewerkers in kritieke sectoren. Een bedrijf met 20 medewerkers valt er in de meeste gevallen niet direct onder. Indirect echter wel: grote opdrachtgevers die zelf NIS2-plichtig zijn, moeten hun toeleveranciers screenen op cyberveiligheid. Je kunt contractueel worden verplicht om aantoonbare beveiligingsmaatregelen te treffen, ook al val je formeel buiten de richtlijn.
Wat is het verschil tussen een cyberverzekering en een aansprakelijkheidsverzekering?
Een bedrijfsaansprakelijkheidsverzekering (AVB) dekt schade die jij veroorzaakt aan anderen door lichamelijk letsel of zaakschade. Cyberschade — zoals het lekken van klantdata — valt daar normaal gesproken buiten. Een cyberverzekering is specifiek ontworpen voor digitale incidenten: het dekt zowel je eigen schade (systemen, data, bedrijfsstilstand) als je aansprakelijkheid tegenover derden bij een digitaal incident. De twee polissen vullen elkaar aan en vervangen elkaar niet.
Hoe hoog moet het verzekerd bedrag zijn voor een gemiddeld MKB-bedrijf?
Als vuistregel hanteren veel adviseurs een verzekerd bedrag van minimaal drie keer de maandelijkse omzet plus de geschatte herstelkosten van je IT-systemen. Voor een bedrijf met 1 miljoen euro jaaromzet betekent dat een dekking van minstens 250.000 tot 500.000 euro. Houd ook rekening met potentiële AP-boetes en juridische kosten bij een datalek. Laat een specialist een risicoanalyse maken als je twijfelt — de meeste gespecialiseerde makelaars doen dat gratis als onderdeel van het adviestraject.
Wat moet ik regelen voordat een verzekeraar mij accepteert?
Verzekeraars stellen bij de acceptatie steeds hogere eisen aan de basisbeveiliging. In 2026 zijn multifactorauthenticatie (MFA) op zakelijke e-mail en remote access, regelmatige offline back-ups en een gedocumenteerd patch-beleid voor de meeste polissen een harde voorwaarde. Sommige verzekeraars vereisen ook een Endpoint Detection and Response (EDR)-oplossing en een gedocumenteerde incidentresponsplan. Heb je dit nog niet op orde, dan kan de acceptatie worden geweigerd of wordt een hogere premie berekend.
Tekst geoptimaliseerd in mei 2026.
