Cyberaanvallen zijn geen ver-van-je-bedshow meer. In 2025 rapporteerde de politie 65 ransomware-incidenten bij Nederlandse organisaties, en de totale gemelde financiële schade steeg naar €11,5 miljoen — tegenover slechts €1,36 miljoen een jaar eerder. De werkelijke schade ligt vermoedelijk een veelvoud hoger, want lang niet iedere getroffen ondernemer doet aangifte. Voor 2026 verwacht beveiligingsonderzoeker QBE dat ransomware-aanvallen met nog eens 40 procent zullen toenemen.
Als je een webshop runt, klantgegevens verwerkt of afhankelijk bent van digitale systemen, ben je kwetsbaar — ook als zzp’er of mkb-er met tien medewerkers. Een cyberverzekering is inmiddels geen nicheproduct meer: het is een serieuze zakelijke basisverzekering voor vrijwel iedere ondernemer die online actief is. In dit artikel lees je precies wat zo’n polis dekt, wat je kunt verwachten qua premie en welke eisen verzekeraars tegenwoordig stellen.
Wat is een cyberverzekering en voor wie is het relevant?
Een cyberverzekering — ook wel cyberrisicoverzekering of cyber liability insurance genoemd — beschermt je bedrijf tegen de financiële gevolgen van digitale incidenten. Denk aan een gehackte website, gestolen klantdata, een besmetting met ransomware die je systemen platgooit of een DDoS-aanval die je webshop urenlang onbereikbaar maakt.
Lang gold de aanname dat alleen grote corporates zo’n polis nodig hadden. Die aanname klopt niet meer. Uit cijfers over 2025 blijkt dat 24 procent van de kleine en middelgrote bedrijven wereldwijd slachtoffer werd van ransomware, met een gemiddeld losgeldbedrag van ruim 87.000 dollar voor bedrijven met minder dan 50 medewerkers. Een zzp’er met een eenmanszaak die klantafspraken, facturen of medische dossiers beheert, loopt even goed risico als een middelgroot softwarebedrijf.
Relevant voor een cyberverzekering ben je zodra je:
- klantgegevens verwerkt (namen, e-mailadressen, betalingsgegevens, medische info);
- een webshop of online dienst exploiteert;
- afhankelijk bent van een eigen systeem of website voor je omzet;
- zakelijke e-mail gebruikt voor offertes, contracten en betalingsopdrachten;
- data opslaat in een cloudomgeving of op bedrijfsapparaten.
Wat dekt een cyberverzekering in 2026?
De dekking verschilt per verzekeraar, maar een goede cyberpolis van 2026 omvat doorgaans zes kerngebieden. Hieronder lees je wat elk onderdeel inhoudt.
1. Ransomware en herstel van systemen en data
Bij een ransomware-aanval versleutelen criminelen je bestanden en eisen losgeld. De verzekeraar vergoedt de kosten van IT-forensisch onderzoek, het terugzetten van back-ups, het inhuren van specialisten en — in bepaalde polissen, binnen grenzen — een deel van het losgeld zelf. De gemiddelde hersteltijd na een ransomware-aanval lag in 2025 op 16 dagen mét een goed herstelplan; zonder voorbereiding kan het weken zijn. Verzekeraars vergoeden ook de kosten van ingehuurde noodrespons-specialisten.
2. Datalek en AVG-kosten
Als persoonsgegevens van klanten of medewerkers op straat komen te liggen, ben je als ondernemer verplicht dit te melden bij de Autoriteit Persoonsgegevens (AP). De AP kan bij nalatigheid een boete opleggen die kan oplopen tot 4 procent van de wereldwijde jaaromzet of 20 miljoen euro — afhankelijk van wat hoger uitvalt. Een cyberverzekering vergoedt de kosten van juridische advisering, de melding zelf, het informeren van de getroffen personen en juridische bijstand als er klachten of claims volgen. Sommige polissen dekken ook de administratieve AVG-boetes, maar let op: niet alle polissen doen dit, en de ruimte hiervoor verschilt per aanbieder.
3. Bedrijfsschade en omzetverlies door uitval
Als je systemen platliggen door een cyberaanval, draai je geen omzet. Veel cyberverzekeringen vergoeden het gederfde bedrijfsresultaat over de periode dat je systemen niet normaal functioneren, inclusief de vaste lasten die gewoon doorlopen. Dit wordt ook wel cyber-bedrijfsonderbrekingsdekking (BI-dekking) genoemd. Controleer altijd de wachttermijn: sommige polissen vergoeden pas na 8 of 24 uur uitval.
4. Aansprakelijkheid jegens derden
Als klantgegevens lekken via jouw systemen, kunnen gedupeerde klanten of zakenpartners je aansprakelijk stellen. De cyberverzekering dekt de verdedigingskosten en eventuele schadevergoedingen. Dit is met name relevant voor ondernemers die voor anderen software bouwen, data verwerken of IT-diensten leveren: via een zakelijke aansprakelijkheidsverzekering is cyberaansprakelijkheid doorgaans niet gedekt.
5. Crisisbeheer en reputatieschade
Na een serieus datalek is communicatie cruciaal. Een cyberverzekering vergoedt vaak ook de kosten van een PR-bureau of crisiscommunicatieadviseur die je helpt de schade aan je reputatie te beperken. Klanten die weten dat je transparant en snel reageert, zijn loyaler dan klanten die het nieuws via de media vernemen.
6. Cyberafpersing en social engineering-fraude
Hackers dreigen steeds vaker niet alleen met het vergrendelen van systemen, maar ook met het publiceren van gestolen data tenzij losgeld wordt betaald — de zogenoemde ‘double extortion’. Sommige polissen dekken ook verliezen door social engineering-fraude, waarbij een medewerker door een neppe CEO-mail wordt misleid om een betaling te doen. Controleer de polisvoorwaarden goed: niet alle aanbieders dekken dit standaard.
NIS2 en de Cyberbeveiligingswet: nieuwe context voor 2026
Per 1 juli 2026 treedt in Nederland de Cyberbeveiligingswet (Cbw) in werking, de Nederlandse implementatie van de Europese NIS2-richtlijn. Deze wet verplicht bedrijven in 18 aangewezen kritieke sectoren — zoals energie, transport, gezondheidszorg, financiën en digitale infrastructuur — om actief cyberrisico’s te beheersen, incidenten te melden en bestuurders persoonlijk aansprakelijk te stellen voor nalevingsfouten.
De vuistregel: val je in een van die sectoren én heb je 50 of meer medewerkers of een jaaromzet boven de 10 miljoen euro, dan valt jouw organisatie hoogstwaarschijnlijk onder de Cbw. Maar ook buiten die grenzen heeft NIS2 effect: opdrachtgevers in de verplichte sectoren zullen toenemend eisen dat leveranciers en ketenpartners aantoonbaar cyberveilig werken — wat indirect ook kleine bedrijven en zzp’ers raakt.
Een cyberverzekering is geen vervanging voor NIS2-compliance, maar een aanvulling: de wetgeving dwingt je tot maatregelen, de verzekering vangt de schade op als het ondanks die maatregelen toch misgaat. Meer informatie over de wettelijke verplichtingen vind je op de website van het Nationaal Cyber Security Centrum (NCSC).
Wat zijn de acceptatie-eisen van verzekeraars?
Een cyberverzekering sluit je niet meer zomaar af. Verzekeraars willen weten hoe goed je digitale beveiliging is, en stellen tegenwoordig concrete minimumvereisten. Voldoe je er niet aan, dan krijg je geen dekking — of alleen tegen een veel hogere premie met beperkingen.
De meest voorkomende eisen in 2026:
- Multifactorauthenticatie (MFA): verplicht voor alle externe toegang (e-mail, VPN, clouddiensten, financiële systemen). Dit is inmiddels een harde eis bij vrijwel iedere verzekeraar.
- Recente en geteste back-ups: je moet aantoonbaar back-ups hebben die losstaan van je primaire systemen, én periodiek testen of die back-ups ook echt herstelbaar zijn.
- Patchbeleid: beveiligingsupdates moeten binnen 20 dagen na publicatie worden uitgerold. Systemen met bekende niet-gepatchte kwetsbaarheden worden geweerd of leiden tot een dekkingsbeperking.
- Incidentresponsplan: een gedocumenteerde procedure voor wat te doen bij een cyberincident — ook voor zzp’ers in vereenvoudigde vorm.
- Bewustzijnstraining: aantoonbaar dat medewerkers worden getraind in het herkennen van phishing en social engineering.
Hoe beter je beveiliging, hoe lager je premie. Verzekeraars beoordelen dit steeds vaker via een digitale risicovragenlijst of een externe cyberscan.
Premie-indicatie: wat betaal je voor een cyberverzekering?
Premies variëren sterk op basis van omzet, branche, aantal medewerkers, verwerkte datavolumes en de kwaliteit van je beveiliging. Een grove indicatie voor 2026:
| Profiel | Verzekerd bedrag | Premie per jaar (incl. assurantiebelasting) |
|---|---|---|
| Zzp’er / freelancer | € 100.000 – € 250.000 | ± € 120 – € 360 per jaar |
| Mkb (2–10 fte) | € 250.000 – € 500.000 | ± € 835 – € 1.330 per jaar |
| Mkb (10–50 fte) | € 500.000 – € 1.000.000 | ± € 2.000 – € 5.000 per jaar |
Houd er rekening mee dat de premies de laatste drie jaar aanzienlijk zijn gestegen door de toename van cyberincidenten en de hogere schadelasten voor verzekeraars. Een eigen risico van €2.500 tot €10.000 is gebruikelijk. Vergelijk aanbieders als Hiscox, Allianz, NN, Maia en AIG om te zien welk pakket bij jouw risicoprofiel past. Voor zzp’ers biedt ZZP Nederland een samenwerking met Hiscox aan via hun CyberClear-product. Kijk ook naar de afstemming met je bestaande bedrijfsverzekeringen om overlappende dekking te voorkomen.
Wat is NIET gedekt?
Net zo belangrijk als de dekking is te weten wat een cyberverzekering níet dekt. Veelvoorkomende uitsluitingen:
- Opzet en bewuste nalatigheid: schade die is veroorzaakt door bewust wangedrag van de verzekerde zelf, of door een medewerker die handelde met toestemming van de directie.
- Schade door bekende kwetsbaarheden die niet zijn gepatcht: als een beveiligingslek al weken bekend was en je hebt de update niet uitgerold, kan de verzekeraar dekking weigeren.
- Fysieke schade: brand door een kortsluiting in een server is schade aan bedrijfsinventaris, geen cyberincident. Daarvoor heb je een bedrijfspand- en inventarisverzekering.
- Contractuele boetes: boetes opgelegd door klanten op basis van contractuele afspraken vallen doorgaans buiten de dekking.
- Oorlogsrisico en staatshackers: schade door cyberoorlogvoering of aanvallen door statelijke actoren is in de meeste polissen expliciet uitgesloten. Dit is een grijs gebied dat rechtbanken en verzekeraars de afgelopen jaren hebben beziggehouden.
- Eerdere incidenten: een incident dat al plaatsvond vóór de ingangsdatum van de polis, is nooit gedekt.
Lees polisvoorwaarden altijd goed door, zeker op de uitsluitingen rondom nalatigheid en oorlogsrisico. Schakel bij twijfel een onafhankelijk verzekeringsadviseur of -makelaar in die de kleine lettertjes met je doorneemt.
De dreiging groeit elk jaar, de premies zijn voor de meeste kleine ondernemers beheersbaar en de financiële gevolgen van een serieuze cyberaanval kunnen desastreus zijn. Een cyberverzekering is in 2026 voor elke ondernemer die online actief is een serieuze overweging — niet als vervanging van goede beveiligingsmaatregelen, maar als vangnet wanneer het ondanks alles toch misgaat.
Veelgestelde vragen
Is een cyberverzekering ook zinvol voor zzp’ers zonder medewerkers?
Ja, zeker als je klantgegevens verwerkt, een webshop runt of afhankelijk bent van je laptop of systemen voor je werk. Een zzp’er met een boekhoudprogramma, klantendossiers of een website is net zo kwetsbaar als een groter bedrijf. Specifieke zzp-polissen van aanbieders als Hiscox (via ZZP Nederland) starten al vanaf circa 10 euro per maand en bieden dekking voor datalekken, systeemherstel en aansprakelijkheid jegens klanten.
Dekt een cyberverzekering ook AVG-boetes?
Dat verschilt per polis. Sommige verzekeraars dekken de kosten voor AVG-compliance na een datalek, zoals juridische bijstand en meldingskosten aan de Autoriteit Persoonsgegevens. Maar de boete zelf — die kan oplopen tot 4 procent van de wereldwijde omzet — wordt lang niet altijd vergoed. Controleer de polisvoorwaarden goed of vraag expliciet naar de dekking van administratieve boetes opgelegd door de AP.
Wat is het verschil tussen een cyberverzekering en een beroepsaansprakelijkheidsverzekering?
Een beroepsaansprakelijkheidsverzekering (BAV) dekt claims van klanten als je een beroepsfout maakt, zoals onjuist advies of een ontwerp met gebreken. Een cyberverzekering dekt specifiek de schade door digitale incidenten: hacks, datalekken, ransomware en systeemuitval. Veel ICT-dienstverleners en consultants hebben beide polissen nodig, want een cyberincident dat klantschade veroorzaakt valt buiten de meeste standaard BAV’s.
Moet ik voldoen aan NIS2 om een cyberverzekering te kunnen afsluiten?
Nee, NIS2-compliance is geen formele voorwaarde voor een cyberverzekering, maar de maatregelen die verzekeraars eisen (MFA, back-ups, patchbeleid) overlappen sterk met de NIS2-verplichtingen. In de praktijk geldt: wie goed aan de slag gaat met NIS2-basismaatregelen, voldoet ook aan de acceptatiecriteria van de meeste cyberverzekeraars. De Cyberbeveiligingswet treedt in Nederland in werking per 1 juli 2026 voor bedrijven in kritieke sectoren met 50+ medewerkers of €10M+ omzet.
Hoe hoog is een gebruikelijk eigen risico bij een cyberverzekering?
Voor zzp’ers en kleine mkb-bedrijven liggen eigen risico’s doorgaans tussen de €2.500 en €5.000 per incident. Bij grotere verzekerde bedragen en hogere polislimieten kan het eigen risico oplopen tot €10.000 of meer. Een hoger eigen risico leidt tot een lagere premie; kies een bedrag dat je als bedrijf zelf kunt dragen zonder acuut liquiditeitsrisico.
Worden ook de kosten van forensisch onderzoek vergoed?
Ja, IT-forensisch onderzoek is bij vrijwel alle cyberverzekeringen standaard gedekt. Na een incident moet worden vastgesteld hoe de aanval heeft plaatsgevonden, welke data zijn geraakt en of de aanvaller nog actief is in je systemen. Die kosten kunnen oplopen tot tienduizenden euro’s; een goede polis dekt dit volledig of tot een overeengekomen sublimiet.
Tekst geoptimaliseerd in mei 2026.
