Kort gezegd: Bij een schadegeval telt bij de cyberverzekering vooral drieërlei: de verzekeraar vroeg informeren, bewijs veiligstellen in plaats van overhaast opnieuw op te zetten en belangrijke stappen vooraf afstemmen. Wat precies geldt, staat in uw verzekeringsvoorwaarden. Deze pagina geeft algemene aanwijzingen, is geen juridisch advies en vervangt niet de afstemming met verzekeraar, makelaar of advocaat.
Geen juridisch of verzekeringsadvies: bepalend zijn uitsluitend uw contract en de informatie van uw verzekeraar. Lees de voorwaarden het best nu, niet pas in het noodgeval.
Waarom het schadegeval bij cyberrisico's bijzonder is
Bij een waterschade is duidelijk wat er is gebeurd. Bij een aanval op een webserver ligt dat anders: aan het begin staat vaak slechts een vermoeden, bijvoorbeeld een vreemd bestand, een ongebruikelijk proces of een waarschuwing van de hostingprovider. Of er daadwerkelijk schade is ontstaan, blijkt pas bij het onderzoek.
PHP2Shell is een goed voorbeeld. De twee kwetsbaarheden CVE-2026-109618 en CVE-2026-109619 maken codeuitvoering zonder inloggen mogelijk. Wie pas dagen na 21-10-2026 heeft gepatcht, kan niet met zekerheid uitsluiten dat er eerder iets is gebeurd. Een patch verwijdert geen reeds ingebrachte schadelijke software en bewijst niet dat er niets is gebeurd. De vraag of en wanneer er sprake is van een verzekeringsgeval is daarom vaak niet eenduidig.
Cyberverzekering bij een schadegeval: de gebruikelijke verplichtingen
Verplichtingen zijn plichten van de verzekeringnemer waarvan schending de uitkering in gevaar kan brengen. Veel polissen bevatten vergelijkbare punten, maar in de details verschillen ze aanzienlijk:
- Aangifte: de verzekeraar onverwijld informeren zodra een verzekeringsgeval zich heeft voorgedaan of dreigt.
- Schadebeperking: redelijke maatregelen nemen om de schade gering te houden, bijvoorbeeld getroffen systemen van het net halen.
- Afstemming: essentiële stappen, opdrachten en betalingen vooraf met de verzekeraar regelen.
- Inlichtingen en bewijsstukken: informatie geven en stukken verstrekken die nodig zijn om de schade vast te stellen.
- Bewijsveiligstelling: sporen niet onnodig vernietigen, zodat oorzaak en omvang vast te stellen blijven.
Sommige contracten bevatten bovendien eisen aan de beveiliging vóór de schade, zoals regelmatige updates, back-ups of multifactorauthenticatie. Ook de opgaven in de risicovragenlijst bij het sluiten van het contract kunnen een rol spelen.
Het eerste telefoontje met de verzekeraar
Veel cyberverzekeringen bieden een noodhulplijn. Houd uw polisnummer en een korte beschrijving van de situatie bij de hand. Zoek bij het eerste contact deze vragen uit en noteer de antwoorden met datum, tijdstip en naam van de gesprekspartner:
- Moet het geval officieel worden aangemeld, en in welke vorm?
- Stelt de verzekeraar eigen dienstverleners beschikbaar voor forensisch onderzoek en herstel, of mogen wij eigen dienstverleners inschakelen?
- Welke kosten zijn vooraf goedgekeurd, welke vereisen toestemming?
- Welke stukken zijn nodig?
- Zijn er voorschriften voor communicatie naar buiten of voor het inschakelen van advocaten?
Bewijs veiligstellen voordat u opnieuw opzet
De begrijpelijke reflex na een aanval is de server meteen opnieuw op te zetten. Voor verzekering, gegevensbescherming en een mogelijke aangifte is dat vaak ongunstig, omdat sporen daarmee verdwijnen. Beter is: getroffen systemen isoleren, logs en geheugenkopieën veiligstellen, bestandslijsten met tijdstempels maken en pas daarna opschonen of opnieuw opbouwen.
Bij PHP2Shell adviseert de vakpers serverlogs vanaf 20-10-2026 te bewaren. Gepubliceerde, bevestigde Indicators of Compromise zijn er tot nu toe niet; de detectie berust op gedragsanalyse. Des te belangrijker is dat de ruwe gegevens behouden blijven. Een deskundige veiligstelling verzorgt IT-forensisch onderzoek.
Samenspel met gegevensbescherming en aangifte
Een verzekeringsgeval staat zelden alleen. Kunnen persoonsgegevens getroffen zijn, dan geldt de meldplicht volgens art. 33 AVG, zo mogelijk binnen 72 uur na kennisname. Meer daarover onder Meldplicht AVG. Veel verzekeraars ondersteunen daarbij met bemiddelde advocaten.
Ook een aangifte bij de politie kan zinvol zijn of door de verzekeraar worden gewenst. De Zentrale Ansprechstellen Cybercrime (de centrale contactpunten voor cybercriminaliteit) van de Landeskriminalämter (de Duitse deelstaatrecherchediensten) zijn daarvoor het juiste adres, zie Aangifte doen. Stem de volgorde af met de verzekeraar.
Voorzorg: contract en noodplan op elkaar afstemmen
Neem de actuele situatie als aanleiding om uw contract te lezen en de verplichtingen over te nemen in uw noodplan. Noteer het nummer van de noodhulplijn en het polisnummer op een plek die ook zonder werkende IT bereikbaar is. Controleer of uw opgaven over het beveiligingsniveau nog kloppen. Een gestructureerd IT-noodplan helpt daarbij.
Nuttig is bovendien een kort gesprek met makelaar of verzekeraar buiten een schadegeval. Vraag hoe de verzekeraar omgaat met preventieve maatregelen zoals het offline halen van een website, welk bewijs hij verwacht over updates en of er aanbevelingen zijn voor het bewaren van logs. De antwoorden horen schriftelijk in het noodplan.
Hoe helpt PHP SOS concreet?
- Wij leggen logs en systeemtoestanden traceerbaar vast voordat wordt opgeschoond en documenteren elke maatregel met tijdstip.
- Wij stellen een technisch rapport op over oorzaak, omvang en genomen maatregelen dat u aan de verzekeraar kunt voorleggen.
- Wij stemmen op uw verzoek af met de dienstverleners van de verzekeraar.
- Via Incident Response begeleiden we het incident tot het gedocumenteerde herstel.
Veelgestelde vragen
Wanneer moet ik de cyberverzekering informeren?
Dat regelt uw contract. Veel voorwaarden vereisen onverwijlde aangifte zodra een verzekeringsgeval zich heeft voorgedaan of ernstig dreigt. Meld in geval van twijfel vroeg, ook als de omvang nog onduidelijk is.
Mag ik zelf een IT-dienstverlener inschakelen?
Sommige polissen voorzien in een noodhulplijn en eigen dienstverleners van de verzekeraar, of vereisen afstemming voordat derden worden ingeschakeld. Zoek dat uit bij het eerste telefoontje, zodat de kosten later niet omstreden raken. Leg het antwoord schriftelijk vast.
Betaalt de verzekering als een update ontbrak?
Dat hangt af van de voorwaarden, de opgaven bij het sluiten van het contract en het individuele geval. Sommige contracten bevatten eisen aan de stand van de techniek of aan updates. Laat deze vraag beoordelen door uw verzekeringsmakelaar of een advocaat.
Is alleen patchen al een verzekeringsgeval?
Een preventieve update is in de regel nog geen schade. Zijn er echter aanwijzingen voor een inbraak, dan kan dat veranderen. Vraag uw verzekeraar vanaf wanneer die geïnformeerd wil worden.