Cyberincident: verzekerde som

Wat betekent “verzekerde som” bij een cyberincident?

Met “verzekerde som” bedoelen verzekeraars doorgaans het bedrag dat als maximum geldt voor de dekking binnen (een onderdeel van) de polis bij een cyberincident. Dit is dus geen verwachting van wat je krijgt, maar een bovengrens: zodra die grens is bereikt, is er in de regel geen dekking meer voor extra kosten of schade binnen hetzelfde dekkingskader.

In de praktijk is het belangrijk om de verzekerde som niet los te zien van drie poliscomponenten: de definitie van een cyberincident, wat er precies als gedekt verlies of gedekte kosten wordt aangemerkt, en de regels over hoe limieten worden toegepast. Als deze punten in de polis anders zijn geformuleerd dan je intuïtief verwacht, kan de uitkomst sterk verschillen.

Hoe werkt de verzekerde som bij een claim door cyberincident?

Een claim door cyberincident bestaat vaak uit verschillende kostensoorten, zoals kosten om schade te beperken, kosten om systemen weer werkend te krijgen, en bedragen die verband houden met aansprakelijkheid richting derden (als de polis daarvoor dekking biedt). Bij het bepalen van de uitkering wordt vervolgens gekeken of die kosten onder de dekking vallen en hoe de polis rekent met limieten.

De verzekerde som kan bijvoorbeeld werken als een totale maximale uitkering per verzekeringsperiode, of als een maximum per gebeurtenis/incident, afhankelijk van hoe de polis het in de voorwaarden uitwerkt. Ook kan de polis meerdere limieten kennen naast elkaar (bijvoorbeeld per onderdeel of per type kosten). Dan geldt vaak dat een claim of reeks claims binnen de toepasselijke limiet moet blijven.

Daarnaast kunnen bij cyberincidenten vaak de volgende begrenzingen een rol spelen:

Eigen risico of andere franchise-afspraken: wat eerst voor eigen rekening blijft.
Afzonderlijke sublimieten: maxima voor specifieke kostencategorieën.
Uitsluitingen: bepaalde oorzaken of schadevormen vallen (mogelijk) niet onder de dekking.
Beperkingen rond tijd en gebeurtenis: welke datum of periode geldt voor het incident en de kostenposten.

Omdat de uitwerking polisafhankelijk is, is het verstandig om de tekst over de verzekerde som en de toepasselijke limieten heel precies te lezen, en die te koppelen aan de definitie van cyberincident in jouw polis.

Afbakening: wanneer verandert de uitkomst rond de verzekerde som?

De grootste variatie ontstaat meestal door interpretatie- en toepassingspunten in de polis. Zonder de exacte polisvoorwaarden is niet betrouwbaar te zeggen welke variant voor jouw situatie geldt, maar in de regel gaat het om deze controlepunten:

Welke gebeurtenis telt als “cyberincident”? Als een polis een strikte definitie hanteert (bijvoorbeeld gericht op ongeautoriseerde toegang, verstoring of kwaadaardige handelingen), dan bepaalt dat of een situatie onder de dekking valt. Wanneer het incident niet binnen de definitie valt, is de verzekerde som relevant maar niet “actief”.
Telt meer dan één claim mee binnen dezelfde limiet? Bij meerdere meldingen of schade-evolutie kan een polis bepalen dat het om één gebeurtenis gaat (met één maximum), of juist om meerdere afzonderlijke gebeurtenissen (met mogelijk meerdere maxima). Dat beïnvloedt direct hoeveel er overblijft.
Welke kosten worden meegeteld en welke niet? Zelfs als het incident gedekt is, kunnen kosten worden uitgezonderd of alleen onder voorwaarden worden vergoed. Denk aan kosten die niet aantoonbaar verband houden met het incident of die buiten een bepaalde route/handeling vallen.
Zijn er uitsluitingen of voorwaarden voor dekking? Cyberpolissen kunnen voorwaarden bevatten zoals meldtermijnen, maatregelen tegen beveiligingsincidenten of vereisten omtrent cyberhygiëne. Als niet aan zulke voorwaarden is voldaan, kan de dekking (deels) vervallen of worden beperkt, waardoor de verzekerde som in de praktijk niet volledig beschikbaar is.

Kortom: de verzekerde som is een maximum, maar de “ruimte” onder dat maximum wordt bepaald door definities, uitsluitingen, eigen risico en de manier waarop de polis limieten toepast.

Waar kun je op controleren in je polis (zonder te gokken)?

Gebruik een vaste checklist om cyberincident: verzekerde som scherp te plaatsen:

Zoek in de voorwaarden de exacte limietbepaling: staat de verzekerde som voor een periode, per incident, of per onderdeel?
Lees de definitie van cyberincident en gedekte gebeurtenissen: welke feiten moeten aanwezig zijn om onder de definitie te vallen?
Koppel kostensoorten aan de dekking: worden kosten vergoed “binnen” de verzekerde som en zijn er sublimieten per kostencategorie?
Check eigen risico en eventuele franchises: wat gaat er af vóórdat de verzekerde som wordt aangesproken?
Bekijk de omgang met meerdere claims/momenten: wanneer wordt het als één incident beschouwd en wanneer niet?
Controleer uitsluitingen en voorwaarden: welke situaties, oorzaken of meld-/handelingsvereisten kunnen de uitkomst veranderen?

Als je deze punten naast elkaar legt, kun je zelfstandig inschatten waar het maximum in jouw polis ligt en waarom de feitelijke uitkering lager kan uitvallen dan het bedrag dat je ziet als verzekerde som.

Je blijft daarbij wel afhankelijk van de exacte polisformulering. Omdat verzekeraars voorwaarden en definities kunnen wijzigen of verschillend formuleren, is het belangrijk om uit te gaan van de tekst van jouw eigen polis en niet van algemene verwachtingen.