Cyberincident: dekking — wat je moet weten

Wat betekent “cyberincident: dekking” in een polis?

Met “cyberincident: dekking” wordt bedoeld welke bescherming een verzekering biedt wanneer er een gebeurtenis plaatsvindt waarbij digitale systemen, data of processen betrokken zijn. In de praktijk draait het om twee kernvragen: (1) valt de gebeurtenis onder de definitie van een cyberincident in de polis, en (2) vallen de gevolgen onder de gedekte schade of kosten die de polis noemt.

Niet ieder digitaal probleem is automatisch een “cyberincident” waarvoor dekking geldt. Vaak wordt onderscheid gemaakt tussen bijvoorbeeld een beveiligingsinbreuk, aantasting van data, verstoring van systemen of daarop gebaseerde aansprakelijkheid. Ook de manier waarop de gevolgen worden omschreven (bijvoorbeeld als schade aan derden of als kosten om schade te herstellen) bepaalt of een claim kan slagen.

Hoe werkt dekking bij een cyberincident meestal in de praktijk?

Een claim begint meestal met het aantonen van drie onderdelen: de gebeurtenis, de schade/het nadeel, en het verband daartussen.

Ten eerste moet duidelijk zijn wat er precies is gebeurd. Bij cyberincidenten is dat niet alleen technisch (wat was de oorzaak, wanneer begon het, wat is aangetast), maar ook juridisch/contractueel: is het volgens de polisomschrijving een verzekerde gebeurtenis?

Ten tweede moet je de gevolgen onderbrengen bij wat de polis dekt. Dat kan gaan om aansprakelijkheid richting derden (bijvoorbeeld als een andere partij schade lijdt) en/of om kosten voor herstel of maatregelen. Welke posten in aanmerking komen, is meestal niet “alles wat je kunt bedenken”, maar wat concreet onder de polisdekking valt.

Ten derde spelen polisvoorwaarden een belangrijke rol. De dekking kan afhangen van tijdige melding, samenwerking met de verzekeraar of een onderzoek naar de oorzaak. Zelfs wanneer een gebeurtenis op zichzelf binnen de definitie lijkt te vallen, kan de polis dekking beperken door voorwaarden die je moet naleven.

Belangrijke afbakening en beperkingen: waar gaat dekking vaak mis?

De belangrijkste reden dat dekking niet (volledig) wordt toegekend, is dat de situatie niet precies aansluit bij de polisvoorwaarden. Denk aan deze aandachtspunten:

Definitie en type gebeurtenis Als de polis een specifieke omschrijving hanteert, moet de feitenbasis daar bij aansluiten. Een incident dat vooral wordt veroorzaakt door een fout van binnenuit of door algemene storingen kan anders kwalificeren dan een beveiligingsinbreuk met aantoonbare impact op data of systemen.
Aansprakelijkheid versus eigen herstel Polissen behandelen “schade aan derden” en “kosten voor herstel” vaak niet op dezelfde manier. Soms is dekking voor kosten alleen mogelijk als die kosten voortvloeien uit een gedekte aansprakelijkheid of uit een verzekerde schadegrondslag.
Uitsluitingen en uitzonderingen Veel polissen bevatten uitsluitingen voor specifieke oorzaken, omstandigheden of schade die buiten de beoogde scope valt. Omdat deze bepalingen per polis verschillen, is het essentieel om niet alleen naar het label “cyber” te kijken, maar naar de exacte tekst van de dekking en uitzonderingen.
Bewijs en causaliteit Bij cyberincidenten is de causaliteit vaak onderwerp van discussie: welke schade is direct gevolg van het incident en welke niet? Ook het aantonen van omvang (welke systemen, welke data, welke impact) bepaalt hoe kansrijk een claim is.

Controlepunten voor jouw polis en claim

Om “cyberincident: dekking” goed te kunnen beoordelen, kun je systematisch checken:

Zoek de polisdefinities: staat er een specifieke omschrijving van cyberincident, beveiligingsinbreuk of datakwestie?
Koppel de gebeurtenis aan de juiste rubriek: gaat het om aansprakelijkheid, om kosten, of om allebei, en onder welke voorwaarden?
Controleer verplichtingen bij een claim: welke stappen moeten worden genomen na ontdekking (zoals melding, informatieverstrekking en samenwerking)?
Bekijk beperkingen/uitsluitingen: welke oorzaken of gevolgen worden uitdrukkelijk uitgesloten of beperkt?
Leg feiten vast: verzamel tijdlijn, technische constateringen en een overzicht van de impact, zodat je het verband met de polisdekking kunt onderbouwen.

Als je binnen je eigen context ook met beroepsfouten of aansprakelijkheid te maken hebt, kan het helpen om daarnaast te kijken hoe “beroepsfouten” en gerelateerde dekking zijn uitgewerkt, omdat cyberimpact vaak via aansprakelijkheid kan lopen.

Voor verdere plaatsing binnen de bredere context van beroeps- of datagerelateerde aansprakelijkheid kun je relevante verdieping zoeken via: beroepsfouten. Ook kan het zinvol zijn om te vergelijken hoe dekking wordt uitgewerkt bij specifieke omstandigheden zoals claims die spelen na beëindiging, of situaties met buitenlandse opdrachtgever en bijbehorende polisvoorwaarden. Gebruik hiervoor de relevante pagina’s die aansluiten op jouw situatie.