Cyberincident: uitsluitingen

Wat betekent “cyberincident: uitsluitingen”

Bij verzekeringen voor cyber- of aansprakelijkheidsrisico’s zijn uitsluitingen bepalingen die aangeven wanneer een verzekeraar (gedeeltelijk) geen dekking verleent. Met andere woorden: zelfs als een gebeurtenis op het eerste gezicht als “cyberincident” kan worden gezien, kan de polis door uitsluitingen toch zeggen dat de schade of kosten niet voor vergoeding in aanmerking komen.

Omdat polisvoorwaarden per product en per aanbieder kunnen verschillen, kun je “cyberincident: uitsluitingen” niet als één vast, universeel lijstje behandelen. Het helpt wel om het begrip systematisch te lezen: een uitsluiting beschrijft meestal een combinatie van (1) het soort gebeurtenis of risico, (2) een specifieke oorzaak, en/of (3) een bepaald type schadegevolg of kostenpost.

Hoe uitsluitingen in de praktijk werken

Uitsluitingen beïnvloeden de dekking door de verzekeringsaanspraak af te bakenen. Vaak zie je dat de polis eerst dekkingsruimte schetst (“wat is verzekerd”) en daarna uitsluitingen noemt (“wat niet verzekerd is”). In claims wordt vervolgens doorgaans beoordeeld of de gebeurtenis onder de algemene dekking valt én of een uitsluiting van toepassing is.

Een belangrijk praktisch punt is de causaliteit: uitsluitingen zijn soms gekoppeld aan de directe oorzaak van de schade. Als er meerdere gebeurtenissen zijn (bijvoorbeeld een IT-storing die leidt tot datalekken, of menselijke fout die een beveiligingslek activeert), kan de lezing van “waardoor” de schade precies is ontstaan bepalend zijn.

Ook kunnen uitsluitingen effect hebben op kosten. Denk aan kosten die wel passen binnen “cyberherstel” maar toch niet vergoed worden omdat ze voortkomen uit een gebeurtenis die buiten de polis valt. Daarom is het niet genoeg om alleen te kijken of het om een “cyberincident” gaat; je moet ook checken welke schadepost precies wordt geclaimd en hoe die schadepost in de polisdefinities wordt afgebakend.

Welke varianten van uitsluitingen je vaak tegenkomt

Hoewel de exacte formulering verschilt, kun je uitsluitingen in de praktijk grofweg herleiden tot een paar terugkerende thema’s. Behandel ze als controlepunten bij het lezen van de polis:

Uitsluitingen op basis van gebeurtenistype Sommige polissen sluiten specifieke categorieën gebeurtenissen uit (bijvoorbeeld bepaalde vormen van systeemverstoring of typen aanvallen). Let daarbij op de polisdefinitie: “aanval” of “incident” kan in voorwaarden een eigen betekenis hebben.
Uitsluitingen op basis van oorzaak of omstandigheden Uitsluitingen kunnen betrekking hebben op omstandigheden die het risico feitelijk sturen, zoals opzet, bewuste roekeloosheid of bepaalde nalatigheid. Soms gaat het ook om situaties die lijken op “interne” oorzaken versus “externe” gebeurtenissen.
Uitsluitingen met betrekking tot gevolgen of schadevorm Soms richt de uitsluiting zich niet primair op het incident zelf, maar op het soort schade (bijvoorbeeld schade die niet direct uit het cyberincident volgt, of bepaalde indirecte schade). Dan kan er wel dekking zijn voor een deel van de claim, maar niet voor alle onderdelen.
Uitsluitingen door voorwaarden die de dekking beïnvloeden Niet elke afwijzing is een “klassieke uitsluiting” in één zinsdeel. In veel polissen wordt dekking ook begrensd door aanvullende voorwaarden: denk aan eisen rond tijdigheid, samenwerking met onderzoek, of de manier waarop je aantoonbaarheid van schade regelt. Als niet aan voorwaarden wordt voldaan, kan dat in de uitkomst hetzelfde effect hebben als uitsluiting.

Omdat je geen bronfragmenten hebt om specifieke polisartikelen te bevestigen, is het verstandig om te werken met een polis-lezersbril: markeer alle passages die expliciet zeggen dat iets niet is verzekerd en kijk vervolgens of ze aansluiten op jouw feitelijke scenario.

Controlepunten voor jouw lezing van “cyberincident: uitsluitingen”

Gebruik de volgende checklist om uitsluitingen zelfstandig te koppelen aan een concreet incident, zonder te gokken.

Stap 1: Definieer het incident zoals de polis dat doet Zoek in de voorwaarden naar definities van “cyberincident”, “datalek”, “schade” en “kosten”. Als jouw situatie niet onder de definitie valt, kan een uitsluiting zelfs nog relevanter zijn.
Stap 2: Maak de claimposten concreet Schrijf per onderdeel op wat je wilt claimen (bijvoorbeeld herstelkosten, IT-onderzoek, aansprakelijkheidscomponenten). Uitsluitingen kunnen per kostenpost anders uitpakken.
Stap 3: Match incident → directe oorzaak Bepaal welke gebeurtenis volgens de feitelijke oorzaakketen het meest direct tot de schade leidde. Uitsluitingen die op oorzaak draaien, zijn vaak het kritischst.
Stap 4: Markeer elke relevante uitsluitingszin Lees elke passage waarin staat dat dekking ontbreekt en vertaal die zin naar jouw situatie: gaat het om type gebeurtenis, om omstandigheden, of om schadegevolg?
Stap 5: Check of voorwaarden het effect versterken Kijk of er aanvullende verplichtingen zijn die invloed hebben op dekking (bijvoorbeeld tijdigheid of medewerking). Als een polis voorwaardelijk is, kan een niet-naleving een afwijzing geven die inhoudelijk op hetzelfde uitkomt als een uitsluiting.

Als je dit systematisch doet, kun je onafhankelijker inschatten waar de polis de dekking begrenst. Dat is vooral belangrijk bij een cyberincident, omdat de discussie vaak niet gaat over “of er schade is”, maar over de afbakening: definities, oorzaak en specifieke schadevormen.