Cyberincident: voorwaarden – waar moet je op letten in polisvoorwaarden

Wat bedoelen polisvoorwaarden met ‘cyberincident’?

Bij een cyberincident in polisvoorwaarden gaat het meestal om een omschrijving van een gebeurtenis die als ‘verzekerde gebeurtenis’ telt. Het is daarom essentieel dat je begrijpt welke definities en grenzen in jouw polis staan.

In de praktijk letten ondernemers vooral op:

De definitie van ‘cyberincident’: wat wordt precies bedoeld met een storing, aanval, besmetting of ongeoorloofde toegang.
De afbakening naar oorzaak en tijdstip: de gebeurtenis is niet alleen ‘iets dat misgaat’, maar moet passen binnen de voorwaarden zoals omschreven.
Het verband met de schade of kosten: voorwaarden bepalen vaak welke gevolgen als verzekerbaar worden gezien (bijvoorbeeld herstelkosten of aansprakelijkheidsgevolgen).

Omdat polisformuleringen kunnen verschillen, is er geen universele set termen die altijd hetzelfde betekent. Behandel je polis als leidend document en vergelijk definities met je eigen situatie.

Hoe werken cyberincident-voorwaarden in de beoordeling?

De voorwaarden bepalen doorgaans of een claim kansrijk is via een paar logisch opeenvolgende stappen. Denk aan: (1) valt de gebeurtenis onder de omschrijving, (2) valt de gevraagde schade of kosten onder wat is verzekerd, en (3) zijn er uitsluitingen of verplichtingen die de dekking beperken.

Belangrijke onderdelen in de praktijk zijn:

1) Verzekerde gebeurtenis en dekking Eerst moet duidelijk zijn dat het voorval kwalificeert als het type cyberincident dat in de polis wordt erkend. Daarna kijk je of de schade/ kostenpost waar je een beroep op doet ook onder de dekking valt.

2) Uitsluitingen en beperkingen Veel polissen bevatten uitsluitingen die de dekking kunnen stoppen of verkleinen. Dat kan gaan over bepaalde oorzaken (bijvoorbeeld opzet), bepaalde soorten schade, of situaties waarin de verzekerde niet voldeed aan voorwaarden.

3) Voorwaarden bij claimafhandeling Voor cyberincidenten spelen meld- en informatieverplichtingen vaak een grotere rol dan bij sommige andere typen claims. In algemene zin geldt: als de polis eist dat je tijdig en volledig meldt of relevante informatie aanlevert, dan beïnvloedt dat de beoordeling.

Dit betekent niet dat elke vertraging automatisch tot afwijzing leidt; wel dat onvolledigheid of onduidelijkheid het lastiger kan maken om de verzekerde gebeurtenis en omvang van de schade goed te onderbouwen.

Kosten, aannames en variabele factoren: wat kan verschillen per situatie?

Cyberincident-voorwaarden worden vaak concreet in de kosten- en schadeomschrijving, maar de impact in jouw situatie hangt van meerdere variabelen af. Daardoor kun je niet altijd vooraf met zekerheid voorspellen hoe een claim zal uitpakken.

Gebruik daarom bij het lezen van voorwaarden een controlebril voor:

Kostensoorten: welke categorieën worden expliciet genoemd? Denk aan herstel of onderzoek, maar ook aan kosten die samenhangen met bedrijfsvoering.
Aannames: voorwaarden kunnen impliceren dat bepaalde herstel- of onderzoekstrajecten ‘redelijk’ moeten zijn, of dat de omvang aantoonbaar moet worden gemaakt.
Variabele factoren: de oorzaak, het effect op systemen en het type bedrijfsactiviteit kunnen invloed hebben op hoe de schade in de polis wordt ingepast.

Een praktisch aandachtspunt is om onderscheid te maken tussen schade die voortkomt uit het incident en schade die ontstaat door externe factoren. Polisvoorwaarden kunnen dat onderscheid expliciet of impliciet hanteren.

Onzekerheid blijft bestaan zolang je niet exact kunt matchen wat er gebeurde met de definities en grenzen in je polis. Als je daar overlap ziet, is dat een goede eerste stap; als je twijfel hebt over kwalificatie of uitsluitingen, dan bepaalt vooral die lezing de uitkomst.

Controlepunten om zelf te toetsen of jouw cyberincident onder de voorwaarden valt

Je kunt de voorwaarden zelfstandig toetsen met een gestructureerde set vragen. Hieronder staan controlepunten die direct helpen bij de beoordeling van ‘verzekerde gebeurtenis’, ‘verzekerde kosten/schade’ en ‘beperkingen’.

Kwalificeert de gebeurtenis?

Wat is er gebeurd volgens jouw feiten (bijvoorbeeld ongeautoriseerde toegang, datalek, besmetting, verstoring)?
Welke termen gebruikt de polis voor het type cyberincident?

Welke kosten of schade vallen binnen de dekking?

Voor welke posten wil je dekking? Vergelijk dit met de kostencategorieën die de polis noemt.
Is de polis duidelijk over wat wel en niet is inbegrepen?

Zijn er uitsluitingen of voorwaarden die roet in het eten kunnen gooien?

Welke oorzaken of scenario’s zijn uitgesloten of beperkt?
Bevat de polis voorwaarden rond naleving, bijvoorbeeld over medewerking of verplichtingen bij claimafhandeling?

Kun je de informatie onderbouwen?

Verzamel relevante feiten en documenteer de tijdlijn en gevolgen.
Zorg dat je kunt uitleggen hoe de schade samenhangt met de verzekerde gebeurtenis.

Is de polis qua meld- en informatieplicht helder?

Welke stappen verwacht de polis bij een claim?
Welke informatie moet je aanleveren om beoordeling mogelijk te maken?

Als je op meerdere punten duidelijke overeenkomsten ziet met de voorwaarden, is dat een sterke aanwijzing dat het incident binnen de dekking kan passen. Maar zolang je de exacte polisformuleringen niet één-op-één kunt vergelijken, blijft er een mate van onzekerheid.

Doorverwijzen voor verdieping binnen hetzelfde onderwerp

Voor ondernemers die cyberincidenten willen plaatsen binnen aansprakelijkheids- en dekkingskaders, kan het helpen om ook te kijken naar de invulling van beroepsfouten en naar situaties met internationale of vervolgclaims.

Meer over beroepsfouten: /dekking-en-polisvoorwaarden/dekking/beroepsfouten/ via beroepsfouten
Bav bij buitenlandse opdrachtgever: aansprakelijkheid en dekking: /bav-bij-buitenlandse-opdrachtgever-aansprakelijkheid-en-dekking/ via bav bij buitenlandse opdrachtgever: aansprakelijkheid en dekking
Bav bij buitenlandse opdrachtgever: polisvoorwaarden: /bav-bij-buitenlandse-opdrachtgever-polisvoorwaarden/ via bav bij buitenlandse opdrachtgever: polisvoorwaarden
Bav bij claim na beëindiging: aansprakelijkheid en dekking: /bav-bij-claim-na-beeindiging-aansprakelijkheid-en-dekking/ via bav bij claim na beëindiging: aansprakelijkheid en dekking
Bav bij claim na beëindiging: polisvoorwaarden: /bav-bij-claim-na-beeindiging-polisvoorwaarden/ via bav bij claim na beëindiging: polisvoorwaarden
Bav bij datalek door beroepsfout: aansprakelijkheid en dekking: /bav-bij-datalek-door-beroepsfout-aansprakelijkheid-en-dekking/ via bav bij datalek door beroepsfout: aansprakelijkheid en dekking
Bav bij datalek door beroepsfout: polisvoorwaarden: /bav-bij-datalek-door-beroepsfout-polisvoorwaarden/ via bav bij datalek door beroepsfout: polisvoorwaarden