'Cyberverzekeringen' worden normaal

Bescherming tegen AVG-boetes en losgeld

De opkomst van cyberverzekeringen

Bedrijven verzekeren zich tegen brand, diefstal, aansprakelijkheid en veel meer. Het wordt ook steeds normaler om een verzekering af te sluiten tegen digitale schade. Er is in het afgelopen jaar een explosie ontstaan van 'cyberverzekeringen'. Die dekken niet alleen datadiefstal en -verlies, maar soms ook de losgeldkosten bij ransomware en zelfs AVG-boetes. Althans, dat is de bedoeling.

Weinig bedrijven zijn ooit zo hard getroffen door ransomware als Norsk Hydro. De Noorse aluminiumproducent werd in maart dit jaar getroffen door LockerGoga, agressieve en geavanceerde ransomware die ook in Nederland toesloeg. LockerGoga is berucht omdat het wekenlang verborgen kan blijven in de systemen van vooral industriële bedrijven. Daar wacht de malware op het juiste moment om toe te slaan, om vervolgens miljoenen euro's aan losgeld te vragen. Al tientallen bedrijven werden slachtoffer van LockerGoga. Norsk Hydro besloot de ransomware niet te betalen. Of dat de juiste keus was, is de vraag. Financieel gezien was het een flinke slag die Norsk Hydro naar schatting 53 miljoen euro heeft gekost, en dat is waarschijnlijk een conservatieve schatting. Het duurde maanden voordat het bedrijf weer volledig operationeel was en alle duizenden computers weer werkten, maanden waarin het bedrijf niet op volle kracht kon draaien. Het bedrijf was weliswaar voor die schade verzekerd, maar moest een flinke deceptie verwerken toen bleek dat de verzekeraar slechts een fractie van de schade wilde vergoeden.

Eerder dit jaar werden verschillende Amerikaanse steden getroffen door gijzelsoftware waarbij de computersystemen onbruikbaar werden gemaakt. Het losgeld kwam meestal neer op miljoenen euro's. Dat werd in diverse gevallen betaald, maar niet door de gemeenten zelf. De steden wendden zich tot hun verzekeraars en lieten hen voor een groot deel opdraaien voor de kosten. Dat wordt steeds normaler. Niet alleen de schade en zelfs het losgeld bij ransomware, maar ook schade door datadiefstal, en de kosten van het vervangen van computers en het terugzetten van back-ups zijn nu bij de meeste Nederlandse verzekeraars net zo gemakkelijk te verzekeren als brandschade. Er zit wel verschil tussen de polissen en of bedrijven ook echt alle schade vergoed krijgen, is de vraag.

Wat is er te verzekeren?

Vier cyberverzekeringen heten simpelweg 'Cyberverzekering'Inmiddels hebben vrijwel alle grote Nederlandse verzekeraars een zogeheten cyberverzekering. Dat is doorgaans ook enigszins inspiratieloos de naam van de polis. Bij Allianz, Centraal Beheer, Nationale-Nederlanden en Achmea-tak Avéro heet de cyberverzekering simpelweg 'Cyberverzekering'. De Goudse heeft een verzekering die Cyberrisk heet, en er zijn wat kleinere partijen die eigen verzekeringen uitbrengen, zoals Cybercare van Turien & Co. Het gaat meestal om losstaande verzekeringen die specifiek op dit soort digitale risico's zijn gericht. Dat is wel anders dan een paar jaar geleden, toen bijvoorbeeld Nationale-Nederlanden met de mogelijkheid kwam voor webshops om cybercrime in hun algemene verzekeringspakket op te nemen. Die polis werd echter uitgefaseerd wegens gebrek aan animo.

Voor en na

De meest voorkomende onderdelen in een cyberverzekering zijn schade bij afpersing, zoals schade door ransomware of een ddos-aanval, of digitale diefstal van geld. In de meeste gevallen wordt schade aan computersystemen ook vergoed, net als het inhuren van experts. Opvallend is dat een paar jaar geleden vooral nog online schade zoals datadiefstal werd gedekt, maar dat daar inmiddels steeds meer schade bij is gekomen, zoals reputatieschade en schade aan apparatuur. Veel verzekeraars vergoeden ook bijkomende kosten bij een aanval, zoals de extra belkosten die een bedrijf maakt bij een storing van het telefoonsysteem.

Meestal volgen de verzekeringen eenzelfde patroon. Tijdens een aanval wordt eerst naar de directe schade gekeken: wat kost het om de aanval af te slaan, bijvoorbeeld in losgeld of aan extra ict-inzet. Daarna volgt een periode waarin met forensische analyse moet worden aangetoond wat er gebeurde, en wie verantwoordelijk en aansprakelijk is. Ook dat onderzoek kost geld waartegen een bedrijf zich kan verzekeren. Na het onderzoek begint de opbouw; nieuwe ict-systemen installeren, klanten informeren en zelfs pr-advies inwinnen. Dit is vaak een van de omvangrijkere en duurdere aspecten van een cyberverzekering, al is het lang niet altijd de kostenpost die het best wordt vergoed. Na afloop van een aanval kan een verzekering ook nog de nasleep vergoeden, zoals eventuele boetes die worden opgelegd door toezichthouders of extra controle op fraude bij klanten.

Verzekeringsmarkt

Hoe groot de markt van cyberverzekeringen precies is, is moeilijk te zeggen. De grootste verzekeraars in Nederland hebben allemaal hun eigen polissen voor cybercrime en online-incidenten, en veel specifieke brancheverzekeraars hebben ook hun eigen pakketten. Maar hoeveel geld er binnenkomt of wordt uitgekeerd en hoeveel klanten zo'n polis hebben, maken verzekeraars niet bekend. In 2016 schatte het Verbond voor Verzekeraars de totale premie-inkomsten al op zo'n twintig miljoen euro per jaar, maar de organisatie kon niet zeggen hoe groot die markt inmiddels is. Helemaal nieuw is de opkomst van cyberverzekeringen dus niet. Zeker rond 2015 en 2016 zagen analisten een opvallende stijging. Die schreven ze voor een belangrijk deel toe aan de 'meldplicht datalekken'. Dat is een onderdeel van de Wet bescherming persoonsgegevens, een voorloper van de huidige privacywet. Sinds de meldplicht datalekken er is, stijgt ook het aantal aanbiedingen van dergelijke verzekeringen. Analisten van de grootste verzekeringsbeurs ter wereld, Lloyd's, schrijven dat toe aan het groeiende bewustzijn over de impact van datalekken.

Hoewel officiële cijfers ontbreken, proberen sommige analisten de groei te duiden. Lloyd's meldde al in 2017 een grote stijging van het aantal cyberverzekeringspolissen. De groei van 'honderden procenten' zou volgens analisten in 2020 betekenen dat er wereldwijd zeven miljard euro aan premies wordt geïnd. Een andere invloedrijke analist, AIR Worldwide, noemde in dat jaar een stijging van 733 procent van het aantal verzekeringen voor cybercrime.

Niet altijd nodig

Het 'cybergedeelte' van een bedrijf hoeft lang niet altijd apart te worden verzekerd. Er zijn namelijk veel verschillende risico's die een bedrijf kan afdekken waaraan vaak een digitale component is verbonden, zegt Barry Schütte van verzekeraar Chubb tegen Computable. Schade op digitaal gebied komt bijvoorbeeld niet alleen door criminaliteit, maar ook door bijvoorbeeld nalatig handelen van een werknemer of het niet goed inrichten van processen waardoor bijvoorbeeld back-ups verdwijnen.

Digitale schade kan soms ook onder de aansprakelijkheids-verzekering vallenAls voorbeeld noemt Schütte schade aan een server doordat een medewerker daar per ongeluk een glas water over omstoot, of als iemand struikelt over een kabel. Dat zijn geen specifieke risico's die worden afgedekt door een cyberverzekering, maar dat is materiële schade die zou kunnen vallen onder de aansprakelijkheidsverzekering die een bedrijf waarschijnlijk al heeft. In veel gevallen is het dus wellicht niet nodig om voor het hele pakket verzekerd te zijn.

Verzekeringen voor consumenten

Cyberverzekeringen zijn er voornamelijk voor bedrijven, maar her en der zijn inmiddels ook voor consumenten verzekeringen te krijgen waarmee ze tegen online criminaliteit zijn beschermd. Univé heeft sinds 2017 bijvoorbeeld de Zorgeloos Online-verzekering. Daarmee kunnen ook particulieren zichzelf tegen cybercrime verdedigen. De polis beschermt tegen schade door malware, al definieert hij niet wat dan precies onder schade wordt verstaan. De polis benoemt alleen 'schade door fraude', maar geeft weinig concrete voorbeelden. Net als bij bedrijfsverzekeringen krijgen klanten naast preventie ook advies bij het beschermen van hun netwerk. Ze krijgen bijvoorbeeld een speciale iot-router in bruikleen. De F-Secure Sense zet een firewall op voor iot-apparaten en heeft ingebouwde antivirus. De markt voor consumentenverzekeringen lijkt echter klein, bleek al een paar jaar geleden.

De inhoud

De meeste verzekeraars stellen bij hun verzekeringen bepaalde eisen. Een bedrijf moet zijn beveiliging bijvoorbeeld goed op orde hebben voordat aanspraak op de verzekering kan worden gemaakt. Om wat voor eisen het dan gaat, verschilt per verzekeraar. De verzekering van Centraal Beheer heeft bijvoorbeeld behoorlijk wat specifieke eisen. Om aanspraak te maken op hulp bij vergoedingen van ransomware, staat er bijvoorbeeld dat 'alle standaardwachtwoorden of standaardtoegangscodes bij het eerste gebruik direct gewijzigd en veilig bewaard' moeten worden. Updates zijn niet alleen verplicht, ze moeten per se automatisch worden doorgevoerd. Back-ups maken wordt niet alleen gestimuleerd, maar Centraal Beheer eist dat die 'apart van uw computersysteem' worden bewaard.

Wat 'redelijke beveiligingseisen' zijn voor bedrijven, is niet altijd even duidelijkVergelijk dat met de tekst in de polis van Allianz, die slechts spreekt van 'redelijke voorzorgsmaatregelen': "De verzekerde neemt alle redelijke voorzorgsmaatregelen om haar bedrijfscomputersysteem te beschermen en om het optreden van een cyberaanval of een bedrijfsstoringsgebeurtenis te voorkomen of de gevolgen ervan zoveel mogelijk te beperken." De verzekering van Achmea-dochter Avéro maakt het zo mogelijk nóg iets vager. Bij de clausule over wanneer niet wordt vergoed, staat: "Verzekerde doet te weinig om schade te voorkomen, en het is algemeen bekend dat dat te weinig is, of hij had moeten weten dat de kans op schade groot is."

Kosten van een incident

Het grote probleem bij het uitkeren van een schadevergoeding is dat het heel moeilijk is om te bepalen hoe hoog de schade bij een aanval is. Dat is onder andere waarom veel verzekeraars geen data beschikbaar willen stellen over het onderwerp, maar ook onafhankelijke onderzoeken hebben moeite om de kosten en opbrengsten te berekenen. In Verizons invloedrijke jaarlijkse Data Breach Investigation Report werd in 2016 voor het eerst vergeefs een poging gedaan om de kosten te becijferen. "Aan de ene kant proberen we de kosten te berekenen op basis van hoeveel data er is gestolen, maar dat verschilt erg per bedrijf", schrijven de onderzoekers. "Van veel data-inbreuken weten we niet wat de kosten zijn. Waarom het ene bedrijf X kwijt is en het andere Y, is niet bekend."

Wel wisten de onderzoekers van Verizon uiteen te zetten waar de kosten van een verzekeringsuitkering in gingen zitten. Opvallend genoeg waren dat niet de kosten van het oplossen van het incident of het herstarten van zaken. Meer dan de helft van het uitgekeerde bedrag ging naar juridische bijstand. De een-na-grootste kostenpost was forensisch onderzoek. In veel mindere mate werden ook de notificatiekosten na een datalek meegenomen, maar vergoedingen voor bijvoorbeeld gemiste inkomsten na een incident zijn bijna non-existent.

Vergoeden van AVG-boetes

Sinds mei 2018 hebben bedrijven een nieuwe angst: het overtreden van de privacywetgeving. Al lang voordat de Algemene Verordening Gegevensbescherming officieel van kracht werd, werden bedrijven bang gemaakt voor de mogelijk catastrofale gevolgen als zij zich er niet aan hielden. Onder de Europese wet kan een toezichthouder boetes opleggen. Na een wat mak eerste jaar, waarin de focus nog lag op vooral voorlichting en ondersteuning, beginnen de eerste boetes inmiddels te vallen. De eerste Nederlandse AVG-boete kwam voor rekening van het Haagse Haga Ziekenhuis, dat het logbeleid voor medische dossiers niet op orde had. Het ziekenhuis kreeg daarvoor 460.000 euro boete.

Het is in Nederland mogelijk een verzekering af te sluiten tegen AVG-boetesInmiddels zijn boetes en het risico op handhaving een realistisch scenario voor een bedrijf. Verzekeren voor boetes is iets typisch Nederlands. Er zijn maar weinig landen waarin het mogelijk is om een verzekering voor boetes af te sluiten; alleen in een paar landen, zoals Noorwegen en Finland, kan dat ook. Heel vanzelfsprekend is dat niet; de optie lijkt in Nederland vooral door één partij te worden aangeboden. Verzekeraar AON deed vorig jaar samen met een advocatenkantoor onderzoek naar de mogelijkheden om zo'n verzekering aan te bieden. Conclusie: het kan. Wel moet zo'n verzekering aan veel voorwaarden voldoen. Een belangrijke: alleen bestuursrechtelijke boetes kunnen worden verzekerd. Dat zijn boetes die zonder tussenkomst van het OM of een rechter worden opgelegd, zoals boetes van de privacytoezichthouder. Strafrechtelijke boetes zijn niet te verzekeren.

Er zijn een paar verzekeraars in Nederland die verzekeringen tegen boetes aanbieden, zoals de VvAA voor medische professionals. In Nederland zijn er voor zover bekend nog geen voorbeelden geweest waarbij een bedrijf aanspraak maakte op een AVG-boeteverzekering. Dat komt niet in de laatste plaats doordat het aantal AVG-boetes in ons land op een paar handen te tellen is, maar het heeft nog een andere belangrijke reden. Verzekeraars vergoeden die boete alleen als er geen sprake is van grof nalatig handelen.

Geen nalatigheid

De ironie is echter dat boetes onder de AVG eigenlijk vooral worden uitgedeeld als blijkt dat een bedrijf juist grof nalatig is. Zeker van toezichthouders die meer sturend dan corrigerend zijn, zoals de Nederlandse Autoriteit Persoonsgegevens, krijgen bedrijven eerder een waarschuwing, een boze brief, of in het ergste geval een last onder dwangsom. Dat laatste is een voorwaardelijke boete. De toezichthouder grijpt meestal naar die middelen voordat een definitieve boete wordt uitgedeeld. Een bedrijf dat dus daadwerkelijk een boete krijgt opgelegd, moet het dan ook heel bont hebben gemaakt wat beveiliging betreft. Het is dan ook de vraag of de verzekeraar gaat uitkeren. Sommige verzekeraars zijn er niet heel uitgesproken over, waardoor de echte voorwaarden voor uitkering vaag blijven. Zo zegt De Goudse alleen: "Wij vergoeden een boete die als gevolg van een cyberincident is opgelegd door de Autoriteit Persoonsgegevens". De verzekeraar noemt daar ook alleen boetes onder de Wet bescherming persoonsgegevens, de oude privacywet vóór de AVG. Niet erg actueel dus.

Bij AIG staat bijvoorbeeld dat een boete niet wordt vergoed bij het 'opzettelijk veronachtzamen of niet naleven van een uitspraak of aanwijzing van een toezichthouder'. Als een toezichthouder dus eerst een waarschuwing geeft en het bedrijf daarna alsnog niet voldoet aan de wet, valt dat hoogstwaarschijnlijk onder dat 'niet naleven'. Het is dan ook de vraag of het bedrijf in dat geval aanspraak kan maken op een een vergoeding bij de verzekeraar, maar voor zover bekend is dat nog nooit aan de orde geweest.

Ransomwaredekkingen

Een belangrijke oorzaak voor de stijging van het aantal verzekeringen is de grote schade door ransomware, waarvan bedrijven in de afgelopen jaren steeds meer last kregen. Ransomwareverspreiders richten zich sinds kort steeds vaker op het infecteren van bedrijven met het doel in één keer een hoog losgeldbedrag los te peuteren. Ransomware kan desastreus zijn voor bedrijven en veel schade veroorzaken. Verzekeringen die die schade dekken, zijn dus populair. Opvallend is dat deze verzekeringen niet alleen schade dekken zoals de kosten van het herstellen van systemen of de inzet van extra ict'ers, maar ook vaak het losgeld waar criminelen om vragen. Het merendeel van de cyberverzekeringen lijkt dat te doen, al zijn er een paar die dat weigeren of bijvoorbeeld slechts een kwart van het bedrag vergoeden.

Ook bij deze kosten geldt dat de verzekerde eerst met een expert moet praten die door de verzekering wordt aangewezen. Die expert onderzoekt niet alleen wat er gebeurt, maar zoals in het geval van Centraal Beheer is hij ook degene 'die de cyberafpersing beperkt, bijvoorbeeld door getroffen gebruikersaccounts uit te schakelen of door malware te verwijderen'. De verzekeraars die het losgeldbedrag vergoeden, zeggen vrijwel allemaal dat ook specifiek cryptovaluta worden vergoed.

Het vergoeden van losgeld bij ransomware stimuleert volgens experts een criminele economieSommige experts zetten vraagtekens bij het betalen van losgeld. De 'ransomware-economie' wordt daardoor niet alleen in stand gehouden, maar ook groter gemaakt, zeggen ze. Uit onderzoek van ProPublica bleek bijvoorbeeld dat hogere verzekeringsuitkeringen bij ransomwareaanvallen juist leidden tot hogere losgeldbedragen bij daaropvolgende aanvallen. Anderzijds is het voor verzekeraars vaak goedkoper om het losgeld te betalen dan om de hele herinrichting van de ict-infrastructuur te financieren. Nadat het losgeld is betaald, moet weliswaar vaak alsnog veel werk worden verricht om systemen te updaten en nieuwe securitysoftware te installeren, maar het is vaak een stuk moeilijker om dat direct toe te schrijven aan een ransomwareaanval.

Geen uitkering bij oorlog

Een clausule die vaak voorkomt in verzekeringen in het algemeen, is die over oorlogvoeringen. Schade die wordt veroorzaakt door een 'gewapend conflict, burgeroorlog, opstand, binnenlandse onlusten, oproer of muiterij' worden doorgaans niet gedekt door verzekeraars. Dat is voor een auto- of brandverzekering doorgaans niet zo'n probleem. Voor cyberverzekeringen kan het echter wel degelijk tot conflict leiden, zeker als er veel geld mee gemoeid is.

Dat was bijvoorbeeld een belangrijke vraag bij de (Not)Petya-aanval op farmaceutisch bedrijf Merck. Het bedrijf leed naar schatting 1,2 miljard euro schade. Die zitten in het repareren van de netwerken en het vervangen van de computers, maar ook in de verloren handel in de tijd dat de aanval duurde. Het bedrijf beriep zich op zijn verzekering, maar die vond niet dat ze hoefde uit te keren. (Not)Petya wordt namelijk door de meeste beveiligingsbedrijven en -experts toegeschreven aan Rusland en specifieker aan de militaire inlichtingendienst GRU. De ransomware was geen criminele daad om geld te verdienen, maar een sabotagedaad, stelden de verzekeraars van Merck, en dat valt onder oorlogvoering. Merck moest naar de rechter om het bedrag te claimen, onder andere van Allianz.

Conclusie

Het aanbod en het aantal cyberverzekeringen stijgt jaar op jaar. Met een dergelijke verzekering denken ondernemers zich in te dekken tegen grote risico's, zoals de schade aan hun computersystemen bij ransomware, maar het is de vraag in hoeverre die verzekeringen effect hebben en hoeveel ze toevoegen. Voor sommige verzekerde onderdelen, zoals AVG-boetes, lijkt het zelfs onmogelijk dat het ooit tot uitkering komt.

Reacties (101)

[Scriptkid]

Ben ik de enige die het te bizar voor woorden vind om een verzekering losgekd te laten betalen.

Dit moedigt toch allewn de hacker maar aan en ze targetten bedrijven met een verzekering want die geven er niks om en betalen direct.

Dit is gewoon het zelfde als aanmoedigen van losgeld betalen bij gijzeling. En ook de reden waarom we niet onderhandelen met criminelen.

Het zelfde geld voor boetes bij avg overtreding. Data privacy doen wij niet aan als ze controleren betaald de verzekering. Waarom zou ik 2 keer geld uitgeven 1x aan de verzekering en 1 keer om het te fixen.

Dit soort verzekeringen zouden ze bij de wet moeten verbieden. Je hebt nu wetten die iets verbieden en verzekeraars die je gaan vrij stellen van die wetten

[Reactie gewijzigd door Scriptkid op 24 juli 2024 11:35]

[MrMonkE]

Het is gewoon een verdienmodel.
De verzekering rekent gewoon uit wat kost het, wie wil het, hoeveel kans dat de klanten getroffen worden.
En dan maar cashen.
Tot ze failliet gaan door een cryptolocker die half Nederland locked.

[Arator]

Het is gewoon een verdienmodel.
...
Tot ze failliet gaan door een cryptolocker die half Nederland locked.

Zoals op de laatste pagina van hey artikel wordt aangehaald, zullen de verzekeringen dan wel woelen als een duiveltje in wijwater om er onderuit te komen.
Jouw cryptolocker is eigenlijk in opdracht gemaakt van, ik zeg maar wat, Israël om het kernprogramma van Iran te saboteren, maar is blijkbaar opgepikt door cybercriminelen. We betalen niet uit, want oorspronkelijk doel was oorlog.

Als ik lees hoeveel kleine lettertjes en hoe vaag deze blijven, kan ik me niet van de indruk ontdoen, dat de verzekeringsmaatschappijen veel beloven, en hier ook dik premies voor opstrijken.
En ik kan snappen dat een kleine kmo denkt "nou die premie kost klauwen met geld, maar als ik nog maar 1 keer om de 10 jaar wordt aangevallen, ben ik uit de kosten qua premies", en dan zegt de verzekering "we hebben nog een windows xp gevonden op die zaagbank, die totaal niet in het netwerk hangt, we betalen niet uit"

En ik snap het wel, een verzekeringsmaatschappij is ook een commercieel bedrijf, en hoe minder ze moeten uitbetalen, des te beter voor de winst. Maar hoe gaan ze in godsnaam bepalen of een netwerk wel of niet voldeed aan de eisen? Bij een autoverzekering heb je de periodieke keuring. Is de keuring niet in orde, heeft de verzekering al sneller een poot om te zeggen dat er gebrekkig onderhoud was.
Dus het volgende wat ik zie opkomen, bedrijven die even je bedrijfsnetwerk komen stresstesten voor een papiertje voor de verzekering.

[bbob]

kleine lettertjes is waar het hier om draait. Als ik mag gokken zullen verzekeraars zich heel goed indekken om vooral niet uit te keren als er wel iets aan de hand is. Het verdienmodel van verzekeraars is ook vaak de boel vertragen zeggen dat het eigen schuld is want heb je wel op iedere pc een actuele virusscanner, kun je dat bewijzen. Heb je een protocol hoe om te gaan met vreemde mails en attachements, heb je bij ontdekking snel genoeg gereageerd.
Het klinkt allemaal mooi meer verzekeraars willen vooral niet uitkeren en zullen het je heel moeilijk maken.

[TheWillemke]

Wat een negativiteit ... volgens mij is verzekeren het inprijzen van kans en impact (kosten) .. en ja kleine letters om dit proces eerlijk en transparant te houden... zodat er geen misbruik van wordt gemaakt.

En tuurlijk is er kans dat jij als iemand die gebruik wil maken van een verzekering misgrijpt; gewoon omdat het transparant en eerlijk moet zijn. En verzekeraars die te makkelijk uitkeren wil ik niet bij verzekerd zijn; dit zijn vast te duur in hun maandelijkse premie.

[Blokker_1999]

En toch is het concept niet nieuw. Verzekeringen tegen losgeld bij fysieke ontvoeringen bestaan ook gewoon. Zelfs een inbraakverzekering is uiteindelijk een verzekering tegen misdaad. Verzekeringen zijn er nu eenmaal om risico's af te kopen.

[Epiphany]

Ja mee eens, je moet alleen de bedrijven nu de kost geven die verder niets meer doen aan beveiliging want verzekerd..

[raro007]

denk niet dat die verzekering je constant gaat dekken, want die avg blijft wel komen.

[Bensimpel]

Zolang de verzekering betaald, geen probleem voor die bedrijven.

[raro007]

Tuurlijk maar ik bedoel als jij constant ongelukken maakt met de auto dan is de verzekering een keer ook wel klaar met het uitbetalen.

[gabba25]

Tsja, dat vind ik wel een heel grijs gebied. Ik kreeg laatst een brief van mijn inboedelverzekering dat ik moest "uitkijken", want ik had te veel gedeclareerd. Niet dat er ook maar iets vergoed werd, maar ik werd er wel even op gewezen dat ik premie moest betalen, maar niks meer mag declareren. Ik heb dus ook maar een briefje op de deur geplakt of inbrekers een deur verder willen kijken, want ik mag niks meer declareren... verzekeringen, een grote zucht.

[MsG]

Zo werkt premie-opbouw natuurlijk niet Als je alleen al in het artikel leest hoe vaak er niet domweg werd uitgekeerd, maar de verzekeraar alle mogelijke uitwegen zoekt om maar niet te hoeven betalen. Die hebben net zo goed gaat bij gedragsverandering van de verzekerde.

[proditaki]

Daar zijn gewoon polisvoorwaarden voor. Als jij met drank op achter het stuur een ongeluk maakt zal een verzekeringsmaatschappij de schade op jou verhalen.
Met deze verzekeringen zullen er ook bepaalde voorwaarden zijn die wangedrag uitsluiten.

[Epiphany]

Avg wel, vraag is daar of er überhaupt betaald gaat worden, maar ransomware?

[RvL]

Zo werkt het dus niet. Een verzekeraar is ook niet gek natuurlijk, die stelt ook zeker wel eisen aan de mate van beveiliging, training en bewustwording van personeel etc.

En heel simpel: als jij als verzekerde niet voldoet aan de voorwaarden die de verzekeraar hanteert, ben je simpelweg niet gedekt.

[Lennardnl]

Nou, dat valt dus best wel mee. Grote bedrijven kunnen niet zomaar even een verzekering afsluiten. Dat gaat via een (verzekerings)makelaar, waarna het risico veelal over meerdere verzekeraars wordt verspreid. Zij zoeken uiterst nauwkeurig uit welke risico’s het bedrijf precies loopt, wat gedaan wordt om de risico’s te mitigeren en welke concrete stappen moeten worden genomen voordat de verzekeraar de risico’s wil dekken. Bovendien wordt naar het schadeverleden gekeken en zit er meestal een behoorlijk eigen risico op.

Dat is overigens bij de klassiekere verzekeringen als de brand- of aansprakelijkheidsverzekering niet anders. Ook daar krijg je als bedrijf niet zomaar een verzekering.

[hensema]

Dat is grof nalatig en dus betaalt de verzekering niks.

[Edgarz]

Zo werken verzekeringen niet, ook deze niet. Je zult je altijd moeten houden aan wettelijke voorschriften. Een aansprakelijkheidsverzekering of schadeverzekering keert ook niet uit als je straalbezopen een klapper maakt.

Dat bedrijven dat wel denken en dus niets meer aanbeveiliging doen, tja...da's hun eigen probleem. Je kunt je ook afvragen of zonder intrensieke motivatie de beveiliging wel goed zou zijn...

[Cuzco]

Wel. De verzekeraar keert uit aan de gedupeerde van jouw klapper. En daana moeten ze nog maar zien of ze het terug kunnen krijgen van de dader.
Helaas blijkt dat vaak een kale kip...

[Edgarz]

Neen. Lees de algemene/dekkingsvoorwaarden maar eens goed door.

[Accretion]

Je zegt eigenlijk dat als een dronken persoon (zonder geld) mij aanrijdt. Ik kan fluiten naar m'n vergoedingen omdat die persoon geen geld heeft?

[Edgarz]

Ik doelde op de polis van de veroorzaker. Het stuk gaat over de veroorzaker.

[Cuzco]

Neen Edgarz, de 'schuldloze derde' (het slachtoffer) wordt schadeloos gesteld. Oftwel, die schade wordt gewoon aan het slachtoffer vergoed.
Maar we gaan nu een beetje off topic. Het ging geloof ik over Cyberverzekeringen.

[Cuzco]

Die ken ik als mijn broekzak. Daarom reageer ik ook

[GekkePrutser]

Ja maar er is geen verzekering tegen boetes voor te hard rijden. Ik vind die verzekering tegen AVG boetes ook wel in dezelfde klasse. Beetje raar dat dat aangeboden wordt, dit haalt de kracht uit de AVG.

[Zer0]

https://www.verzekeringen...euringen-boeteverzekering
https://www.emerce.nl/wir...-starten-flitsverzekering

Als je echt wilt kun je je vast wel verzekeren tegen boetes, de vraag is alleen of je de premie wil betalen.

[Reactie gewijzigd door Zer0 op 24 juli 2024 11:35]

[GekkePrutser]

Hm, ik vind dat toch iets dat eigenlijk niet zou moeten mogen.

Boetes zijn een middel om wangedrag te voorkomen. Als je je daartegen kan verzekeren dan heeft het gewoon veel minder effect.

[Freeaqingme]

Beide 'toevallig' wel gepubliceerd op/rond 1 april.

/cc @Zer0

[kodak]

Dat het betalen van losgeld vanuit een verzekering niet nieuw is wil niet zeggen dat het acceptabel is.

Daarbij lijkt me het bij uitzondering betalen van losgeld als ruilmiddel voor een persoon van een heel andere orde dan het vergoeden van digitaal materiaal wat een backup had kunnen hebben als het echt waarde had.

[TheAccountant]

Die bestaan zeker, als voorbeeld, een verzekering tegen piraten:
https://www.westpandi.com...nap-and-ransom-insurance/

[jongetje]

Er zijn zelfs uitvaartverzekeringen heb ik gehoord. En die keren altijd uit, de vraag is alleen wanneer.... Dat is precies wat een verzekering doet. En dan moet er ook nog een groot deel van de inleg naar kantoor, kosten personeel, directie wil nog een riant salaris, aandeelhouders willen divident etc.

Daarom dus alleen risico's verzekeren die je niet kunt dragen (of wettelijk verplicht zijn uiteraard).

[stuffie123]

Dat klopt niet wat je zegt. Je bent zelf namelijk misdadiger. Je verzekert je tegen het risico van een boete omdat je door rood rijdt.

Ik vraag me af of zo'n verzekering wel legaal is.

[Reactie gewijzigd door stuffie123 op 24 juli 2024 11:35]

[Zer0]

Je bent zelf namelijk misdadiger.

Een verkeersovertreding waar je een boete voor krijgt is geen misdrijf maar een overtreding....

[aadje93]

verzekering bij inbraak is niet een overtreding van de verzekerde, maar een nadeligheid bij de verzekerde. Dit is juist verzekeren van de gene die zelf de fout maakt....

[Brousant]

Dit moedigt toch allewn de hacker maar aan en ze targetten bedrijven met een verzekering want die geven er niks om en betalen direct.

Ik denk dat het voor de hand ligt als in de polis vastligt dat de beslissing om losgeld dan wel schade/herstelkosten te betalen bij de verzekeraar ligt, en dat het niet zo is dat een bedrijf maar kan aanrommelen "want de verzekering betaalt toch wel". Je autoverzekering keert bijvoorbeeld niet uit bij een ongeluk als je met alcohol op reed en je reisverzekering niet als je je spullen onbeheerd hebt gelaten. Zo zal een cyberverzekering ook specifieke voorwaarden hebben die vereisen dat de verzekerde het redelijk mogelijke heeft gedaan om het verzekerde risico te vermijden.

[Reactie gewijzigd door Brousant op 24 juli 2024 11:35]

[sheane]

Ik kan me goed voorstellen dat het betalen van ransomware juist dit verdienmodel van criminele organisaties in stand houdt. Echter zijn dergelijke verzekeringen al jaar en dag gebruikelijk. Vergelijk het met kidnap verzekeringen. Deze zijn zelfs uit te breiden met dekking in oorlogsgebieden. In het verleden soms ook door terroristische organisaties om geld aan te verdienen. Sommige organisaties stonden er om bekend toch wel te betalen.

Echter in de praktijk betekent een dergelijke verzekering, of dit nu ransomware of kidnapping dekt, juist dat de personen/organisaties die hieronder vallen dat ze juist allemaal maatregelen (moeten) treffen. Dit allemaal om al te voldoen aan de vereisten die de verzekeraars treffen. Daarmee zou je juist ook kunnen stellen dat deze partijen beter beveiligd zijn tegen juist die situaties die ze dekken.


Oh ja en het is de vraag of een dekking tegen deze boetes stand houdt. Enerzijds vanuit het idee dat er nalatig is gehandeld waarmee je niet voldoet aan de voorwaarden om dekking te ontvangen, anderzijds dat hier nog geen jurisprudentie over bekend is. Verschillende andere partijen, die deze dekking niet geven, twijfelen aan de haalbaarheid van compensatie van de boetes.

Disclaimer is dat ik in het verleden een dergelijke verzekering heb afgesloten voor onze organisatie. En tegenwoordig voor een verzekeraar werk.

[Reactie gewijzigd door sheane op 24 juli 2024 11:35]

[kodak]

Als het betalen van geld aan criminelen een mensenleven kan sparen lijkt me dat van een andere orde dan het faciliteren van criminelen door ze geld toe te stoppen om het eigen gebrek aan de nodige maatregelen tegen ontoegankelijk zijn van gegevens te compenseren.

[Bor]

Je begrijpt hopelijk ook dat 100% bescherming een utopie is en dat het daardoor echt niet altijd gaat om "het eigen gebrek aan de nodige maatregelen"?

[kodak]

Ik denk niet dat een bedrijf er mee weg gaat komen door bij de rechter te verklaren dat 100% bescherming van gegevens een utopie is en ze daarom een crimineel zijn gaan faciliteren. Het lijkt me in het geval van een mensenleven al lastig om de noodzaak van betalen van losgeld te beargumenteren waardoor dat niet zomaar gedaan zal worden, laat staan dat het dan maar normaal kan worden bevonden voor gegevens die op tal van manieren te beveiligen zijn die je gewoonlijk al moet toepassen om de continuïteit van je onderneming te garanderen.

[Bor]

Ik denk niet dat een bedrijf er mee weg gaat komen door bij de rechter te verklaren dat 100% bescherming van gegevens een utopie is en ze daarom een crimineel zijn gaan faciliteren.

Je lijkt te veronderstellen dat het betalen van losgeld wettelijk verboden is, wat het niet is. Dat 100% beveiliging onmogelijk is is helaas een feit. Er is altijd een risico afweging en er zal altijd een restrisico zijn.

[Reactie gewijzigd door Bor op 24 juli 2024 11:35]

[kodak]

Dat er niet letterlijk in de wet staat dat betalen van losgeld verboden is wil nog niet zeggen dat het niet verboden is. Faciliteren van criminelen is immers niet zomaar toegestaan.

Ik ben benieuwd of een discussie over voldoende inspanning tegen risico's en faciliteren van criminelen binnenkort nog eens bij een rechter gaat belanden. Vooral de situatie waarbij overduidelijk is dat er geen mensenleven op het spel stond en een bedrijf dan maar liever losgeld (liet) betalen lijkt me daarvoor een passend startpunt. Mij lijkt het in veel gevallen onwenselijk om geld aan criminelen te geven in de hoop gegevens terug te krijgen, ook al is veel geen 100%.

[Bor]

Laat ik het anders stellen; op basis waarvan is het betalen van losgeld in het geval van ransomware verboden? Er zit een groot verschil in het betalen en faciliteren lijkt mij?

[unreal0]

Je hebt gelijk. Ik heb met iemand gesproken die werkzaam is geweest in dit gebied en hij kijkt met wrede ogen naar deze ontwikkelingen in cyber security verzekeringen. Het betalen van de ransomware som is voor de verzekeraar in vrijwel alle gevalleen goedkoper dan het herstellen van het netwerk/apparatuur en de geleden schade. Dat is op de korte termijn geen slecht idee, maar de lange termijn wordt helaas compleet buiten spel gelaten. De lange termijn gevolgen zijn natuurlijk verschrikkelijk. Het is een simpele som, hoe meer mensen hiervoor betalen hoe meer hackers op ransomware zullen inzetten omdat het rendabel is. Het zou de maatschappij sieren eens een jaar nergens meer voor te betalen, dan zal het fenoneem ransomware heel snel de wereld uit geholpen zijn.

Het probleem is natuurlijk dat ik makkelijk praten heb. Als het je betreft wil je toch niks anders dan je data terug... Het is eigenlijk een etisch dilemma aan het worden. Hoe dan ook, ik denk dat verzekeraars bloed aan hun handen gaan krijgen, omdat elke betaling van ransomware het lucratiever maakt en ervoor gaat zorgen dat het meer en meer gaat voorkomen.

[TijsZonderH]

Ik had het hier in onze podcast van vorige week nog over, ik vind dit ook heel raar. Maar volgens mij zijn we hierbij in de minderheid...

[oehoe]

Uit het artikel: "Merck moest naar de rechter om het bedrag te claimen, onder andere van Allianz."

Waar ik dan nog wel benieuwd naar ben, hoe is dat afgelopen voor Merck? De uitspraak van de rechter zal een precendent scheppen, of niet?

[hensema]

Bij een overval wordt het buitgemaakte bedrag ook vergoed door de verzekering. Het is dus heel normaal dat bij een digitale overval dat ook gebeurt.

[kodak]

Met het verschil dat bij een diefstal of overval het geld al weg is en het bedrag een vervangende waarde heeft voor het bedrijf en niet voor de crimineel. Bij ransomware en gijzeling is het criminele verdienmodel om te hopen op een betaling in ruil voor iets wat de gebruiker gewoonlijk nog zou moeten hebben.

[D0phoofd]

Niet alleen dit. Maar dit vraagt ook om fraude.
Stel je voor, ik heb een volle inventaris op Steam. Alle games en 'skins' die daar bij horen. Account word 'gehackt'-> skins kwijt of geheel account. -> krijgt vergoeding van verzekering. -> profit.

Ik zie nog meer toepassingen. Enfin. Ik krijg steeds meer het idee dat verzekeringen ansich er al niet meer zijn om klappen op te vangen die je zelf niet kan betalen. Er zijn al talloze mensen die een simpele schade niet eens claimen. Puur omdat de premie dan omhoog gaat. Of dat er schade vrije jaren weggeschreven worden. Big business.

[Bor]

Doorgaans zijn dit soort verzekeringen alleen af te sluiten voor bedrijven, eventueel na screening. Daarbij zal er naar waarde worden uitgekeerd. In jouw voorbeeld is er geen 'profit'. Het doel van de meeste verzekeringen is vanuit de verzekeringsverstrekker niet het 'opvangen van de klappen die je zelf niet kunt betalen' maar winst.

[Reactie gewijzigd door Bor op 24 juli 2024 11:35]

[Bor]

Het zelfde geld voor boetes bij avg overtreding. Data privacy doen wij niet aan als ze controleren betaald de verzekering. Waarom zou ik 2 keer geld uitgeven 1x aan de verzekering en 1 keer om het te fixen.

Doorgaans kennen Cyber security verzekeringen strenge voorwaarden waarbij je oa moet aantonen dat je alles hebt gedaan om een issue te voorkomen vaak mede door middel van audits etc. Denk aan awareness, beleid, procedures, technische maatregelen etc.

"Data privacy doen wij niet aan" gaat zeker niet op. Niet alleen zal de verzekering niet uitkeren maar je kunt ook op hoge boetes rekenen.

[Reactie gewijzigd door Bor op 24 juli 2024 11:35]

[Bor]

Dit soort verzekeringen zouden ze bij de wet moeten verbieden. Je hebt nu wetten die iets verbieden en verzekeraars die je gaan vrij stellen van die wetten

Dit is totaal onzin natuurlijk. De wet is onverminderd van toepassing en als jij daar niet aan voldoet zal geen bedrijf je een premie uitkeren. Kijk ook eens naar de polisvoorwaarden van de verzekeringen. Voldoen aan wet- en regelgeving is een voorwaarde naast andere meer specifieke zaken.

[Reactie gewijzigd door Bor op 24 juli 2024 11:35]

[blk]

Niet alleen dat, maar er ontstaat ook een belangenverstrengeling.

[hrichard]

Inderdaad. 'Veiligheid? Privacy? Veel te moeilijk, we sluiten wel een verzekering af.'

[Vlizzjeffrey]

Die allu fabrikant had beter kunnen betalen, had ze minder gekost dan de 53 miljoen schade die ze nu hadden.

[Scriptkid]

Is dat zo,

Als ze dat hadden gedaan hadden ze een reputatie dat ze betalen,

Wat denk je dat het gevolg is.

[sypie]

Het zou me niks verbazen dat er straks in de kleine lettertjes komt te staan dat men alleen uitkeert na overleggen van audit-rapporten door minstens 2 gerenommeerde auditors. Verzekeraars doen er immers zo veel mogelijk aan om niet uit te hoeven betalen.

Daarnaast: Wij Nederlandsers houden van verzekerkingen. Het is niks anders dan gespreid en vooruit betalen van de eventueel te verwachten schade. We noemen dit dan het afdekken van het risico. Ik noem het gewoon een sigaar uit eigen doos. Maar ja, deze pijn voelen we niet in onze portemonnee want hé, we hebben er toch voor betaald?

[Annihilism]

Dit dus. Vooral met zakelijke verzekeringen mag je haast eerst wel een jurist het hele document laten uitpluizen want vaak is de dekking echt minimaal en heb je er geen aars aan. En de meeste verzekeraars gaan je echt niet proactief informeren aan welke voorwaarden je moet voldoen (ook intermediairs niet).

[Lennardnl]

Dat is echt pure onzin. Alleen al omdat een (verzekerings)makelaar de verzekeringen aan de man brengt en hij zelf voor de schade kan opdraaien als hij voor onvoldoende dekking heeft gezorgd. Je het dus zeker wat aan de bedrijfsverzekeringen, maar natuurlijk is niet alles gedekt. Dat vertelt je makelaar echter exact.

Wat overigens niet wegneemt dat de polisvoorwaarden erg juridisch zijn. Maar ja, daar ontkom je niet aan.

[Reactie gewijzigd door Lennardnl op 24 juli 2024 11:35]

[Annihilism]

Toch echt zelf meegemaakt dat onze intermediair zelf het verzaakt had om bepaalde voorwaarden te vermelden. Je krijgt als mkb bedrijf te maken met aardig wat verzekeringen maar het is lang niet altijd duidelijk aan welke eisen je moet voldoen. Als ik rechtstreeks mijn verzekeringen afsluit dan moet ik dat inderdaad zelf uitzoeken maar bij een intermediair verwacht je toch echt wat meer service (daar betaal je nota bene extra voor). We zitten inmiddels ook ergens anders (naar volle tevredenheid). Maar dat het onzin is zoals jij zegt ben ik het niet mee eens.

[Lennardnl]

Als je tussenpersoon belangrijke voorwaarden of beperkingen niet meedeelt, is ‘ie fout bezig en kan hij zelfs aansprakelijk zijn voor de daardoor ontstane schade. Dat is immers een van de belangrijkere redenen waarom je een makelaar in de arm neemt.

[ZieMaar!]

Sorry, maar je begrijpt echt onvoldoende hoe verzekeraars geld verdienen. Ook begrijp je onvoldoende hoe collectiviteit en risico’s werken. Dat doet het leuk op een verjaardag maar dat maakt het natuurlijk niet waar (of logisch).

Juist vanuit die collectiviteit zijn eisen logisch: anders betaal jij meer premie omdat je buurman zijn deur niet op slot doet.

[Brousant]

Het is niks anders dan gespreid en vooruit betalen van de eventueel te verwachten schade.

Niet mee eens. Veel verzekeringen gaan over risico's die je redelijkerwijs niet zelf kunt behappen. Denk aan iemand invalide rijden met je auto, in het ziekenhuis moeten worden behandeld voor een ernstige ziekte, of het afbranden van je huis. Of, in deze context, dat je bedrijf failliet gaat als gevolg van een cyberaanval.

[Anoniem: 310408]

Daarnaast: Wij Nederlandsers houden van verzekerkingen. Het is niks anders dan gespreid en vooruit betalen van de eventueel te verwachten schade.

Dus jij hebt geen verzekering tegen brand? Want dat is een sigaar uit eigen doos, nietwaar? Kan je beter betalen als je huis is afgebrand.

[sypie]

Uiteraard heb ik die, omdat mijn vooruitbetaling netjes gespreid gaat op deze manier. Een woning + inboedel ophoesten na een brand gaat niet lukken.

[NLKornolio]

Neem aan dat de verzekering bij het begin al audit doen.
Heb je xp in de omgeving +1000,-
Etc etc

[Jake]

Op BNR hadden ze een mooie analogie: een verzekering tegen snelheids overtredingen, heb je een soort van flat-fee boete .

[CrimsonRider]

Je kan ook gewoon niet te hard te rijden. Een boete is geen 'prijs' die je betaald zodat je te hard 'mag' rijden. Het is een sanctie die wordt opgelegd als straf voor te hard rijden. Als die straf niet werkt, dan is daar iets mis. Ik denk niet dat harder straffen daar werkt, maar wellicht alternatief straffen. Dus, 3 keer te hard gereden, een maand rijontzegging. Maar ja, lastig, want kenteken en niet bestuurder. Wellicht WA verzekering voor kentekens met een historie van te hard rijden hoger maken? Maakt je auto ook minder aantrekkelijk te verkopen.

Ik heb nog software geschreven voor kentekenherkenning voor onder andere dat soort camera's. Op 'verjaardagen' altijd te vraag of ik dan ook iets had gemaakt om er voor te zorgen dat ik zelf geen boetes kreeg. Ik kon altijd vertellen dat ik een zo goed als waterdicht systeem had om te voorkomen dat ik boetes kreeg; "Niet te hard rijden".

Te hard rijden is gewoon zwaar asociaal. Dat je dat op een circuit doet, prima, dan neem je alleen risico met je eigen leven. Maar op de openbare weg, neem je dat risico met de levens van anderen. En nee, je kan niet goed rijden of goed genoeg bepalen dat 'het wel kan' dat ik het acceptabel vind dat je dat risico neemt met mijn welzijn, laat staan met het leven van bijvoorbeeld mijn kinderen.

[CrimsonRider]

Je zegt het zelf al, je rijd 'te' hard. Tijd om beter te leren rijden denk ik

[Argantonis]

Op BNR hadden ze een mooie analogie: een verzekering tegen snelheids overtredingen, heb je een soort van flat-fee boete .

Dat is toch ook precies wat een verzekering is? Een vast bedrag betalen om eventueel in de toekomst geen potentieel veel hoger bedrag te hoeven betalen. Als je eventuele schade gewoon zelf kan betalen dan is het dus ook niet verstandig om je te verzekeren want netto verlies je erop en wint 'het huis'. Ik verzeker me alleen voor verplichte dingen en gezondheidszorg (voor mij niet verplicht want niet woonachtig in NL, maar dat zijn kosten die opeens in de tonnen kunnen lopen en kan ik dus niet zomaar ophoesten)

[Epiphany]

Wat ik mij bij deze verzekeringen afvraag is: gaan bedrijven nu zo’n verzekering aan en doen ze niets meer aan de beveiliging van hun data/netwerk etc? Want het is immers al verzekerd?

En ik ben het eens met scriptkid, dit soort verzekeringen moet je verbieden, het is wegmanagen van verantwoordelijkheden bij het bedrijf door het af te kopen

[Reactie gewijzigd door Epiphany op 24 juli 2024 11:35]

[sheane]

Zodra je dus "niks meer doet" is er geen dekking meer omdat je dan "aantoonbaar niet meer aan de voorwaarden voldoet." En keren ze dus niks uit als dit blijkt uit het onderzoek.

[Reactie gewijzigd door sheane op 24 juli 2024 11:35]

[Epiphany]

Ja in geval van de avg.. maar ransomware etc?

[sheane]

Ook daarvoor kan je bijv. Security baselines vaststellen. Aanwezigheid updates, virusscanners, firewalls, phishing/awareness training etc. Hangt allemaal beetje af van de specifieke voorwaarden

[kodak]

Onderschat niet dat ransomware ook persoonsgegevens onbereikbaar kan maken, waardoor het alsnog meldplichtig is met een kans op een boete onder de AVG.

Er lijken me niet veel situaties waarin een bedrijf niet de nodige maatregelen had moeten treffen om te zorgen voor een goede beveilging van de ICT waar al een kans is op verwerking van persoonsgegevens.

[Reactie gewijzigd door kodak op 24 juli 2024 11:35]

[Sandor_Clegane]

"New revenue generating opportunities"

Het is voor verzekeraars weer een mooie kans om een nieuwe markt aan te boren. Niks nieuws onder de zon.

[Reactie gewijzigd door Sandor_Clegane op 24 juli 2024 11:35]

[Lennardnl]

Is dat raar? Zo werkt het kapitalisme toch eenmaal? Dat is toch de functie van een onderneming?

[Sandor_Clegane]

Ik zeg ook niet dat het raar is, wel dat het nieuws is.

[Not Pingu]

Je verzekeren tegen schade is logisch, maar verzekeren tegen het betalen van dreigsommen is twijfelachtig. Vier jaar geleden werden een aantal Nederlandse bedrijven in dezelfde sector bedreigd met DDoS aanvallen tenzij er 15k in bitcoins betaald zouden worden naar het opgegeven blockchain-adres. Ik werkte destijds bij één van die bedrijven. Volgens de dreigmail zou de afzender weten wie er betaald had. Dat klopte niet want alle bedrijven hadden een mail met hetzelfde blockchain-adres ontvangen. Er was één partij die daadwerkelijk betaald had, maar die werd net zo hard ge-DDoSd als alle anderen. De dreigsom betalen heeft dus lang niet altijd zin.

[MrFax]

Dit soort verzekeringen moeten verboden worden. Het is een wet waar je aan moet houden, daartegen verzekeren zou betekenen dat je al bij voorbaat ervan uitgaat dat het een keer fout gaat. In plaats van de moeite doen om je aan de AVG te houden verzeker je jezelf gewoon.

[Reactie gewijzigd door MrFax op 24 juli 2024 11:35]

[Mik33]

ik lees eigenlijk 'verzekerd voor ondersteuning bij' dan 'verzekerd voor'
Zie ook een paar polisvoorwaarden en dan vnl. 'wat wordt vergoed:

Achmea:
https://www.averoachmea.n...rden-Cyberverzekering.pdf

Allianz:
https://www.allianz.nl/da...520V2%2520Voorwaarden.pdf

[JoebarRC]

4 weken geleden had ik hier samen met een groot aantal collega functionarissen gegevensbescherming een workshop over bij een verzekeraar.
Dat bv AON nu een boete verzekering aanbied, is niet zeker van dat deze later nog in deze vorm bestaat. Om het risico te bepalen, dat is nu eenmaal wat een verzekeraar permanent zal doen, zal de verzekerde moeten aantonen dat zij een beheersbaar risico hebben op deze boete,
In praktijk betekent dat, dat een verzekerde volledig compliant aan de AVG moet zijn voordat zij verzekerd kan worden tegen opgelegde boetes.
Daarmee gaat de verzekeraar eigenlijk op de stoel van de autoriteit persoonsgegevens zitten en daar zijn de meeste verzekeraars nog niet aan toe.
Wanneer het uiteindelijk tot een boete oplegging zal komen en dus een claim op de verzekering zal de verzekeraar onderzoek doen wat het incident is. Wanneer dat incident nalatigheid, pech of een hack is kan het uitgekeerd worden maar als de hack geschaard kan worden onder een aanval zou het onder de ‘war’ clausule kunnen vallen en vervalt de claim.
Kortom, leuk idee maar dit is zo complex en zal zeker de komende jaren aan veranderingen onderhevig zijn.

[wjn]

Zo zegt De Goudse alleen: "Wij vergoeden een boete die als gevolg van een cyberincident is opgelegd door de Autoriteit Persoonsgegevens". De verzekeraar noemt daar ook alleen boetes onder de Wet bescherming persoonsgegevens, de oude privacywet vóór de AVG.

Kans op uitkering is dus 0. En het 'verzekerde' bedrijf maar maandelijks premie betalen.

[Philpend]

Bij elke verzekering die ik heb is een bepaling van kracht dat als de schade mijn eigen schuld is er niet wordt uitgekeerd. Ik verwacht dan ook dat in 99% van de schades de verzekeringsmaatschappij niet zal uitkeren. Prachtig verdienmodel voor de verzekeraar, schijnveiligheid voor degenen die denken verzekerd te zijn.

Wil je als bedrijf ook verzekerd zijn tegen ‘eigen schuld’ dan zal de premie zo torenhoog worden dat er om die reden zal worden afgezien van verzekeren.

Voorbeeld:
AVG boete: die krijg je alleen als je de geldende wetgeving niet naleeft. Had je zelf kunnen voorkomen dus geen uitkering,
Cryptolocker: medewerker heeft vermoedelijk op verkeerde link geklikt, had voorkomen kunnen worden door betere bedrijfspolicy’s op het terrein van mail. Geen uitkering dus.
Als ik een beetje doordenk kan ik er eigenlijk geen een vinden die niet op een of andere manier gepareerd kan worden door de verzekeraar met de mededeling “eigen schuld”. (Of nalatigheid, of onvoldoende voorzorgsmaatregelen of ......)