Hoe beïnvloedt phishing de cyberverzekering van je bedrijf?

Phishing beïnvloedt je cyberverzekering op twee manieren: het bepaalt mede de hoogte van je premie en het bepaalt of een schadeclaim wordt uitbetaald. Verzekeraars beoordelen hoe goed jouw organisatie phishing-aanvallen kan herkennen en tegenhouden. Heb je weinig beveiligingsmaatregelen getroffen, dan betaal je meer premie of krijg je minder dekking. Werd je slachtoffer doordat medewerkers phishing niet herkenden, dan kan de verzekeraar de uitkering weigeren.

Phishing-schade wordt vergoed terwijl de echte kosten al zijn begonnen

Veel bedrijven denken dat een cyberverzekering de schade afdekt zodra er iets misgaat. Maar de werkelijke kosten van een phishing-aanval beginnen lang voordat je een claim indient. Denk aan productiviteitsverlies, herstelwerkzaamheden, reputatieschade en klantverloop. Verzekeraars vergoeden bovendien zelden alle kosten volledig, zeker als blijkt dat basismaatregelen ontbraken. De oplossing: behandel preventie als een investering, niet als een verplichting voor de verzekeraar. Phishing herkennen begint bij training en beleid, niet bij een polis.

Ontbrekende documentatie kost je de schadevergoeding na een aanval

Wanneer een phishing-aanval plaatsvindt, verwacht de verzekeraar bewijs dat je maatregelen had getroffen. Zonder logbestanden, incidentrapportages of aantoonbaar beleid staat je claim zwak. Veel MKB-bedrijven verzamelen die informatie pas nadat het misgaat, en dan is het te laat. Zorg nu al voor gestructureerde logregistratie en een gedocumenteerd beveiligingsbeleid. Dat beschermt je niet alleen bij een claim, maar maakt ook duidelijk waar jouw beveiliging nog verbeterd kan worden.

Wat is phishing en waarom is het een risico voor bedrijven?

Phishing is een aanvalstechniek waarbij criminelen zich voordoen als een betrouwbare partij, zoals een bank, leverancier of collega, om medewerkers te verleiden gevoelige informatie te delen of op een kwaadaardige link te klikken. Het risico voor bedrijven is groot: één geslaagde aanval kan leiden tot datalekken, financiële fraude of volledige systeemcompromittatie.

Phishing herkennen is voor veel medewerkers lastig omdat aanvallen steeds geloofwaardiger worden. Criminelen gebruiken echte bedrijfsnamen, kopieën van bestaande e-mailsjablonen en soms zelfs namen van directe collega’s. Bij zogenoemde spear phishing richt de aanvaller zich specifiek op één persoon binnen jouw organisatie, met informatie die van LinkedIn of andere openbare bronnen afkomstig is.

Uit onderzoek blijkt dat Business Email Compromise, een vorm van phishing waarbij criminelen zich voordoen als leidinggevenden of zakenpartners, bij meer dan de helft van de onderzochte organisaties voorkomt. De financiële gevolgen zijn aanzienlijk: identiteitsgerelateerde aanvallen zoals phishing leiden bij bijna alle getroffen organisaties tot verliezen van honderdduizenden euro’s. Voor een MKB-bedrijf kan dat het verschil betekenen tussen voortbestaan en faillissement.

Wat dekt een cyberverzekering bij een phishing-aanval?

Een cyberverzekering dekt bij een phishing-aanval doorgaans de kosten van crisismanagement, juridisch advies, melding van datalekken aan betrokkenen en toezichthouders, en herstel van systemen. Sommige polissen vergoeden ook bedrijfsonderbreking en eventuele aansprakelijkheidsclaims van gedupeerde klanten. De exacte dekking verschilt per verzekeraar en polis.

Wat veel ondernemers niet weten, is dat de dekking sterk afhankelijk is van de omstandigheden van de aanval. Heeft een medewerker inloggegevens doorgegeven via een phishing-mail, dan valt dat in de meeste gevallen onder de dekking, mits je kunt aantonen dat je redelijke beveiligingsmaatregelen had getroffen. Gaat het om een directe betaling aan criminelen op basis van een nep-factuur, dan spreken we van CEO-fraude of BEC-fraude, en dat valt niet altijd onder dezelfde dekking als een technische cyberaanval.

Lees de polisvoorwaarden goed door op de volgende punten:

• Social engineering-dekking: Vergoedt de polis schade die ontstaat doordat medewerkers worden misleid?
• Betalingsfraude: Is er dekking als geld naar een frauduleuze rekening is overgemaakt?
• Eigen risico: Hoe hoog is het eigen risico bij een phishing-incident?
• Meldplicht: Binnen welke termijn moet je een incident melden om aanspraak te kunnen maken op dekking?

Wanneer vergoedt een cyberverzekering phishing-schade niet?

Een cyberverzekering keert niet uit als blijkt dat je aantoonbaar nalatig was in het nemen van basismaatregelen. Ontbrak er multi-factor authenticatie, was er geen antivirussoftware actief, of hadden medewerkers nooit phishing-training gehad? Dan kan de verzekeraar de claim afwijzen of de vergoeding verlagen op basis van eigen schuld.

Andere veelvoorkomende redenen voor afwijzing zijn:

• Te late melding: De meeste polissen schrijven voor dat je een incident binnen 24 tot 72 uur meldt. Wacht je te lang, dan vervalt je recht op vergoeding.
• Geen bewijs van maatregelen: Als je niet kunt aantonen dat je beveiligingsbeleid had, staat je claim zwak.
• Opzet of grove nalatigheid: Als een medewerker bewust gegevens heeft gedeeld of intern fraude heeft gepleegd, valt dat buiten de dekking.
• Niet-gedekte aanvalstypen: Sommige polissen sluiten specifieke vormen van phishing, zoals CEO-fraude, expliciet uit.

Het is verstandig om jouw polis jaarlijks te laten beoordelen, zeker als je nieuwe medewerkers hebt aangenomen, bent gegroeid of nieuwe systemen gebruikt. Wat vorig jaar voldoende dekking bood, hoeft dit jaar niet meer passend te zijn.

Hoe berekenen verzekeraars het risico van phishing?

Verzekeraars berekenen het phishing-risico op basis van de beveiligingsvolwassenheid van jouw organisatie. Ze kijken naar aanwezige technische maatregelen, bewustzijnstraining voor medewerkers, incidenthistorie en de sector waarin je actief bent. Hoe groter het risico dat jouw medewerkers phishing niet herkennen, hoe hoger de premie of hoe beperkter de dekking.

Bij het aanvragen van een cyberverzekering krijg je doorgaans een vragenlijst voorgelegd. Typische vragen gaan over:

• Gebruik je multi-factor authenticatie (MFA) voor toegang tot systemen en e-mail?
• Voer je regelmatig phishing-simulaties of bewustzijnstraining uit?
• Heb je een gedocumenteerd incidentresponsplan?
• Gebruik je e-mailfiltering en spambeveiliging?
• Hoe ga je om met toegangsbeheer en rechtenstructuren?

Verzekeraars hanteren steeds vaker technische scans om jouw antwoorden te verifiëren. Ze controleren of jouw e-maildomein is beveiligd met protocollen als SPF, DKIM en DMARC, die voorkomen dat criminelen jouw domeinnaam misbruiken voor phishing-mails. Ontbreken deze instellingen, dan zien verzekeraars dat als een concreet risicosignaal.

Welke beveiligingsmaatregelen verlagen je cyberverzekeringspremie?

Maatregelen die verzekeraars het meest waarderen zijn multi-factor authenticatie, aantoonbare phishing-training voor medewerkers, e-mailbeveiliging via SPF/DKIM/DMARC, endpoint-beveiliging en een gedocumenteerd incidentresponsplan. Deze combinatie laat zien dat jouw organisatie phishing actief aanpakt en verkleint het risico voor de verzekeraar.

Concreet kun je de volgende stappen nemen om je risicoprofiel te verbeteren:

1. Activeer MFA op alle accounts: Multi-factor authenticatie voorkomt dat criminelen met gestolen inloggegevens direct toegang krijgen tot jouw systemen. Zelfs als een medewerker zijn wachtwoord deelt via een phishing-mail, hebben criminelen dan nog een tweede factor nodig.
2. Voer regelmatig phishing-simulaties uit: Stuur nep-phishing-mails naar medewerkers en gebruik de resultaten als basis voor gerichte training. Medewerkers die phishing herkennen, vormen een actieve verdedigingslinie.
3. Beveilig je e-maildomein: Stel SPF, DKIM en DMARC in voor jouw domein. Dit voorkomt dat criminelen e-mails sturen die lijken te komen van jouw bedrijfsadres.
4. Gebruik endpoint-beveiliging: Zorg dat alle apparaten zijn voorzien van actuele beveiligingssoftware die verdacht gedrag detecteert en blokkeert.
5. Documenteer je beleid: Schrijf een kort, helder beveiligingsbeleid op en zorg dat medewerkers het kennen. Dit is ook waardevol als bewijs bij een eventuele schadeclaim.

Een wachtwoordmanager zoals Keeper helpt medewerkers sterke, unieke wachtwoorden te gebruiken zonder ze te hoeven onthouden. Gecombineerd met MFA via Cisco Duo verklein je het risico aanzienlijk dat gestolen inloggegevens tot daadwerkelijke schade leiden.

Wat moet je doen direct na een phishing-aanval?

Direct na een phishing-aanval isoleer je het getroffen systeem of account, wijzig je alle relevante wachtwoorden, informeer je de verzekeraar binnen de termijn die de polis voorschrijft en documenteer je alles wat je weet over het incident. Handelen binnen de eerste uren bepaalt hoe groot de schade wordt en of je aanspraak kunt maken op dekking.

Volg deze stappen zo snel mogelijk:

1. Blokkeer de toegang: Deactiveer het getroffen account of verwijder de sessie. Voorkom dat criminelen langer actief kunnen zijn in jouw systemen.
2. Wijzig wachtwoorden: Begin bij het getroffen account, maar controleer ook andere accounts die hetzelfde wachtwoord gebruiken.
3. Meld het intern: Informeer direct de IT-verantwoordelijke en het management. Hoe sneller iedereen weet wat er speelt, hoe sneller er gehandeld kan worden.
4. Documenteer het incident: Noteer wanneer het incident plaatsvond, wie erbij betrokken was, welke systemen zijn geraakt en welke acties al zijn ondernomen. Dit is nodig voor de verzekeraar en eventueel voor de Autoriteit Persoonsgegevens.
5. Beoordeel de meldplicht: Als er persoonsgegevens zijn gelekt, ben je in veel gevallen verplicht dit binnen 72 uur te melden bij de Autoriteit Persoonsgegevens. Controleer of dit van toepassing is.
6. Neem contact op met de verzekeraar: Meld het incident binnen de termijn die in de polis staat. Wacht niet tot de volledige omvang van de schade duidelijk is.

Na het acute herstel is het slim om te analyseren hoe de aanval kon slagen. Welke medewerker is misleid? Via welk kanaal? Welke maatregel had dit kunnen voorkomen? Die analyse geeft je concrete verbeterpunten en versterkt jouw positie bij de volgende polisverlenging.

Hoe kies je de juiste cyberverzekering voor phishing-risico’s?

De juiste cyberverzekering voor phishing-risico’s dekt niet alleen technische schade, maar ook social engineering-fraude, bedrijfsonderbreking en de kosten van crisismanagement. Vergelijk polissen op dekkingsomvang, eigen risico, uitsluitingen en de eisen die verzekeraars stellen aan jouw beveiligingsmaatregelen.

Let bij het vergelijken van polissen op deze specifieke punten:

• Social engineering-dekking: Niet elke polis vergoedt schade die ontstaat doordat medewerkers worden misleid. Controleer of dit expliciet is opgenomen.
• BEC en betalingsfraude: CEO-fraude en nep-facturen vallen soms buiten de standaarddekking. Vraag hier specifiek naar.
• Incidentrespons-ondersteuning: Sommige verzekeraars bieden directe toegang tot een crisisteam dat jou helpt bij het indammen van de schade. Dat is meer waard dan alleen een financiële vergoeding achteraf.
• Eisen aan beveiliging: Welke maatregelen vereist de verzekeraar om aanspraak te kunnen maken op dekking? Zijn die haalbaar voor jouw organisatie?
• Premie versus eigen risico: Een lage premie met een hoog eigen risico kan duurder uitpakken dan een hogere premie met beperkt eigen risico.

Betrek bij de keuze ook een IT-partner die jouw beveiligingsniveau objectief kan beoordelen. Een verzekeraar beoordeelt risico’s op papier, maar een IT-partner ziet wat er in de praktijk ontbreekt. Die combinatie geeft je het beste inzicht in wat je nodig hebt en wat realistisch is voor jouw organisatie.

Hoe NTNT helpt bij phishing-bescherming en cyberverzekering

Een cyberverzekering is pas waardevol als jouw beveiliging aansluit op wat de verzekeraar verwacht. Wij helpen MKB-bedrijven om die basis op orde te krijgen: concreet, stap voor stap, zonder dikke rapporten. Zo sta je sterker bij een claim en betaal je minder premie.

Wat we voor je doen:

• Phishing-training en bewustwording: We trainen jouw medewerkers om phishing te herkennen, met simulaties en praktische tips die blijven hangen.
• MFA-implementatie via Cisco Duo: We activeren multi-factor authenticatie op alle relevante accounts, zodat gestolen wachtwoorden niet direct tot schade leiden.
• E-mailbeveiliging: We stellen SPF, DKIM en DMARC in voor jouw domein en zorgen voor actieve spamfiltering.
• Endpoint-beveiliging via Huntress: We bewaken jouw systemen continu op verdacht gedrag en reageren snel als er iets misgaat.
• Documentatie en beleid: We helpen je een helder beveiligingsbeleid op te stellen dat ook bij een schadeclaim als bewijs dient.
• Cyber Security Quickscan: Binnen één werkdag geven we je een helder beeld van jouw beveiligingsniveau, met concrete prioriteiten om direct actie op te nemen.

Wil je weten waar jouw organisatie nu staat? Vraag de gratis Cyber Security Quickscan aan via www.ntnt.nl of neem direct contact op via info-msp@ntnt.nl. Samen brengen we rust in jouw digitale wereld.