De Franse markt voor cyberverzekeringen vertoont een zelden besproken paradox: de premies dalen terwijl de schades exploderen. De LUCY 2025-studie van de AMRAE, gebaseerd op meer dan 20.000 polissen, onthult dat de vergoede schades zijn gestegen van 54,5 miljoen euro naar 83,2 miljoen euro in één jaar, wat een stijging van 53 % betekent.
In dezelfde periode zijn de premies voor grote bedrijven gemiddeld met 32 % gedaald. Dit verschil tussen de werkelijke kosten van aanvallen en de prijs van de dekking stelt een directe vraag aan elk bedrijf: wat is uw cyberverzekeringscontract vandaag de dag werkelijk waard?
Ook interessant : De beste oplossingen voor het financieren van een opleiding wanneer je in vaste dienst bent
Daling van premies en stijging van schades: wat de soft market verandert voor KMO’s
De term “soft market” verwijst naar een fase waarin de concurrentie tussen verzekeraars de tarieven naar beneden drijft en de aangeboden garanties uitbreidt. Liberty Specialty Markets bevestigt deze trend op Europees niveau, ondanks hoge verliezen en risico’s die zijn vergroot door kunstmatige intelligentie.
Voor een KMO lijkt deze situatie gunstig: toegang tot cyberdekking kost minder dan twee jaar geleden. Aan de andere kant weerspiegelt deze daling van de premies geen vermindering van het risico. Het weerspiegelt een commerciële honger van verzekeraars die abrupt kan omslaan als de schadelast blijft stijgen.
Het concrete gevaar voor bedrijven die nu een verzekering afsluiten, is dat ze bij de verlenging worden geconfronteerd met plotselinge prijsstijgingen of uitsluitingen van dekking die tijdens de looptijd van het contract worden toegevoegd. Een contract dat in een soft market is ondertekend, verplicht de verzekeraar niet om zijn voorwaarden te handhaven. Voordat u ondertekent, moet u de verlengingsclausules en de mechanismen voor prijsherziening bekijken, niet alleen het bedrag van de initiële premie.
Om de cyberrisicoverzekering in zijn fundamentele mechanismen te begrijpen, moet men eerst beseffen dat de prijs van een polis niets zegt over de kwaliteit van de geboden bescherming.
Onderverzekering cyber: het echte probleem van Franse bedrijven
Het 2025-onderzoek van de Zwitserse verzekeringsvereniging onthult een opvallend cijfer: slechts 10,8 % van de bedrijven heeft een cyberverzekering, ondanks een stijging van 22 % van de verzamelde premies in 2024. De beschikbare Franse gegevens suggereren een vergelijkbare situatie, zelfs meer uitgesproken voor micro- en kleine bedrijven.
Onderverzekering beperkt zich niet tot de totale afwezigheid van een contract. Het betreft ook bedrijven die een polis hebben waarvan de dekkingslimieten niet in verhouding staan tot hun werkelijke blootstelling. Een bedrijf dat de persoonlijke gegevens van duizenden klanten opslaat, maar waarvan de dekking beperkt is tot enkele tienduizenden euro’s aan meldingskosten, komt in de problemen bij het eerste ernstige incident.
Drie waarschuwingssignalen van een ongeschikte dekking
- Het contract vermeldt niet expliciet de dekking van crisisbeheersingskosten (communicatie, forensisch onderzoek, juridische bijstand), die vaak het grootste deel van een cyberincident uitmaken.
- De gegevens die bij een cloudprovider zijn ondergebracht, zijn niet gedekt, of zijn alleen gedekt als de provider specifiek in de polis is genoemd, wat elke wijziging van leverancier tijdens de looptijd van het contract uitsluit.
- De schadeaangifteclausule legt een zeer korte termijn op (soms 48 uur), terwijl de detectie van een inbraak gemiddeld enkele weken duurt.
IT-outsourcing vergroot de onderverzekering: wanneer een deel van het informatiesysteem door een derde wordt beheerd, wordt de grens tussen wat gedekt is en wat niet gedekt is, vaag. Het controleren van deze articulatie in het contract is een vereiste, geen optie.
Directive NIS 2 en cyberverzekering: een lopende regelgevingconvergentie
De omzetting van de Europese richtlijn NIS 2 verandert het aansprakelijkheidskader voor leidinggevenden op het gebied van cyberbeveiliging. De betrokken bedrijven (en dat zijn er veel meer dan onder NIS 1, aangezien de reikwijdte wordt uitgebreid naar middelgrote bedrijven en bepaalde kritieke leveranciers) moeten aantonen dat ze proportionele maatregelen voor risicobeheer hebben genomen.
In deze context verschuift de cyberverzekering geleidelijk van de status van optionele garantie naar die van commerciële vereiste. Sommige opdrachtgevers beginnen hun aanbestedingen te koppelen aan de presentatie van een bewijs van cyberdekking. Niet verzekerd zijn kan een commerciële belemmering worden voordat het zelfs maar een financieel risico is.
De ervaringen uit de praktijk verschillen op dit punt: niet alle sectoren hebben deze eis al geïntegreerd, en de volwassenheid varieert sterk tussen de sectoren. De Kamer van Koophandel van Hauts-de-France nodigt bedrijven bijvoorbeeld al uit om deze verplichtingen te anticiperen. Andere regio’s blijven achter.
Aansprakelijkheid van de leidinggevende en aansprakelijkheidsverzekering
NIS 2 introduceert de mogelijkheid van persoonlijke sancties voor leidinggevenden in geval van schending van de verplichtingen op het gebied van cyberbeveiliging. Deze aansprakelijkheid is niet altijd gedekt door een klassieke cyberverzekering. Het valt eerder onder de D&O-verzekering (Directors and Officers), een afzonderlijk contract waarvan de interacties met de cyberpolis moeten worden gecontroleerd.
De articulatie tussen cyberverzekering en D&O-verzekering is een vaak over het hoofd gezien aspect in de bescherming van middelgrote bedrijven.
Een cyberpolis lezen: de clausules die de echte dekking bepalen
Naast het bedrag van de premie en de totale limiet, zijn er drie contractuele elementen die de werkelijke bruikbaarheid van een cyberverzekering in geval van een incident bepalen.
- De reikwijdte van de gedekte gegevens: sommige polissen sluiten niet-geëncrypteerde gegevens uit, of gegevens die zijn opgeslagen op persoonlijke apparaten (BYOD), wat de reikwijdte van de dekking aanzienlijk vermindert.
- De definitie van de triggerende gebeurtenis: is een ransomware die gedetecteerd maar niet geactiveerd is een declareerbare schade? Het antwoord varieert van de ene verzekeraar tot de andere en bepaalt de activering van de dekking.
- De preventieve verplichtingen die aan de verzekerde zijn opgelegd: sommige polissen voorzien in een verval van dekking als het bedrijf zijn beveiligingspatches niet up-to-date heeft gehouden of als het in de afgelopen twaalf maanden geen audit heeft uitgevoerd.
Deze technische clausules staan niet altijd in de commerciële documentatie. Ze bevinden zich in de bijzondere voorwaarden, soms in bijlagen. Een cybercontract lees je van achter naar voren, beginnend met de uitsluitingen.
De markt voor cyberverzekeringen evolueert snel, gedreven door tegenstrijdige dynamieken: daling van de prijzen, stijging van de schades, verstrenging van de regelgeving. Een bedrijf dat een verzekering afsluit zonder deze drie dimensies (tarief, werkelijke dekking, wettelijke verplichtingen) te analyseren, loopt het risico te betalen voor een bescherming die niet in werking treedt op het kritieke moment.