Kernpunt: NIS2 en cyberverzekering zijn nu met elkaar verweven. Verzekeraars gebruiken NIS2 maatregelen als graadmeter voor risico, en polissen bevatten steeds vaker warranties die aan die maatregelen gekoppeld zijn. Organisaties die NIS2 goed op orde hebben, krijgen betere dekking tegen betere prijzen. Organisaties die dat niet hebben, ontdekken vaak pas op het moment van een claim dat de polis smaller is dan gedacht.
Verzekeraars eisen in 2026 dat je NIS2-maatregelen aantoonbaar draaien voordat ze dekking geven, met MFA-dekking op alle bevoorrechte accounts als eerste punt op vrijwel elke acceptatievragenlijst, en ze koppelen daar warranties in de polis aan. Tussen 2022 en 2024 verhardde de Europese cyberverzekeringsmarkt sterk. Premies stegen, capaciteit kromp, en acceptatievragenlijsten verdubbelden in lengte. Gedurende 2025 en in 2026 is de markt gestabiliseerd, maar de vorm van het product is veranderd. Een groot deel van die verandering volgt de komst van NIS2 en de eerste handhavingsacties.
Dit artikel behandelt vier vragen in de diepte. Wat verandert NIS2 daadwerkelijk aan acceptatie? Wat controleren verzekeraars in 2026? Welke uitsluitingen verschijnen in huidige polissen die er twee jaar geleden nog niet waren? En hoe houd je een polis uitkeerbaar na een significant incident?
Wat verandert NIS2 voor verzekeraars?
Cyberverzekering is altijd een lastige productlijn geweest. Verliezen zijn gecorreleerd (één ransomware-variant kan honderden klanten tegelijk raken), data is ruizig, en het dreigingslandschap beweegt sneller dan elk actuarieel model. NIS2 helpt verzekeraars op drie specifieke manieren, en dwingt hen op nog een vierde vlak tot actie.
- Een geharmoniseerde minimale beveiligingsbasis. Artikel 21 geeft verzekeraars een gedeelde lijst van 10 beheersgebieden om tegen te accepteren. Dit vervangt een lappendeken van nationale regels en interne beveiligingsvragenlijsten door een gedeelde referentie.
- Verplichte transparantie over incidenten. Incidentmeldingen onder artikel 23 voeden een regulatoire dataset. Geaggregeerde, geanonimiseerde data uit deze set bereikt inmiddels actuarissen en verscherpt nu al de verliesmodellen.
- Persoonlijke aansprakelijkheid van bestuurders. Artikel 20 verandert hoe de directors and officers (D&O) dekking samenhangt met cyberdekking. Een NIS2 tekortkoming is nu zowel een persoonlijk risico als een bedrijfsrisico, en D&O verzekeraars hebben gereageerd met nieuwe vragen en uitsluitingen.
- Nieuw risico: bestuurlijke boetes. Verzekeraars moeten reageren op een nieuw, groot, niet-verzekerbaar risico. De meeste polissen van 2026 maken dit expliciet in plaats van het onduidelijk te laten.
Wat controleren verzekeraars in 2026?
De cyberverzekeringsvragenlijst van 2026 lijkt steeds meer op een verkorte beoordeling volgens artikel 21 van NIS2. Bij de grote Europese verzekeraars komen drie punten op elk formulier voor en wegen ze het zwaarst mee in prijs- en capaciteitsbeslissingen.
1. Dekking van meervoudige authenticatie (MFA)
Percentage gebruikers met MFA, uitgesplitst naar extern toegankelijke, bevoorrechte, en accounts van derden. Verzekeraars eisen voor bevoorrechte toegang vaak phishing-bestendige MFA. Onjuiste opgave hierover is de meest voorkomende reden voor een dekkingsgeschil op het moment van een claim.
2. Back-ups: offline, onveranderbaar, getest
Verzekeraars willen minimaal één back-upkopie zien die offline of onveranderbaar is, plus gedocumenteerde restore-tests van de afgelopen 12 maanden. Een back-uparchitectuur die volledig online en bereikbaar is vanuit productie geldt inmiddels als een negatief punt in de meeste vragenlijsten.
3. Getest incidentresponsplan
Een schriftelijk incidentresponsplan en bewijs van een tabletop- of live-oefening in de afgelopen 12 maanden. Verzekeraars vragen steeds vaker om het oefenrapport zelf, niet alleen een bevestiging dat de oefening plaatsvond. Het vermogen om dit aan te tonen hangt direct samen met de meldingsverplichtingen van 24 en 72 uur onder NIS2.
Vragen van de tweede orde die ook meetellen
Dekking van endpoint detection and response (EDR) over het hele park. E-mailbeveiliging en anti-phishing maatregelen. Patchfrequentie en uitzonderingen. Tiering van leveranciers en een lijst van de top 10 kritieke leveranciers. Cybersecuritytraining op bestuursniveau onder artikel 20. Dataclassificatie en de locatie van de kroonjuweeldata.
Wat sluiten polissen van 2026 uit?
De dekkingsformuleringen zijn marktbreed aangescherpt. Dit zijn de uitsluitingen die het vaakst voorkomen in een polis van 2026, maar die in 2023 nog geen standaard waren.
- Bestuurlijke boetes. Bestuurlijke boetes onder NIS2, de AVG en sectorale regelgeving zijn doorgaans uitgesloten. Juridische verdedigingskosten en bijbehorende meldings- en herstelkosten zijn vaak nog wel gedekt, maar de boete zelf niet.
- Oorlog en door staten gesponsorde aanvallen. Na het Lloyd's marktbulletin van 2023 bevatten de meeste polissen nu een uitsluiting voor oorlog en door staten gesteunde cyberaanvallen. De precieze formulering verschilt en is een onderhandelingspunt, met name voor entiteiten in geopolitiek gevoelige sectoren.
- Uitval op infrastructuurniveau. Sommige polissen sluiten verliezen uit door wijdverbreide uitval bij hyperscale cloudproviders. Dit verscheen na de uitval in 2024 en 2025 die gecorreleerde claims veroorzaakte. De formulering draait vaak om wat telt als 'wijdverbreid'.
- Het niet patchen van benoemde kwetsbaarheden. Polissen kunnen eisen dat de verzekerde kritieke kwetsbaarheden binnen een gestelde termijn patcht (vaak 14 tot 30 dagen) na openbare bekendmaking. Een inbraak via een niet-gepatchte, met naam genoemde CVE kan worden afgewezen.
- Schending van gestelde beveiligingswarranties. Polissen sommen steeds vaker gewaarborgde maatregelen op (MFA op extern toegankelijke accounts, dekkingspercentage EDR, back-upstatus). Als een gewaarborgde maatregel op het moment van het incident niet op orde is, kan de dekking worden verminderd of ongeldig verklaard.
Lees eerst het warranty-schema: In polissen van 2026 is het warranty-schema vaak belangrijker dan de dekkingssectie. Een warranty die stelt dat MFA 100% van de extern toegankelijke accounts dekt, terwijl de dekking in werkelijkheid 92% is, betekent dat de verzekeraar de claim kan afwijzen. De dekkingssectie oogt ruim; de warranties maken die voorwaardelijk.
Hoe houd je een polis uitkeerbaar na een incident?
De wisselwerking tussen NIS2 verplichtingen en cyberverzekering wordt werkelijkheid op het slechtst denkbare moment: tijdens de respons op een significant incident. Vier praktische punten zijn van belang.
- Meld het vroegtijdig bij de verzekeraar. De meeste polissen vereisen melding binnen een korte termijn (vaak 24 tot 72 uur) nadat je een claimbare gebeurtenis ontdekt. Late melding is een veelvoorkomende afwijzingsgrond. Parallel aan de vroegtijdige waarschuwing van 24 uur onder NIS2 geldt meestal een vergelijkbare termijn bij je verzekeraar.
- Gebruik het panel van dienstverleners. Polissen eisen vaak het gebruik van incident response bureaus, forensische dienstverleners en juridische adviseurs uit een panel. Je eigen voorkeursleverancier bellen zonder goedkeuring kan ertoe leiden dat die kosten worden afgewezen. Het incidentresponsplan moet zowel de contacten bij de toezichthouder als het panel van de verzekeraar vermelden.
- Neem geen losgeldbeslissingen op eigen houtje. Dekking voor losgeldbetalingen is nu smal en wordt steeds vaker uitgesloten. Als er dekking bestaat, vereist die vaak voorafgaande toestemming van de verzekeraar en een sanctiescreening. Eerst betalen en later claimen werkt vrijwel nooit.
- Documenteer alles. Hetzelfde bewijsspoor dat voldoet aan de effectiviteitsbeoordeling van artikel 21, voldoet ook aan de evaluatie die de verzekeraar na een incident uitvoert. Actuele logs, tijdlijnen en beslisdocumentatie verkorten de claimcyclus aanzienlijk.
Checklist voor de verlenging
Gebruik deze checklist voor je volgende verlengingscyclus. Elk punt verbetert de premie, de capaciteit, of de betrouwbaarheid van de dekking op het moment van een claim.
Checklist voor de verlenging
- Een MFA-dekkingsrapport dat je bij de vragenlijst kunt voegen, met de uitzonderingenlijst.
- Het meest recente restore-testrapport, bij voorkeur met gedocumenteerde offline of onveranderbare back-uparchitectuur.
- Rapport van een tabletop-oefening uit de afgelopen 12 maanden.
- EDR-dekkingscijfers, inclusief servers, endpoints, en eventuele OT- of IoT-scope die van toepassing is.
- Trainingsdossier op bestuursniveau onder artikel 20.
- Leveranciersregister met tiering en een shortlist van de top 10 kritieke leveranciers.
- Patchcijfers tegen een afgesproken SLA, met gedocumenteerd uitzonderingsproces.
- Warranty-schema van de laatste polis, met een schriftelijke beoordeling of elke warranty vandaag nog wordt nageleefd.
Hoe D&O en cyberpolissen nu op elkaar inwerken
Artikel 20 creëert een persoonlijk risico voor bestuurders. De meeste D&O polissen dekken toezichtsonderzoeken en verdedigingskosten, maar een groeiend aantal heeft nu NIS2-specifieke uitsluitingen. Twee punten om met de D&O broker te bespreken bij verlenging.
Ten eerste, is verdediging tegen toezichtsacties expliciet gedekt voor NIS2, inclusief acties tegen met naam genoemde individuen? Ten tweede, is er een uitsluiting voor 'bekende eerdere tekortkomingen'? Als de entiteit een waarschuwingsbrief van een toezichthouder heeft ontvangen en niet heeft hersteld, kunnen daaropvolgende verdedigingskosten worden afgewezen. Voortgang houden in NIS2-herstel is daarom net zo goed een D&O kwestie als een cyberkwestie.
Veelgestelde vragen
Vereist NIS2 een cyberverzekering?
Nee. NIS2 verplicht geen cyberverzekering. Het vereist wel risicobeheer, incidentafhandeling en bedrijfscontinuïteit onder artikel 21, en verzekering is één beheersmaatregel die kan worden ingezet om restrisico over te dragen nadat die maatregelen op orde zijn en aangetoond kunnen worden.
Zijn bestuurlijke boetes onder NIS2 verzekerbaar?
Bestuurlijke boetes opgelegd onder NIS2 zijn over het algemeen niet verzekerbaar onder EU-recht, en de meeste cyberpolissen van 2026 sluiten ze expliciet uit. Juridische verdedigingskosten rond toezichtsprocedures zijn doorgaans wel gedekt, net als meldingskosten en forensisch herstel.
Wat controleren cyberverzekeraars in 2026 als eerste?
De drie punten op elke vragenlijst van 2026 zijn MFA-dekking op alle bevoorrechte en extern toegankelijke accounts, de aanwezigheid van geteste offline of onveranderbare back-ups, en bewijs van een incidentresponsplan dat in de afgelopen 12 maanden is geoefend. Ontbreekt een van deze, dan leidt dat doorgaans tot een afgewezen offerte.
Kan een polis ongeldig worden als ik niet aan mijn NIS2 verplichtingen heb voldaan?
Ja, op twee manieren. Ten eerste kan onjuiste opgave bij de aanvraag, bijvoorbeeld het overdrijven van MFA-dekking, de polis ongeldig maken. Ten tweede voegen meerdere polissen van 2026 warranties toe die de verzekerde verplichten specifieke maatregelen te handhaven; een schending van een warranty kan de dekking op het moment van een claim verminderen of tenietdoen.
Dekt D&O verzekering nog steeds NIS2-gerelateerde bestuurdersaansprakelijkheid?
D&O polissen dekken nog steeds claims wegens vermeende plichtsverzuim door bestuurders, wat de meest waarschijnlijke route is voor persoonlijke NIS2 aansprakelijkheid. Persoonlijke bestuurlijke boetes opgelegd onder nationale NIS2-implementaties zijn echter vaak uitgesloten. Bekijk voor verlenging de definitie van schade en de regulatoire uitsluitingen samen met de broker.
Wat is het verschil tussen first-party en third-party cyberdekking onder NIS2?
First-party dekt de eigen schade van de verzekerde: forensische kosten, bedrijfsonderbreking, losgeldbetalingen waar wettelijk toegestaan, herstel van data. Third-party dekt aansprakelijkheid jegens anderen: verdediging tegen de toezichthouder, class actions van klanten, aansprakelijkheid jegens getroffen leveranciers. Een NIS2-klaar programma heeft beide nodig, omdat meldingen onder artikel 23 vervolgclaims van derden kunnen uitlokken.
Zijn losgeldbetalingen nog steeds verzekerbaar onder EU cyberpolissen?
Dekking bestaat nog bij de meeste EU cyberpolissen, maar met strengere voorwaarden in 2026: voorafgaande toestemming van de verzekeraar, OFAC- en EU-sanctiescreening, en verplicht gebruik van een goedgekeurde onderhandelaar. Betalingen aan gesanctioneerde entiteiten zijn onverzekerbaar en illegaal. Verzekeraars eisen ook bewijs dat het ontsleutelingspad de enige haalbare herstelroute was.
Bereid je je voor op een cyberverlenging met een NIS2 entiteit binnen scope?
Wij helpen organisaties het bewijs van beheersmaatregelen op te bouwen dat cyberverzekeraars nu verwachten, afgestemd op artikel 21 zodat hetzelfde dossier ook dienst doet bij toezicht. Snellere verlengingen, minder verrassingen rond warranties, schonere claims.
Boek een renewal readiness review