Cyberverzekering eigen risico: wat betaal je zelf bij een incident?

Het eigen risico bij een cyberverzekering is het bedrag of de wachttijd die je als ondernemer zelf draagt bij een cyberincident, voordat de verzekeraar uitkeert. Dat klinkt eenvoudig, maar in de praktijk bepaalt dit precies hoeveel cash je direct nodig hebt op het moment dat je bedrijf plat ligt.

Er zijn twee vormen. Bij de eerste betaal je een vast bedrag per incident, dat van de totale schade wordt afgetrokken, zonder dat specifieke bedragen worden genoemd. Bij de tweede geldt een wachttermijn in uren voor bedrijfsschade of omzetverlies: schade die valt binnen een aantal uren na een incident, blijft volledig voor jouw rekening. Beide vormen kunnen in één polis gecombineerd voorkomen.

Voor MKB-ondernemers is dit geen detail. Een wachttermijn van één dag bij een ransomware-aanval kan al snel neerkomen op een aanzienlijk bedrag aan gederfde omzet die je zelf opvangt. Dat raakt je cashflow direct, juist op het moment dat je ook herstelkosten maakt.

Kort oordeel: Vraag bij elke offerte expliciet naar het eigen risico per incident én de wachttermijn voor bedrijfsschade. Dat zijn de twee getallen die bepalen wat een incident je netto kost.

Belangrijkste inzichten

Het eigen risico bij een cyberverzekering bestaat uit een vast bedrag per incident of een wachttermijn in uren voor bedrijfsschade, en beide bepalen direct hoeveel cash je zelf nodig hebt op het moment van een cyberincident.

Inhoudsopgave

• Wat valt er precies onder het eigen risico in een cyberpolis?
• Eigen risico versus wachttermijn: wat is het verschil en waarom doet het ertoe?
• Welke eigen risico’s komen voor in Nederland: rekenvoorbeelden voor MKB
• Hoe beïnvloedt het eigen risico je premie, en wanneer kies je hoog of laag?
• Welke clausules moet je controleren in je cyberpolis?
• Welke vragen stel je aan je tussenpersoon over eigen risico en dekking?
• Hoe helpt Zakelijkverzekeren bij het beoordelen van eigen risico’s?
• Zakelijkverzekeren regelt je polischeck en onderhandelt over je eigen risico
• Bronnen
• Veelgestelde vragen

Wat valt er precies onder het eigen risico in een cyberpolis?

Niet elke polis hanteert dezelfde definitie, en dat is een serieus risico. De markt voor cyberverzekeringen is relatief jong, waardoor voorwaarden en definities sterk per verzekeraar verschillen. Wat bij de ene polis onder het eigen risico valt, is bij de andere een aparte uitsluiting.

Doorgaans vallen de volgende kostenposten onder het eigen risico:

• Forensisch onderzoek om de oorzaak van een aanval te achterhalen
• Herstelkosten voor systemen, data en software
• Eerste uren van bedrijfsschade of omzetverlies (bij wachttermijn)
• Kosten voor crisismanagement en eerste juridische bijstand

Sommige posten worden juist apart behandeld of zijn uitgesloten van het eigen risico:

• Losgeld bij ransomware: dit heeft soms een eigen sublimiet of aparte clausule
• Reputatieschade: zelden gedekt, en als het al gedekt is, gelden aparte limieten
• Derdenaansprakelijkheid: valt onder een eigen dekking met eigen limieten; zie ook de bedrijfsaansprakelijkheidsverzekering voor overlap
• Juridische kosten: soms apart sublimiet, soms onderdeel van de hoofddekking

Polisterminologie om letterlijk op te zoeken in je polis: per incident, per verzekeringsjaar, wachttermijn, sublimiet, cumulerend eigen risico. Die termen staan bijna altijd in de sectie “Eigen risico en limieten” of “Bijzondere voorwaarden”.

Pro-tip: Zoek in de pdf van je polis op “eigen risico” en lees de volledige zin inclusief de bijbehorende tabel. De zin die begint met “Het eigen risico bedraagt…” of “Voor schade aan bedrijfsschade geldt een wachttermijn van…” vertelt je precies wat je zelf draagt.

Eigen risico versus wachttermijn: wat is het verschil en waarom doet het ertoe?

Dit onderscheid wordt in de praktijk het meest onderschat. Een vast eigen risico werkt als een drempel: de verzekeraar betaalt alles boven dat bedrag. Een wachttermijn werkt anders. Schade die valt binnen de eerste X uur na het begin van een incident, wordt simpelweg niet vergoed, ongeacht hoe hoog die schade is.

Stel dat je webwinkel door een DDoS-aanval 10 uur offline is. Je polis heeft een wachttermijn van 8 uur voor bedrijfsschade. De eerste 8 uur omzetverlies zijn volledig voor eigen rekening. Pas de schade van uur 9 en 10 wordt vergoed. Bij een omzet van € 500 per uur betekent dat € 4.000 eigen risico, ook al staat er nergens een bedrag in de polis.

Vergelijk dat met een ransomware-aanval waarbij je systemen 4 dagen versleuteld zijn. Hier speelt de wachttermijn een kleinere rol, maar het vaste eigen risico per incident telt zwaarder mee bij de herstelkosten.

Praktische verschillen op een rij:

• Een vast bedrag is voorspelbaar en eenvoudig te reserveren
• Een wachttermijn is variabel en hangt af van hoe lang het incident duurt
• Beide kunnen in één polis gecombineerd zijn voor verschillende schadeposten
• Bij een wachttermijn telt de snelheid van je eigen response direct mee voor de schade

Sommige polissen laten het eigen risico gedeeltelijk vervallen als je binnen een bepaald aantal uren de verzekeraar of hun servicedesk bereikt. Centraal Beheer hanteert voor bedrijfsschade een wachttermijn in uren die ingaat op het moment van de verstoring. Controleer in je eigen polis of er een “first response”-clausule staat die dit eigen risico beperkt of opheft bij tijdige melding.

Welke eigen risico’s komen voor in Nederland: rekenvoorbeelden voor MKB

Concrete bedragen zijn in de Nederlandse markt niet uniform, maar de volgende ranges geven een realistisch beeld voor kleine en middelgrote bedrijven. Sommige polissen hanteren zelfs helemaal geen eigen risico op bepaalde onderdelen: Univé vermeldt expliciet dat voor hun cyberpolis geen eigen risico geldt, met limieten tot € 5.000 voor schade aan eigen apparaten en tot € 2.500.000 voor aansprakelijkheid.

Rekenvoorbeeld 1: kleine hack
Een webshop wordt gehackt. Klantgegevens zijn gelekt. Forensisch onderzoek kost € 3.000, herstel van de website € 1.500. Totale schade: € 4.500. Eigen risico per incident wordt vastgesteld door de polis en kan variëren. Netto uitkering: € 3.500.

Rekenvoorbeeld 2: ransomware met bedrijfsschade
Een transportbedrijf ligt 3 dagen plat door ransomware. Herstelkosten en omzetverlies worden door de polis gedekt met een eigen risico dat kan bestaan uit een wachttermijn in uren en een vast eigen risico; de exacte bedragen verschillen per situatie. Netto uitkering: € 7.900.

Gebruik deze voorbeelden als oriëntatie. Polissen verschillen, en een Business Continuity-analyse helpt je bepalen welke uitvalduur je bedrijf financieel aankan.

Hoe beïnvloedt het eigen risico je premie, en wanneer kies je hoog of laag?

Een hoger eigen risico verlaagt je premie, maar vergroot je financiële blootstelling bij een incident. Dat is de kern van de afweging. De AFM adviseert nadrukkelijk om verder te kijken dan alleen de premie: een lage premie met een hoog eigen risico kan bij een groot incident disproportioneel hard aankomen.

Factoren die de keuze bepalen:

• Omzetgrootte en cashreserve: kun je een eigen bijdrage van € 5.000 of meer direct opvangen zonder betalingsproblemen?
• Afhankelijkheid van digitale systemen: een webwinkel of IT-dienstverlener heeft veel meer te verliezen bij uitval dan een bedrijf met beperkte online activiteit
• Sectorrisico: transport met telematicasystemen, zorg met patiëntdata en e-commerce lopen structureel meer cyberrisico
• Bestaande beveiligingsmaatregelen: sterke beveiliging rechtvaardigt een hoger eigen risico omdat de kans op een incident kleiner is

Wanneer een lager eigen risico verstandig is:

1. Je cashreserve is beperkt (minder dan 3 maanden bedrijfskosten)
2. Je bent sterk afhankelijk van digitale systemen voor dagelijkse omzet
3. Je sector heeft een verhoogd risicoprofiel (e-commerce, zorg, IT)
4. Je hebt nog geen volledig incident response plan

Wanneer een hoger eigen risico acceptabel is:

1. Je hebt een solide cashreserve en kunt een incident financieel opvangen
2. Je hebt aantoonbaar sterke beveiligingsmaatregelen (MFA, back-ups, patchbeleid)
3. Je digitale activiteit is beperkt en herstel is snel te realiseren
4. Je wilt de premie structureel verlagen en accepteert het resterende risico bewust

Welke clausules moet je controleren in je cyberpolis?

Een polis doorlezen kost tijd, maar je hoeft niet alles te lezen. Zoek gericht op de volgende termen en clausules:

Stap 1: Zoek op “eigen risico” en noteer het bedrag, of het per incident of per jaar geldt, en welke schadeposten eronder vallen.

Stap 2: Zoek op “wachttermijn” of “wachttijd”. Noteer het aantal uren en voor welke schadepost (bedrijfsschade, omzetverlies).

Stap 3: Zoek op “sublimiet”. Sommige posten zoals losgeld of reputatieschade hebben een eigen maximumdekking die lager ligt dan het totale verzekerde bedrag.

Stap 4: Zoek op “per incident” én “per verzekeringsjaar”. Als het eigen risico per jaar geldt, telt het cumulatief op bij meerdere claims.

Stap 5: Zoek op “first response” of “eerste melding”. Staat er dat het eigen risico vervalt of vermindert bij melding binnen X uur? Noteer die termijn.

Waarschuwingen:

• Cumulatie: meerdere kleine incidenten in één jaar kunnen het jaarlijkse eigen risico snel opgebruiken
• Polisafloop: bij verlenging kunnen wachttijden en sublimieten stilzwijgend worden aangepast
• Uitsluitingen: controleer of phishing, menselijke fouten of BYOD-apparaten expliciet zijn uitgesloten

Leg je bevindingen vast in een kort overzicht met de exacte poliszinnen en neem dat mee naar je adviseur. Dat bespaart tijd en maakt het gesprek concreet.

Welke vragen stel je aan je tussenpersoon over eigen risico en dekking?

Een goed gesprek met je adviseur begint met de juiste vragen. Volg dit stappenplan:

1. Risicoscan uitvoeren: laat een cyberweerbaarheidsscan uitvoeren via KVK of het Digitaal Trustcentrum. Dit geeft inzicht in je huidige beveiligingsniveau en bepaalt mede je acceptatievoorwaarden.
2. Dekking inventariseren: bepaal welke schadeposten voor jouw bedrijf het meest relevant zijn (bedrijfsschade, aansprakelijkheid, herstelkosten).
3. Cashflowanalyse: bereken hoeveel eigen risico je bedrijf financieel aankan zonder betalingsproblemen.
4. Offertes vergelijken: vraag meerdere offertes aan en vergelijk niet alleen de premie, maar ook de wachttijden, sublimieten en uitsluitingen.
5. Polischeck door adviseur: laat de definitieve polis controleren op de clausules uit de checklist hierboven.

Concrete vragen voor je tussenpersoon:

• “Wat is het eigen risico per incident en geldt er ook een wachttermijn voor bedrijfsschade?”
• “Vervalt het eigen risico als ik binnen X uur meld?”
• “Welke beveiligingsmaatregelen verlagen mijn premie of eigen risico?”
• “Zijn losgeld en reputatieschade gedekt en zo ja, met welk sublimiet?”
• “Kan ik de cyberverzekering bundelen met mijn bedrijfsschadepolis of wagenpark voor betere voorwaarden?”

Risicoverlagende maatregelen die verzekeraars vaak belonen met lagere premies of gunstigere eigen risico’s:

• Meerfactorauthenticatie (MFA) op alle systemen
• Dagelijkse back-ups op een offline of externe locatie
• Actueel patchbeleid voor software en besturingssystemen
• Gedocumenteerd incident response plan
• Jaarlijkse beveiligingstraining voor medewerkers

Cyberpolissen stellen steeds vaker aantoonbare basismaatregelen als voorwaarde. Ontbreken die, dan kan de verzekeraar dekking weigeren of een premietoeslag hanteren.

Hoe helpt Zakelijkverzekeren bij het beoordelen van eigen risico’s?

Zakelijkverzekeren vergelijkt als onafhankelijk adviseur alle 66 verzekeraars in Nederland. Dat betekent dat je niet gebonden bent aan de voorwaarden van één aanbieder, maar altijd de polis krijgt die past bij jouw bedrijfssituatie en cashflow.

Concreet bieden we:

• Gratis polischeck: we lopen de clausules over eigen risico, wachttijden en sublimieten met je door
• Vergelijking van voorwaarden: niet alleen premie, maar ook de exacte eigen risico-structuur per aanbieder
• Vaste adviseur: één contactpersoon die jouw branche kent en polisonderhandelingen voor je voert
• 24/7 bereikbaarheid: ook bij een incident buiten kantooruren staan we klaar

Voor IT-bedrijven en dienstverleners is er een praktische gids voor verzekeren die specifiek ingaat op sectorgebonden risico’s. Ondernemers met een wagenpark of vrachtwagens kunnen cyberrisico’s (denk aan telematicasystemen) combineren met hun voertuigverzekering in één pakket.

Ons verdienmodel is transparant: we ontvangen een bemiddelingsvergoeding van de verzekeraar bij afsluiting. Dat kost jou niets extra, en je profiteert van onafhankelijk advies zonder binding aan één aanbieder.

Pro-tip: Vraag bij je polischeck expliciet om een vergelijking van de wachttermijnen voor bedrijfsschade. Dat getal verschilt soms meer tussen aanbieders dan de premie zelf.

Mijn advies aan MKB-eigenaren over het eigen risico

Als ik ondernemers adviseer over hun cyberverzekering, zie ik twee veelgemaakte fouten. De eerste: alleen naar de premie kijken en een hoog eigen risico accepteren zonder te berekenen of dat financieel haalbaar is. De tweede: aannemen dat de polis alles dekt, terwijl de wachttermijn voor bedrijfsschade de grootste kostenpost bij een incident ongedekt laat.

Voor een transportondernemer met telematicasystemen adviseer ik een lager eigen risico op bedrijfsschade, omdat uitval van planningssoftware direct omzet kost. Een IT-dienstverlener met sterke beveiliging en een cashreserve kan een hoger eigen risico accepteren in ruil voor een lagere premie. Een webwinkel zit daar tussenin: de wachttermijn is het kritieke getal, niet het vaste bedrag.

Begin altijd met een risicoscan. Die geeft je de feiten om een bewuste keuze te maken, en je adviseur de basis om te onderhandelen.

Zakelijkverzekeren regelt je polischeck en onderhandelt over je eigen risico

Een cyberverzekering afsluiten zonder de eigen risico-structuur te begrijpen, is als een vrachtwagen verzekeren zonder te weten wat je casco dekt. Bij Zakelijkverzekeren krijg je een gratis polischeck waarbij we precies uitleggen wat je zelf betaalt bij een incident, welke wachttijden gelden en waar ruimte zit om te onderhandelen.

We vergelijken de voorwaarden van alle 66 verzekeraars in Nederland, inclusief de eigen risico-structuur per aanbieder. Zo zie je in één overzicht welke polis past bij jouw cashflow en risicoprofiel. Heb je al een cyberverzekering? Dan checken we gratis of je eigen risico reëel is voor jouw bedrijfssituatie.

Vraag vandaag een gratis polischeck of offerte aan en weet binnen 24 uur wat je cyberverzekering je bij een incident netto kost.

Bronnen

Gebruik deze bronnen bij het beoordelen van je cyberpolis en het voeren van een gesprek met je adviseur:

• Verzekeringskaarten
• KVK – wat is een cyberverzekering en heb ik er een nodig?
• Autoriteit Financiële Markten (AFM)

Vraag bij je verzekeraar of adviseur altijd de volgende documenten op: de volledige polisvoorwaarden inclusief bijzondere voorwaarden, het overzicht van sublimieten en uitsluitingen, en het incident response contract of de servicedesk-afspraken. Gebruik de NCSC- en KVK-bronnen als referentie om de terminologie in je eigen polis te begrijpen.

Dit artikel bevat algemene informatie en vervangt niet het advies van een gekwalificeerde financieel adviseur. Raadpleeg een gekwalificeerde financiële professional over uw eigen situatie voordat u op basis van deze inhoud handelt.

Veelgestelde vragen

Hoeveel kost een cyberverzekering voor MKB?

De premie hangt af van je omzet, sector en gewenste dekking. Voor kleine bedrijven beginnen premies doorgaans bij enkele honderden euro’s per jaar; voor middelgrote bedrijven met hogere risico’s kan dat oplopen. Een hoger eigen risico verlaagt de premie, maar vergroot je financiële blootstelling bij een incident.

Wat dekt een cyberverzekering precies?

Een cyberverzekering dekt doorgaans drie onderdelen: voorkomen (advies en maatregelen), herstellen (forensisch onderzoek, systeemherstel) en vergoeden (directe schade en aansprakelijkheid tegenover derden). Wat precies gedekt is, verschilt per polis.

Is mijn bedrijf verzekerd tegen phishing?

Dat hangt af van de polis. Sommige polissen dekken schade door phishing expliciet, andere sluiten menselijke fouten uit of hanteren een apart sublimiet. Controleer in je polisvoorwaarden of “social engineering” of “phishing” als gedekte oorzaak wordt genoemd.

Wat is een cyberverzekering zonder eigen risico?

Sommige polissen hanteren geen eigen risico op bepaalde onderdelen. Univé vermeldt bijvoorbeeld expliciet dat voor hun cyberpolis geen eigen risico geldt, met limieten tot € 5.000 voor schade aan eigen apparaten. Controleer altijd of “geen eigen risico” geldt voor alle schadeposten of alleen voor specifieke onderdelen.

Wat is het verschil tussen eigen risico en wachttermijn?

Een eigen risico is een vast bedrag dat van de schade wordt afgetrokken. Een wachttermijn is een tijdvenster (in uren) waarbinnen schade door bedrijfsstilstand niet wordt vergoed, ongeacht het bedrag. Beide kunnen in één polis voorkomen voor verschillende schadeposten.

Aanbeveling

• Tips voor verzekeren IT bedrijven: praktische gids
• Voorbeelden van zakelijke risico’s en slimme verzekeringen
• Inbraakschade verzekering pand: volledige gids 2026
• Risico’s voor ondernemers in 2026: herken en bescherm jezelf