What controls do cyber insurers require as a minimum?

Most carriers now require, at minimum: MFA on all remote access and email, endpoint detection and response (EDR) across all endpoints, tested immutable backups, a documented incident response plan, and a patch management process with SLAs. Many also require privileged access management (PAM) controls and DMARC email authentication. Some carriers will decline to quote at all without MFA on remote access, regardless of other controls in place.

Can a cyber insurer deny my claim after a breach?

Yes. Insurers can deny or reduce claims on several grounds: misrepresentation on the application (stating you had controls that post-breach forensics show you did not have); failure to maintain controls between application and the incident; failure to notify within the required window; or because the loss falls within a policy exclusion such as the war or state-sponsored attack exclusion. The most common cause of claim complications is a gap between what was stated on the application and what the forensic investigation found.

What is the Lloyd's of London state-sponsored attack exclusion?

In 2023, Lloyd's of London required all syndicates to exclude losses attributable to state-sponsored cyber operations from standalone cyber policies. The exclusion applies when the insured cannot demonstrate the attack was not state-sponsored. Given that a significant proportion of ransomware infrastructure is linked to state-backed groups, this exclusion has practical reach. Some carriers apply it only above a certain loss threshold; others apply it more broadly. Check your policy wording carefully.

How do I document my security controls for a cyber insurance application?

Build a controls inventory that maps each required control to the system or user group it covers, the person responsible, and the last review or test date. For MFA, log into each system and verify enforcement rather than just availability. For backups, run a test restoration and produce a written report. For patch management, export a current vulnerability scan to show your patch status against known CVEs. For your incident response plan, note when it was last reviewed and whether a tabletop exercise has been conducted in the past 12 months. Bring this documentation to the application process.

What is the difference between first-party and third-party cyber coverage?

First-party coverage pays for losses your organisation suffers directly: incident response costs, forensic investigation, ransom payments (where covered), business interruption, data restoration, and notification costs. Third-party coverage pays claims made against you by others as a result of your breach, including customers, partners, and regulators. Most policies include both. Check your policy schedule for sublimits on each category, since a policy with a high headline limit may cap ransomware payments or third-party liability at significantly lower amounts.

Wat uw cyberverzekeraar verwacht voordat u een betaalbare claim krijgt

Belangrijkste afhaalrestaurants

De verhardingscyclus van 2021 maakte technische controles verplicht en niet optioneel voor het meeste cyberbeleid
MFA voor externe toegang is de meest voorkomende reden waarom vervoerders weigeren te citeren
Forensisch onderzoek na inbreuk zal controleren of uw controles overeenkomen met wat u in de aanvraag heeft vermeld
Lloyd's of London sluit nu door de staat gesponsorde aanvallen uit van een zelfstandig cyberbeleid
Sublimieten van eigen en derde partijen in uw polisblad wijken vaak af van de hoofdlimiet

Waarom het afsluiten van cyberverzekeringen is veranderd

De ransomware-epidemie van 2020 en 2021 kostte verzekeraars meer dan ze hadden gemodelleerd. Colonial Pipeline, JBS Foods en tientallen ziekenhuissystemen dienden binnen enkele maanden na elkaar claims van meerdere miljoenen dollars in. De gecombineerde verliesratio op de markt bereikte een onhoudbaar niveau: vervoerders betaalden meer aan claims dan ze aan premie inden, met daarbovenop nog overheadkosten.

De premies stegen fors. Marsh McLennan rapporteerde voor sommige segmenten een gemiddelde stijging van 130% in het vierde kwartaal van 2021. Vervoerders introduceerden ook specifiek sublimieten voor ransomware, dus een beleid met een hoofdlimiet voor elke cybergebeurtenis zou het herstel van ransomware op de helft van dat bedrag kunnen beperken, met een hoger eigen risico.

$ 1,54 miljoen

Gemiddelde ransomwarebetaling in 2024 volgens het Sophos State of Ransomware-rapport

$ 2,73 miljoen

Gemiddelde totale kosten van een ransomware-aanval, inclusief herstel (Sophos 2024)

130%

Maximale gemiddelde premiestijging in het vierde kwartaal van 2021 volgens de Marsh Global Insurance Market Index

Sindsdien is de markt gestabiliseerd. De gemiddelde premiestijgingen daalden tot ongeveer 3% in 2023 doordat vervoerders hun boeken aanpasten en de controle-eisen werden aangescherpt. Maar de controles die uit die verhardingscyclus voortkwamen, zijn nu vaste waarden. Ze verdwijnen niet als de markt verder verzacht.

De vijf controles die verzekeraars eerst controleren

Moderne acceptatieaanvragen bevatten 40 of meer vragen. Vijf bedieningselementen wegen zwaarder dan alle andere samen. Als u deze vijf niet kunt aantonen, kunt u een afgewezen offerte of dekking met aanzienlijke uitzonderingen verwachten.

Multi-factor authenticatie (MFA)

Specifiek op het gebied van e-mail, VPN, externe desktoptoegang, bevoorrechte accounts en cloudbeheerportals. MFA op e-mail alleen is niet voldoende. Veel providers zullen weigeren een offerte uit te brengen als de MFA geen externe toegang heeft, ongeacht andere bedieningselementen.

Eindpuntdetectie en -respons (EDR)

Geen traditionele antivirus. EDR-tools detecteren gedragsafwijkingen en kunnen gecompromitteerde eindpunten isoleren voordat laterale beweging optreedt. Verzekeraars willen dat EDR wordt geïmplementeerd op alle eindpunten, niet alleen op servers.

Onveranderlijke, offline back-ups

Back-ups die aanvallers niet kunnen bereiken en versleutelen. Regelmatig getest, met schriftelijk restauratietestrapport. Zonder geverifieerde back-ups stijgen de herstelkosten voor ransomware sterk en neemt de druk om het losgeld te betalen toe.

Beheer van bevoorrechte toegang (PAM)

Controle over wie beheerdersreferenties heeft, met in de tijd beperkte toegangssessies en het opslaan van inloggegevens. Domeinbeheerdersaccounts vormen de belangrijkste laterale verplaatsingsroute van ransomware nadat er een eerste voet aan de grond is gezet.

Patchbeheer met gedocumenteerde SLAs

Kritieke en zeer ernstige kwetsbaarheden zijn binnen een gedefinieerd tijdsbestek verholpen. Veel beleidsregels vereisen patches binnen 30 dagen na release; sommigen specificeren er 14 voor kritische CVE’s. Bekende, niet-gepatchte kwetsbaarheden kunnen een claim ongeldig maken als ze de aanvalsvector vormen.

Naast deze vijf vragen providers steeds vaker naar DMARC-, DKIM- en SPF-e-mailauthenticatie (vermindert de blootstelling aan phishing en zakelijke e-mail), netwerksegmentatie en of u een gedocumenteerd incidentresponsplan heeft dat in de afgelopen twaalf maanden is getest.

Hoe het sollicitatieproces eruit ziet

De nauwkeurigheid van uw antwoorden is belangrijker dan de kwaliteit van uw controles. Forensisch onderzoek na de inbreuk zal controleren wat er op zijn plaats was, niet wat u zei dat er was. Als er een kloof bestaat tussen deze twee, heeft de verzekeraar redenen om de claim wegens onjuiste voorstelling van zaken aan te vechten.

Typische sollicitatievragen hebben betrekking op:

Of MFA afzonderlijk wordt ingezet voor e-mail, VPN, externe toegang, cloudservices en bevoorrechte accounts, en niet als een enkel ja/nee-antwoord
Het percentage eindpunten dat onder EDR valt
Uw patchbeheer SLA voor kritieke kwetsbaarheden
Of u over een gedocumenteerd incidentresponsplan beschikt en wanneer dit voor het laatst is getest
Of back-ups worden getest op herstel en hoe vaak
Of u over PAM-controles beschikt en of bevoorrechte accounts worden gekluisd
Jaaromzet, aantal medewerkers, verwerkte gegevenstypen (PII, betaalkaart, gezondheid) en sector

Vul de vragenlijst niet uit het hoofd in. Maak een inventaris van controles voordat u begint: wijs elke vereiste controle toe aan het systeem of de gebruikersgroep die eronder valt, de verantwoordelijke persoon en de datum van de laatste controle. Neem documentatie mee naar het aanvraagproces. Als u tijdens deze oefening lacunes ontdekt, behandel deze dan voordat u zich aanmeldt, in plaats van erna.

Praktische tip

Vraag een kopie van de aanvraag van vorig jaar aan bij uw makelaar. Het vergelijken van de antwoorden van jaar tot jaar met uw huidige situatie is een van de snelste manieren om vast te stellen waar uw documentatie niet overeenkomt met uw controles.

Hoe verzekeraars claims beoordelen

Wanneer u een claim indient, wijst uw verzekeraar een forensisch bureau aan. De primaire functie van dat bedrijf is het vaststellen van de hoofdoorzaak, de reikwijdte en de vraag of uw controles overeenkwamen met uw toepassing. Ze zullen Active Directory-logboeken en firewallrecords bekijken, beoordelen of MFA op elk door u beschreven authenticatiepunt is afgedwongen, back-uplogboeken onderzoeken en controleren of de initiële aanvalsvector een bekende, niet-gepatchte kwetsbaarheid was.

Het forensisch rapport gaat naar de verzekeraar voordat de claim wordt afgehandeld. Als het uw aanvraag tegenspreekt, zal de verzekeraar dat gebruiken om de claim aan te vechten. Dit is niet theoretisch: het aantal afgewezen cyberclaims is gestegen.

Het tweede dat de uitkomst van een claim bepaalt, is de timing van de kennisgeving. Bij de meeste polissen moet u uw verzekeraar onmiddellijk op de hoogte stellen nadat u zich bewust bent geworden van een incident, doorgaans binnen 72 uur. Late kennisgeving is op zichzelf al een reden om de claim te verminderen, ongeacht of er controles zijn uitgevoerd.

Belangrijk

Neem contact op met uw verzekeraar en juridisch adviseur voordat u een PR-bureau inschakelt of externe verklaringen aflegt na een inbreuk. Veel polissen dekken de kosten van crisiscommunicatie, maar alleen als de verzekeraar het communicatiebedrijf goedkeurt. Als u er onafhankelijk een inschakelt, kan dat dekkingselement teniet worden gedaan.

Uitsluitingen die u moet begrijpen

Lees uw polisblad, niet alleen het marketingoverzicht. De uitsluitingen die er het meest toe doen, worden niet prominent vermeld.

Door de staat gesponsorde oorlogsuitsluitingen

In 2023 verplichtte Lloyd's of London alle syndicaten om verliezen die toe te schrijven zijn aan door de staat gesponsorde cyberoperaties uit te sluiten van op zichzelf staand cyberbeleid. Gezien het feit dat een aanzienlijk deel van de ransomware-infrastructuur gekoppeld is aan door de staat gesteunde groepen, heeft deze uitsluiting een praktische reikwijdte die verder gaat dan conflicten tussen staten. Controleer hoe uw beleid attributie definieert en welke bewijslast van toepassing is.

Ransomware-sublimieten

Veel beleidsmaatregelen beperken ransomware-gerelateerde verliezen tot een sublimiet onder de totale beleidslimiet. Een beleid met een maximale limiet van € 5 miljoen zou de betalingen voor ransomware kunnen beperken tot € 1 miljoen. Lees het schema aandachtig.

Eerder bekende gebeurtenissen

Als u vóór de ingangsdatum van uw polis een inbreuk heeft ondervonden en dit niet openbaar hebt gemaakt, wordt dekking voor gerelateerde claims uitgesloten. Lopende incidenten of bekende kwetsbaarheden die dateren van vóór het beleid, worden doorgaans ook uitgesloten.

Het niet handhaven van de controles

Als u bij de aanvraag heeft verklaard dat u een controle had en deze vervolgens vóór een incident hebt verwijderd of uitgeschakeld, heeft uw verzekeraar redenen om de claim te verminderen of te weigeren. De controles moeten gedurende de gehele beleidsperiode van kracht blijven.

Voorbereiden op vernieuwing

De beste tijd om u voor te bereiden op verlenging is zes maanden voordat deze plaatsvindt. De meeste makelaars zullen u twee tot drie maanden later een vragenlijst vóór de verlenging geven. Op dat moment zal het langer duren voordat de gaten die je tegenkomt, zijn gedicht dan nu het geval is.

Vul een controle-inventaris in

Documenteer wat u heeft, waar het wordt ingezet, wie verantwoordelijk is en wanneer het voor het laatst is beoordeeld. Doe dit voor elk besturingselement waar de toepassing naar vraagt, niet alleen voor de vijf hierboven.

Test uw back-ups

Voer een volledige restauratietest uit en maak een schriftelijk rapport met datum, omvang en resultaat. Een back-uplogboek met geplande uitvoeringen is niet hetzelfde als een getest herstel.

Controleer uw MFA-dekking

Log in op elk systeem voor externe toegang, cloudconsole en geprivilegieerde accountinterface en controleer of MFA wordt afgedwongen en niet alleen maar beschikbaar is. Noteer eventuele gaten.

Update uw incidentresponsplan

Vermeld de contactpersonen van uw verzekeraar, juridisch adviseur en goedgekeurd PR-bedrijf. Voeg de meldingsstap van 72 uur toe. Documenteer de laatste beoordelingsdatum.

Voer een tafeloefening uit

Simuleer een ransomware-incident met uw kernteam. Documenteer de trainingsdatum, deelnemers en bevindingen. Vervoerders vragen steeds vaker of dit de afgelopen twaalf maanden is gebeurd.

Voer een kwetsbaarheidsscan uit voordat u zich aanmeldt

Exporteer een huidige scan waarin uw patchstatus wordt weergegeven ten opzichte van bekende CVE's. Dit geeft u documentatie ter ondersteuning van uw SLA-claims over patchbeheer, en het onthult eventuele kritieke risico's die u moet sluiten voordat u de aanvraag indient.

Een organisatie die tot vernieuwing komt met een voltooide controle-inventarisatie, een getest back-uprapport en een gedocumenteerde tabletop-oefening bevindt zich in een sterkere positie dan een organisatie die op het geheugen vertrouwt. De documentatie is ook wat een forensisch onderzoek na de inbreuk overleeft.

ENISA's richtlijnen over minimale beveiligingsbasismaatregelen zijn beschikbaar op enisa.europa.eu. De NCSC publiceert praktische implementatierichtlijnen voor de technische controles die verzekeraars en toezichthouders doorgaans vereisen.

Wat uw cyberverzekeraar verwacht voordat hij een claim betaalt