Een cyberverzekering is geen dekking: waarom AI je polis sneller veroudert dan je denkt

Bijna vier op de vijf Nederlandse bedrijven hebben geen cyberverzekering. Dat cijfer komt in elk rapport terug, en het klopt: uit CBS-cijfers blijkt dat ongeveer een vijfde van de bedrijven zich verzekerd weet tegen cyberincidenten. Steevast wordt het gebracht als het probleem dat om een oplossing vraagt: sluit een polis af, en je risico is overgedragen.

Dat is de verkeerde zorg. Het gevaarlijke getal staat niet in die kop, maar verderop in diezelfde onderzoeken. Het schadeprofiel van een cyberincident is in maanden gekanteld, terwijl de gemiddelde polis in een la ligt en de dreiging van gisteren dekt. Het echte risico voor het MKB is niet dat maar een vijfde verzekerd is. Het is dat de polissen die er wél zijn, geschreven zijn voor aanvallen die AI intussen heeft ingehaald.

Mijn stelling is simpel: risico-overdracht werkt alleen als de scenario's die je polis dekt je werkelijke schadeprofiel volgen. En dat profiel beweegt nu sneller dan het papier.

Het schadeprofiel kantelt in maanden, niet in jaren

Twee jaar geleden was een cyberaanval op een MKB-bedrijf grotendeels mensenwerk: een phishingmail, een buitgemaakt wachtwoord, iemand die dagen of weken later handmatig binnenkwam. Daar is de gemiddelde polis op geprijsd. Dat tempo is weg.

AI is in korte tijd van slachtoffer tot aanvaller geworden. Er is inmiddels een AI-agent die zelfstandig een complete ransomware-aanval uitvoert, van inbraak tot versleuteling, in minuten in plaats van weken. Het snelst groeiende instapkanaal is intussen niet een geraffineerde zero-day maar nep-AI-tools die zich voordoen als ChatGPT en in werkelijkheid malware installeren. En de inbraak zelf omzeilt vaak je zwaarste slot: kwaadaardige OAuth-toestemming loopt om MFA en passkeys heen, zonder dat er ooit een wachtwoord sneuvelt.

De cijfers volgen die kanteling. Volgens het Stoïk Cyber Claims Report 2025, gebaseerd op ruim tienduizend Europese bedrijven, is de claimfrequentie in twee jaar bijna verdrievoudigd, van 3,87 procent in 2023 naar 10,56 procent in 2025. Ruim de helft van die claims is e-mailgerelateerd. Een verzekeraar die twee jaar geleden een premie berekende, deed dat op een risico dat sindsdien fundamenteel is veranderd. Jij betaalt nog voor de oude inschatting.

Voor een verzekeraar is snelheid niet zomaar een detail. Een aanval die zich over weken ontvouwt, geeft ruimte om in te grijpen, de schade te beperken en binnen de afgesproken limieten te blijven. Een aanval die in minuten van binnenkomst naar versleuteling gaat, laat die ruimte niet. De premie en de dekkingslimieten die daar ooit bij pasten, passen niet meer bij een dreiging die geen adempauze meer geeft.

Je verzekeraar beweegt ook, maar de andere kant op

Hier zit de kern. Terwijl het schadeprofiel opschuift, schuift de polis ook, alleen niet naar jou toe.

De verzekeringsmarkt snijdt dekking al jaren wég in plaats van erbij. 'Silent cyber', de stilzwijgende dekking van cyberschade onder gewone bedrijfspolissen, wordt internationaal al sinds 2014 stelselmatig geschrapt. In 2026 gaat dezelfde beweging over op AI: verzekeraars voegen nieuwe AI-uitsluitingen toe aan standaardpolissen. Op het snijvlak ontstaat een grijze zone die 'silent AI' heet: polissen die AI-gerelateerde risico's noch expliciet dekken noch uitsluiten. De ene verzekeraar dicht dat gat met affirmatieve AI-dekking, de andere sluit het juist uit, uit angst voor opeenstapeling: één nep-AI-campagne die duizenden bedrijven tegelijk raakt, is precies het gecorreleerde risico dat een verzekeraar het liefst afbakent. "Liever expliciet dan impliciet of stilzwijgend", vat een woordvoerder van verzekeraar CFC de richting samen.

Voor een groot bedrijf met een makelaar en een jurist is dat te overzien. Voor het MKB niet. De polis die je jaren geleden afsloot en sindsdien niet meer opende, staat precies aan de verkeerde kant van die grijze zone. Ook in Nederland klinkt de waarschuwing dat een standaard verzekeringspakket in 2026 niet meer volstaat voor een bedrijf dat op software en AI draait. Als een nieuw type schade toeslaat, een fout van een algoritme of een aanval die via een AI-tool binnenkwam, dan begint de discussie niet bij de uitkering maar bij de vraag of het überhaupt onder de polis valt.

De voorwaarden die je waarschijnlijk niet haalt

En dan is er de kleine-lettertjes-kant. Een cyberpolis is geen kwijtschelding, het is een contract met voorwaarden. Het NCSC merkt op dat verzekeraars beveiligingsmaatregelen als voorwaarde kunnen stellen voordat ze uitkeren: antivirus, een risico-inventarisatie, aantoonbaar patchbeleid. Haal je die niet, dan kan de uitkering vervallen, ook al betaalde je netjes premie.

Precies daar wringt het in het AI-tijdperk. Uit ABN AMRO's Cybertrends 2026 blijkt dat slechts 9 procent van de mkb-bedrijven formeel beleid heeft voor het gebruik van externe AI-tools, terwijl bijna acht op de tien die tools al inzet. Ruim een kwart heeft een incidentresponsplan; ruim vier op de tien ondernemers hebben nooit een cyberoefening gedaan. Dat is niet alleen een beveiligingsgat, het is een polisgat. Dezelfde ongecontroleerde AI-adoptie die je aanvalsoppervlak vergroot, ondermijnt de voorwaarden die je polis moeten laten uitkeren. Je bent het slechtst gedekt op precies de plek waar je het meest bloot staat.

Dat het groeiende zelfvertrouwen van het MKB over de eigen weerbaarheid zelf een risicofactor is geworden, maakt dat gat alleen maar dieper: je denkt gedekt te zijn, tot de uitkering afketst op een voorwaarde die je niet haalde. En als het toch misgaat, blijkt de polis geen vervanging voor een plan. De eerste 72 uur na een datalek bepalen je meldplicht en je schade, niet je polisnummer.

Er is nog een wrange draai. Het NCSC waarschuwt dat criminelen actief zoeken naar je verzekeringsgegevens, omdat een bekende polislimiet hen helpt de losgeldeis er precies onder te leggen. Het papier dat je zekerheid moest geven, wordt zo een prijskaartje dat de aanvaller afleest.

Om eerlijk te zijn

Nu zul je zeggen: een imperfecte polis is nog altijd beter dan geen polis, en verzekeraars die hun voorwaarden aanscherpen doen precies wat een gezonde markt hoort te doen. Dat klopt. Een verzekeraar die AI-risico expliciet benoemt, geeft je meer duidelijkheid dan een die het in het midden laat. En de voorwaarden die je moet halen, MFA, back-ups, patchbeleid, zijn stuk voor stuk maatregelen die je sowieso zou moeten nemen. De polis dwingt hygiëne af. Dat is een kenmerk, geen bug.

Daar ben ik het mee eens, en het is juist mijn punt. De waarde van een cyberverzekering zit niet in het certificaat in de la, maar in de oefening om je gedekte scenario's naast je werkelijke schadeprofiel te leggen en het gat te dichten. Dat is een architectuurvraag, geen vinkje. Wie de polis behandelt als een aankoop die je één keer doet, koopt schijnzekerheid. Wie hem behandelt als een levend document dat je herleest zodra de dreiging verschuift, koopt echte risico-overdracht.

Concreet betekent dat drie vragen, minstens één keer per jaar en na elke grote verschuiving: welke aanvalsvormen dekt mijn polis expliciet, welke sluit ze uit, en welke voorwaarden heb ik beloofd die ik vandaag nog waarmaak? Wie op die drie vragen het antwoord niet kent, heeft geen verzekering maar een vermoeden.

Een polis is een momentopname

Terug naar dat ene getal. Of een vijfde of vier vijfde van het MKB verzekerd is, is niet de vraag die je wakker zou moeten houden. De vraag is of de polis die je hebt, of morgen afsluit, de aanval dekt die vandaag mogelijk werd en gisteren nog niet bestond.

Een verzekering is een momentopname van het dreigingsbeeld op de dag dat je tekende. In een jaar waarin dat beeld in maanden kantelt in plaats van in jaren, veroudert een ongelezen polis sneller dan ooit. De echte oefening is niet één keer een handtekening zetten. Het is je dekking net zo actueel houden als de dreiging die hij moet opvangen. Alles daaronder is geen risico-overdracht, maar uitgestelde verrassing.