Een verzekeraar die een cyberverzekering aanbiedt, vraagt meestal om een combinatie van stukken: een overzicht van welke persoonsgegevens u verwerkt en waarvoor, een beschrijving van uw technische en organisatorische beveiligingsmaatregelen, bewijs dat u afspraken heeft met leveranciers die namens u gegevens verwerken, en een protocol voor het geval er iets misgaat. Sommige verzekeraars vragen dit los op, andere verwerken het in één digitale vragenlijst.
Er bestaat geen wettelijk voorgeschreven lijst met documenten voor een cyberverzekering. De AVG zelf legt een verantwoordingsplicht op: een organisatie moet kunnen laten zien dat zij nadenkt over de bescherming van persoonsgegevens en dat op orde heeft. Hoe die aantoonbaarheid eruitziet, bepaalt de verzekeraar zelf, niet de wet. Dat is precies het detail dat bij dit koopmoment het meest over het hoofd wordt gezien: ondernemers zoeken naar hét formulier of hét certificaat dat volstaat, terwijl verzekeraars in de praktijk vooral willen zien dat er een samenhangend geheel ligt.
Wat een verzekeraar doorgaans wil zien
De kern van de meeste vragenlijsten is een verwerkingsregister: een overzicht van welke persoonsgegevens u verwerkt, met welk doel, hoe lang u ze bewaart en wie er toegang toe heeft. Daarnaast wordt vaak gevraagd naar de verwerkersovereenkomsten met partijen die namens u gegevens verwerken, zoals uw boekhoudpakket, uw HR-systeem of een marketingtool. Een derde terugkerend onderdeel is het protocol voor datalekken: hoe herkent u een incident, wie informeert u binnen uw organisatie en hoe beoordeelt u of een melding aan de Autoriteit Persoonsgegevens nodig is. Wie twijfelt of een voorval daaronder valt, kan dat in een paar vragen zien waar een situatie ongeveer staat.
Verzekeraars kijken daarnaast vaak verder dan alleen de AVG. Vragen over back-ups, wachtwoordbeleid, tweestapsverificatie en wie er binnen het bedrijf toegang heeft tot welke systemen horen bij informatiebeveiliging in bredere zin. Dat overlapt met privacy, maar is er niet gelijk aan: een bedrijf kan een keurig verwerkingsregister hebben en tegelijk zwakke technische beveiliging, of andersom. Een overzicht van de maatregelen die u wél heeft getroffen, helpt om die twee met elkaar te verbinden; zie ook hoe daarnaar gekeken wordt bij het beoordelen van gegevens en privacy.
Waarom aantoonbaarheid iets anders is dan een keurmerk
Een veelgehoorde vraag is of een ISO-certificaat of een ander keurmerk het bewijs vervangt dat een verzekeraar zoekt. Een certificaat kan meewegen, maar vervangt zelden de vraag naar de eigen situatie: welke gegevens verwerkt juist dit bedrijf, met welke leveranciers werkt het, en wat gebeurt er als er iets misgaat. Toezichthouders en verzekeraars kijken op dit punt naar vergelijkbare dingen, maar met een ander doel: de toezichthouder beoordeelt naleving van de wet, de verzekeraar schat een risico in voordat hij een polis afgeeft. Dat verschil verklaart waarom twee verzekeraars soms net andere stukken vragen, terwijl de onderliggende basis — het register, de overeenkomsten, het protocol — steeds dezelfde is.
Wat u alvast kunt voorbereiden
Het is verstandig om te beginnen bij wat er al is: welke software en leveranciers gebruikt uw bedrijf, en staat daar een verwerkersovereenkomst tegenover. Vervolgens is het een kwestie van vastleggen wat er feitelijk gebeurt: welke gegevens waar staan, wie erbij kan en hoe lang ze bewaard blijven. Voor bedrijven die dit voor het eerst in kaart brengen, is een gestructureerd overzicht van veelgestelde vragen een goed startpunt; zie antwoorden op vragen die vaker terugkomen bij dit soort verzoeken.
Wie liever eerst begrijpt hoe zo'n stukkenlijst is opgebouwd en waar de informatie op gebaseerd is, kan dat nalezen in de kennisbank. Daar staat per onderwerp een kort antwoord met de vindplaats in de officiële tekst, zodat u zelf kunt nagaan waar een eis vandaan komt; kijk bijvoorbeeld in de kennisbank met uitleg per onderwerp voordat u met een verzekeraar in gesprek gaat.
Van losse stukken naar een lopend register
Het lastigste aan dit koopmoment is niet het opstellen van één document, maar het actueel houden ervan. Een verwerkingsregister dat een jaar geleden is gemaakt en sindsdien niet is bijgewerkt, sluit vaak niet meer aan bij de tools die een bedrijf inmiddels gebruikt. Een systeem dat het register laat meegroeien met de daadwerkelijk gebruikte software, en dat bijhoudt welke verwerkersovereenkomsten nog ontbreken, scheelt op het moment dat een verzekeraar er plotseling om vraagt.
Of dit voor uw bedrijf op dit moment speelt en welke stukken u concreet nodig heeft, is iets dat u het beste met de verzekeraar zelf of met een adviseur bespreekt; dit artikel geeft duiding, geen juridisch advies over uw specifieke polis.
Wilt u eerst zelf zien waar uw bedrijf ongeveer staat? De gratis quick-scan geeft in een paar vragen een indicatie, en in de kennisbank vindt u per onderwerp het korte antwoord met de vindplaats erbij. Wilt u het register en de bewaking daarna structureel bijhouden, dan leest u op wat het systeem daaromheen kost wat daarbij komt kijken.