Cyberverzekering en beveiligingssubsidie combineren voor het MKB

Steeds meer MKB-bedrijven lopen tegen dezelfde spanning aan: de eisen aan digitale beveiliging worden strenger, terwijl de budgetten beperkt blijven. Een cyberverzekering voelt als een noodzakelijke kostenpost, en investeren in beveiliging vraagt opnieuw geld. Toch versterken beide elkaar. Wie eerst de preventie op orde brengt met hulp van een subsidie, betaalt vaak een lagere premie en krijgt makkelijker dekking. In dit artikel leggen we uit hoe die combinatie werkt en hoe je het praktisch aanpakt. Wil je eerst de bredere context, lees dan de overzichtspagina over cybersecurity.

Waarom verzekering en subsidie samen slimmer zijn

Een cyberverzekering en een beveiligingssubsidie hebben tegengestelde doelen die elkaar aanvullen. De verzekering treedt in werking nadat er iets misgaat en vergoedt bijvoorbeeld herstelkosten, juridische bijstand en gemiste omzet. De subsidie richt zich op het moment daarvoor: het verlagen van de kans dat er iets misgaat. Als je alleen verzekert zonder te investeren in preventie, betaal je een hogere premie en loop je meer risico op discussie bij een schadeclaim.

De cijfers onderstrepen die logica. Uit onderzoek onder Nederlandse ondernemers blijkt dat een aanzienlijk deel van de bedrijven met minder dan 50 medewerkers in de afgelopen 12 maanden te maken kreeg met een poging tot digitale aanval. De gemiddelde herstelkosten na een ransomware-incident lopen bij het MKB al snel op tot boven de 40.000 euro, exclusief omzetverlies. Een verzekering vangt dat op, maar een verzekeraar wil zien dat je de basis op orde hebt voordat hij dat risico overneemt.

Door subsidie in te zetten voor die basis, verlaag je twee posten tegelijk. Je betaalt minder voor de beveiligingsmaatregelen zelf, soms tot 50 procent minder afhankelijk van de regeling, en je komt in aanmerking voor een gunstiger premie. De maatregelen die een subsidie financiert, zoals meervoudige authenticatie of een securityscan, zijn vaak precies dezelfde maatregelen die een verzekeraar als voorwaarde stelt. Zo werk je met een euro subsidie feitelijk aan twee kostenposten.

Welke beveiligingssubsidies bestaan er voor het MKB

Het landschap aan regelingen verandert regelmatig, dus controleer altijd de actuele voorwaarden voordat je rekent. In grote lijnen zijn er drie soorten steun voor het MKB: landelijke regelingen, provinciale of regionale vouchers en sectorspecifieke fondsen. Een uitgebreider overzicht met voorwaarden vind je in het artikel over cyberbeveiliging subsidie voor het MKB.

Landelijke regelingen richten zich vaak op advies en scholing. Denk aan vouchers waarmee je een deel van de kosten van een extern adviestraject vergoed krijgt, bijvoorbeeld tot 2.500 euro per traject. Provinciale regelingen vullen dat aan met bijdragen voor concrete investeringen, soms met een dekking tussen 40 procent en 50 procent van de projectkosten, met een maximum dat per regeling verschilt. Sectorfondsen, bijvoorbeeld voor de zorg of de detailhandel, koppelen steun soms aan branchespecifieke eisen.

Let op dat veel regelingen een minimale projectomvang hanteren. Een investering onder de 1.500 euro komt bij sommige regionale potjes niet in aanmerking, terwijl een groot project boven de 25.000 euro juist tegen een maximumbijdrage aanloopt. Ook geldt vaak een de-minimisplafond: de totale staatssteun die je over 3 jaar mag ontvangen is begrensd. Houd bij het plannen rekening met een doorlooptijd van 6 tot 10 weken tussen aanvraag en toekenning, want je mag doorgaans pas kosten maken nadat de aanvraag is ingediend of goedgekeurd.

Wat een verzekeraar eist voordat hij dekt

Een cyberverzekering is geen product dat je zonder voorwaarden afsluit. Verzekeraars stellen een basisniveau aan beveiliging verplicht, en dat niveau is de afgelopen jaren strenger geworden. Bij de aanvraag vul je een vragenlijst in of onderga je een risicoscan. Geef je daarin onjuiste antwoorden, dan kan de verzekeraar bij een claim de uitkering verlagen of weigeren. Meer achtergrond over de dekking zelf staat in het artikel over de cyberverzekering.

De meest gevraagde maatregelen zijn tegenwoordig redelijk voorspelbaar. Vrijwel iedere verzekeraar verlangt meervoudige authenticatie op systemen die van buitenaf bereikbaar zijn. Daarnaast wil hij zien dat je back-ups maakt volgens een herkenbaar schema, dat je binnen 30 dagen kritieke beveiligingsupdates installeert en dat medewerkers minimaal 1 keer per jaar een bewustwordingstraining volgen. Deze eisen sluiten aan bij de punten die je terugvindt in de mkb-cybersecurity checklist.

De kracht van de combinatie zit hier: bijna alle maatregelen die de verzekeraar eist, zijn met een subsidie geheel of gedeeltelijk te financieren. Een securityscan van 1.800 euro kun je vaak met een adviesvoucher dekken, en de implementatie van meervoudige authenticatie valt regelmatig onder een regionale investeringsbijdrage. Zo bouw je precies de maatregelen op die je nodig hebt om verzekerd te raken, tegen lagere netto kosten.

Kostenplaatje: premie, eigen risico en subsidiedekking

Om een reëel beeld te krijgen, is het nuttig de posten naast elkaar te leggen. De premie van een cyberverzekering hangt af van je omzet, sector en beveiligingsniveau. Voor een bedrijf met 30 medewerkers en een omzet rond de 5 miljoen euro ligt de jaarpremie vaak tussen de 2.000 euro en 6.000 euro. Een goed beveiligingsniveau kan die premie met 10 tot 20 procent drukken ten opzichte van een minimale opzet.

Naast de premie betaal je bij een schade een eigen risico. Dat ligt bij het MKB vaak tussen de 1.000 euro en 5.000 euro per gebeurtenis. Kies je een hoger eigen risico, dan daalt de premie, maar draag je bij een incident meer zelf. De afweging hangt af van je financiële buffer.

In dit rekenvoorbeeld financiert een subsidie van 50 procent de helft van een preventie-investering van 8.000 euro, waardoor je netto 4.000 euro betaalt. Doordat de beveiliging aantoonbaar op orde is, accepteert de verzekeraar een lager eigen risico en zakt de premie van 4.500 euro naar 3.600 euro, een besparing van 900 euro per jaar. Over een looptijd van 3 jaar tikt dat aan tot 2.700 euro, bovenop de eenmalige subsidiewinst van 4.000 euro. Dat maakt weerbaarheid meetbaar betaalbaarder.

Het is verstandig om deze bedragen te zien als richtgetallen. De werkelijke premie wordt bepaald door een individuele beoordeling, en subsidiepercentages verschillen per regeling en per jaar. Vraag altijd meerdere offertes op, want tussen aanbieders zit soms 25 procent verschil in premie voor vergelijkbare dekking.

Stappenplan om beide aan te vragen en op elkaar af te stemmen

De volgorde waarin je te werk gaat, bepaalt hoeveel voordeel je haalt. Wie eerst verzekert en pas daarna investeert, mist de premiekorting en kan de subsidie soms niet meer koppelen aan bestaande verplichtingen. Onderstaande volgorde werkt in de praktijk beter.

Stap 1: Breng je huidige situatie in kaart

Begin met een nulmeting. Loop de belangrijkste beveiligingspunten langs en noteer wat ontbreekt. Reken op ongeveer 8 uur werk om dit intern te doen, of huur een externe partij in voor een scan. Deze scan, vaak 1.500 tot 2.000 euro, is regelmatig subsidiabel via een adviesvoucher, dus check dat voordat je opdracht geeft.

Stap 2: Zoek de passende subsidie

Bekijk welke landelijke, regionale en sectorale regelingen op jouw bedrijf van toepassing zijn. Let op aanvraagvensters, want sommige potjes zijn maar 4 weken per jaar open. Plan de aanvraag zo dat je binnen de looptijd van 6 tot 10 weken toekenning krijgt voordat je de investering doet.

Stap 3: Voer de gesubsidieerde maatregelen door

Na goedkeuring implementeer je de maatregelen: meervoudige authenticatie, back-upverbetering, training en eventueel een responsplan. Reserveer voor een gemiddeld traject 6 tot 12 weken doorlooptijd, afhankelijk van hoeveel systemen je hebt. Documenteer alles, want zowel de subsidieverstrekker als de verzekeraar vraagt bewijs.

Stap 4: Vraag pas daarna offertes voor de verzekering op

Nu je beveiliging aantoonbaar op niveau is, vraag je bij minimaal 3 aanbieders een offerte op. Vermeld expliciet welke maatregelen je hebt genomen, want dat drukt de premie. Vergelijk niet alleen de prijs, maar ook het verzekerd bedrag, het eigen risico en de dekking voor bedrijfsstilstand.

Stap 5: Houd de cyclus jaarlijks bij

Beveiliging veroudert. Plan minimaal 1 keer per 12 maanden een herbeoordeling, actualiseer je responsplan en controleer of er nieuwe subsidies zijn opengesteld. Zo blijf je voldoen aan de polisvoorwaarden en voorkom je dat een claim wordt afgewezen door verouderde maatregelen. Verdiep je desgewenst verder via de categoriepagina over cybersecurity.

Veelgestelde vragen

Kan ik een subsidie gebruiken om de premie van mijn cyberverzekering te betalen?

Nee, de meeste beveiligingssubsidies zijn bedoeld voor preventieve maatregelen, advies en scholing, niet voor verzekeringspremies. Wel verlaag je indirect je premie doordat de gesubsidieerde maatregelen je risicoprofiel verbeteren, wat een korting van 10 tot 20 procent kan opleveren.

Wat gebeurt er als ik de door de verzekeraar gevraagde maatregelen niet volledig heb ingevoerd?

Dan loop je het risico dat een claim gedeeltelijk of geheel wordt afgewezen. Verzekeraars toetsen bij een schade of de opgegeven maatregelen daadwerkelijk actief waren. Zorg daarom dat je meervoudige authenticatie, back-ups binnen 30 dagen bijgewerkte systemen aantoonbaar op orde hebt.

Moet ik eerst de verzekering of eerst de subsidie regelen?

In de praktijk werkt het beter om eerst de subsidie aan te vragen en de maatregelen door te voeren, en pas daarna de verzekering af te sluiten. Zo profiteer je van een lagere premie en kun je bij de aanvraag aantonen dat de beveiliging op niveau is.

Hoeveel tijd kost het hele traject van nulmeting tot verzekerd zijn?

Reken op een totale doorlooptijd van ongeveer 4 tot 6 maanden, afhankelijk van het aanvraagvenster van de subsidie en de omvang van de implementatie. De subsidieaanvraag van 6 tot 10 weken en de implementatie van 6 tot 12 weken vormen daarin de grootste posten.

Geldt een de-minimisplafond ook voor beveiligingssubsidies?

Voor veel regelingen wel. Het plafond begrenst de totale staatssteun die je bedrijf over een periode van 3 jaar mag ontvangen. Ontvang je meerdere subsidies, tel die dan bij elkaar op om te controleren of je binnen de grens blijft voordat je een nieuwe aanvraag indient.

Dit artikel is informatief bedoeld en biedt geen advies dat is toegesneden op jouw specifieke bedrijf. Premies, polisvoorwaarden en subsidieregelingen wijzigen regelmatig en verschillen per situatie. Leg je plannen daarom voor aan een verzekeringsadviseur en een subsidiespecialist voordat je beslissingen neemt.