2026-07-19 · GIDS · Het Offensive Technology-team

Heb ik een pentest nodig voor een cyberverzekering?

Kort antwoord: Meestal niet volgens de wet, en veel polissen vereisen er geen, maar sommige verzekeraars vragen om een penetratietest of bewijs van periodiek testen bij hogere dekkingsniveaus. De echte drempel is de beveiligingsvragenlijst van de verzekeraar (MFA, EDR, geteste back-ups, een incident response-plan). Vul deze eerlijk in, want een materiële onjuiste voorstelling kan ertoe leiden dat een verzekeraar een claim afwijst of de polis nietig verklaart.

Het hangt af van de verzekeraar, en iedereen die je een harde ja of nee geeft, heeft je aanvraag niet gelezen. Er is geen wet die zegt dat een bedrijf een penetratietest moet uitvoeren om een cyberverzekering af te sluiten. Wat er wel is, is een markt van verzekeraars, elk met hun eigen vragenlijst, hun eigen vereiste maatregelen en hun eigen drempelwaarden. Of een pentest op jouw lijst staat, hangt af van welke verzekeraar je benadert en hoeveel dekking je wilt. Dit is hoe je ertegenaan moet kijken.

De echte vereiste is de aanvraag, niet de pentest

Moderne cyberverzekeringen draaien om een beveiligingsvragenlijst. Voordat een verzekeraar je een offerte geeft, willen ze weten hoe je jezelf verdedigt, omdat de antwoorden voorspellen hoe waarschijnlijk het is dat je een claim indient. Over de gehele markt clusteren de vragen zich rond een bekende set beheersmaatregelen:

• Multi-factor authenticatie, met name voor e-mail, toegang op afstand en accounts met uitgebreide rechten. Sinds de verharde markt van de vroege jaren 2020 is MFA bij vrijwel alle verzekeraars een basiseis geworden, en het ontbreken ervan kan een aanvraag op zichzelf al doen stranden.
• Endpoint detection and response op laptops en servers.
• Back-ups die worden getest en offline worden bewaard of anderszins zijn beschermd tegen ransomware.
• Een schriftelijk incident response-plan.
• Patch- en kwetsbaarheidsbeheer.

Penetratietesten staan wel of niet op die lijst. Sommige verzekeraars vragen of je regelmatig testen uitvoert. Sommige vragen om bewijs, zoals een managementsamenvatting van je laatste rapport. Andere vragen er bij lagere dekkingsniveaus helemaal niet om. Het patroon is over het algemeen dat de vraag naar een pentest toeneemt met de omvang van de polis: hoe meer je gedekt wilt hebben, hoe waarschijnlijker het is dat een verzekeraar bewijs wil dat een deskundige heeft geprobeerd in te breken.

Omdat dit zo sterk varieert, is het enige betrouwbare antwoord op "heb ik er een nodig": lees de specifieke aanvraag die voor je ligt, en vraag je tussenpersoon wat deze verzekeraar verwacht bij dit dekkingsniveau. Dat is geen ontwijkend antwoord. Het is hoe het proces daadwerkelijk werkt.

Waarom de eerlijkheid van je antwoorden belangrijker is dan de meeste kopers beseffen

Dit is het gedeelte dat van een papierwinkel een echt risico maakt, en het is de reden waarom wij ons überhaupt om dit onderwerp bekommeren.

Een verzekeringsaanvraag is een juridische verklaring. Wanneer je verklaart dat je overal MFA, geteste back-ups en EDR hebt ingezet, doe je uitspraken waarop de verzekeraar vertrouwt om de polis te prijzen en af te geven. Als die uitspraken onjuist zijn, zelfs per ongeluk, kan een verzekeraar later een claim betwisten of afwijzen, en in sommige gevallen de polis vernietigen, op grond van materiële misleiding. Dit is geen cyber-specifieke truc. Het is gewoon verzekeringsrecht, en het geldt hier onverkort.

Dat is waar testen zijn waarde bewijst, ongeacht of de aanvraag erom vraagt. Een vragenlijst vraagt je te verklaren dat een maatregel bestaat. Er wordt niet gecontroleerd of de maatregel daadwerkelijk werkt. Je kunt oprecht geloven dat MFA wordt afgedwongen op elk pad voor toegang op afstand en er toch naast zitten, omdat een vergeten VPN, een verouderde login of een service-account over het hoofd is gezien. Het gat tussen "we hebben het geconfigureerd" en "het houdt daadwerkelijk stand" is precies het gat dat een aanvaller gebruikt, en het is precies het gat dat een verklaarde maatregel verandert in een afgewezen claim.

Wat een pentest daadwerkelijk doet voor je verzekeringspositie

Eerlijk ingezet helpt testen op drie concrete manieren:

• Het verifieert je verklaringen voordat je ze ondertekent. Als je op het punt staat te verklaren dat je externe toegang goed is beveiligd, is het laten bevestigen daarvan vanuit het perspectief van de aanvaller een goedkope verzekering op je verzekering.
• Het kan wrijving verminderen, en soms ook de kosten. Verzekeraars belonen aantoonbare beveiliging. Een recente, geloofwaardige test kan de acceptatie versoepelen en bij sommige verzekeraars de voorwaarden verbeteren. We beloven geen specifieke korting, omdat dat volledig afhangt van de verzekeraar en wij dat niet kunnen garanderen.
• Het verkleint in de eerste plaats de kans op een claim. Het beste resultaat van een cyberverzekering is dat je deze nooit hoeft te gebruiken.

Wat een pentest niet doet, is je onkwetsbaar maken voor datalekken of onverzekerbaarheid. Het is een momentopname binnen de overeengekomen scope. Het zegt niets over het systeem dat je volgende maand uitrolt, en het is geen vervanging voor de operationele maatregelen, zoals MFA, back-ups en patching, die verzekeraars het zwaarst laten meewegen.

De praktische volgorde

Als een cyberverzekering de aanleiding is voor deze vraag, pak het dan in deze volgorde aan. Ten eerste, vraag de specifieke aanvraag op bij je tussenpersoon en lees wat deze verzekeraar vereist bij de gewenste dekking. Ten tweede, dicht de duidelijke lacunes in de beveiliging, zoals MFA, back-ups en EDR, omdat die de acceptatie het meest beïnvloeden. Ten derde, als de aanvraag om testen vraagt, of als je simpelweg wilt weten of je verklaringen kloppen voordat je ondertekent, bepaal dan een passende scope voor een test.

En voordat je je vastlegt op een volledig traject, is het de moeite waard om te zien wat een aanvaller vanaf de buitenkant al ziet, zodat je geen verklaringen aflegt over maatregelen die een vreemde in een middag kan weerleggen. Dat vervangt geen volledige penetratietest als je verzekeraar die eist, en dat zullen we je ook eerlijk vertellen.

Onze $100 check is die eerste blik: een gerichte beoordeling van je externe aanvalsoppervlak, uitgevoerd binnen een scope waarvan je schriftelijk hebt geverifieerd en geautoriseerd dat deze van jou is, beoordeeld door een senior operator en geleverd met een bespreking van 30 minuten. Het maakt een einde aan het gissen over wat een aanvaller ziet, wat het eerlijke uitgangspunt is voordat je je handtekening onder een vragenlijst zet.

Cyberverzekering en penetratietesten: snelle antwoorden

Heb ik een penetratietest nodig voor een cyberverzekering?

Het hangt af van de verzekeraar. Geen enkele wet verplicht dit en veel polissen vragen er niet om, maar sommige verzekeraars vragen om een penetratietest of bewijs van periodiek testen bij hogere dekkingsniveaus. Lees de specifieke aanvraag die voor je ligt.

Wat vereisen aanvragen voor cyberverzekeringen?

Een beveiligingsvragenlijst gericht op maatregelen: multi-factor authenticatie op e-mail, toegang op afstand en accounts met uitgebreide rechten; endpoint detection and response; geteste en beschermde back-ups; een schriftelijk incident response-plan; en patch- en kwetsbaarheidsbeheer.

Kan een penetratietest mijn premie voor de cyberverzekering verlagen?

Soms. Verzekeraars belonen aantoonbare beveiliging, en een recente, geloofwaardige test kan de acceptatie versoepelen, maar eventuele korting hangt af van de verzekeraar en wordt niet gegarandeerd.

Wat gebeurt er als ik de verzekeringsvragenlijst onjuist invul?

Een aanvraag is een juridische verklaring. Een materiële onjuiste voorstelling kan ertoe leiden dat de verzekeraar een claim later betwist, afwijst of de polis vernietigt, wat de reden is waarom het verifiëren van je verklaarde maatregelen voordat je ondertekent zo belangrijk is.

Gerelateerde artikelen

• Vereist SOC 2 een penetratietest?
• Wat kunnen aanvallers zien over jouw bedrijf?