Ondanks een steeds complexer beveiligings- en regelgevend landschap dalen premies en kosten voor cyberverzekeringen. Toch houden bedrijven hun beveiliging maar beter op orde.
Verzekeringsmaatschappij Marsh ziet een opvallende tweespalt in de Europese cyberverzekeringsmarkt. Hoewel cyberaanvallen alsmaar complexer worden en bedrijven aan strengere regelgevingseisen moeten voldoen, is het vandaag voordeliger om een cyberverzekering af te sluiten dan vijf jaar geleden. Cyberverzekeraars zwaaiden in 2026 zelfs met kortingen.
Het dreigingslandschap is de voorbije jaren stevig veranderd, merkt Sjaak Schouteren, Cyber Growth Leader voor Marsh Europe, op. “Aanvallers breken niet meer binnen, ze loggen simpelweg in. Identiteitsbeveiliging moet de topprioriteit voor beveiligingsleiders zijn.” Niet alleen accounts zijn erg in trek: cybercriminelen richten hun pijlen ook meer op OT-technologie, waardoor cyberaanvallen ook tot fysieke schade en verliezen kunnen leiden.
Dalende prijzen
Tegenwoordig sluiten heel wat organisaties een cyberverzekering af om zich tegen de schade van cyberaanvallen in te dekken. Je zou denken dat verzekeraars meer en complexere cyberaanvallen rijmen met hogere premies, maar het tegenovergestelde blijkt waar. “Premies daalde in het eerste kwartaal van 2026 met gemiddeld negen procent, terwijl het eigen risico met achttien procent daalde”, zegt Macarena Bandres, Cyber Placement Leader voor Marsh.
De daling zet zich al langer door. Premies piekten tot 2021 in de Europese markt, maar sinds een drietal jaar dalen de gemiddelde kosten kwartaal na kwartaal. Bandres heeft een dubbele verklaring: niet alleen is er meer concurrentie tussen (cyber)verzekeraars, het feit dat bedrijven beveiliging over het algemeen serieuzer nemen, biedt ook meer marges om kortingen toe te kennen. Vanbreda ziet een gelijkaardige trend op de Belgische markt.
Privacy domineert meldingen
Samen met premies daalt ook het aantal claims significant in 2025. Dit komt volgens Florian Sättler, Cyber Incident Management Leader voor Marsh, omdat 2024 een jaar met uitzonderlijk veel claims was. Het Crowdstrike-debacle, dat onder meer de luchtvaartindustrie wereldwijd lamlegde, was daar grotendeels verantwoordelijk voor.
Privacyschendingen zijn vandaag de grootste bron van schadeclaims met 73 procent van gemelde incidenten die Marsh binnenkrijgt. Veertien procent van de incidenten is terug te leiden naar een derde partij, wat de kwetsbaarheid van digitale toeleveringsketens onderstreept. Bedrijfsonderbreking blijft de voornaamste kostenpost bij cyberincidenten, goed voor achttien procent van de meldingen.
Sättler waarschuwt voor de impact van AI op cyberaanvallen. “De gemiddelde ‘breakout time’, de tijd die aanvallers nodig hebben om zich door een netwerk te bewegen, is gedaald naar 29 minuten. De snelste uitbraak bedroeg amper 27 seconden.” Ook zerodays worden meer en meer uitgebuit, wat betekent dat aanvallers vaker kwetsbaarheden sneller zien dan bedrijven zelf.
Digital Omnibus
Juuso Järviniemi is namens het CNECT-departement van de Europese Commissie, bevoegd voor communicatie, content en technologie, uitgenodigd voor het webinar. De Europese Unie heeft de afgelopen tien jaar de beveiligingsriem flink aangespannen voor de bedrijfswereld. Het begon met NIS1 in 2016, sinds 2024 opgevolgd door NIS2, maar vandaag telt het Europese regulerende kader verschillende wetgevende kaders zoals DORA en de Cyber Resilience Act.
De beveiligingswetten hebben als doel bedrijven bewuster om te laten gaan met hun beveiliging, maar Järviniemi geeft toe dat het misschien allemaal net iets te complex is geworden. “Iedere wet heeft een eigen meldingspunt. Organisaties die onder meerdere wetgevingen vallen, moeten hetzelfde incident soms tot bij vijf verschillende entiteiten melden. Dit ontmoedigt organisaties om te rapporteren.”
De huidige legislatuur wil werk maken van administratieve vereenvoudiging. De ‘Digital Omnibus’ bevat een voorstel om één centraal meldingspunt voor beveiligingsincidenten op te richten, overzien door het Europese cyberbeveiligingsagentschap ENISA. Minder administratie moet besparingen tot vijf miljard euro mogelijk maken tegen 2029 voor Europese bedrijven, berekende de Commissie. Privacy-experten vrezen echter dat de Digital Omnibus de privacywetgeving zal kortwieken.
“Let op: Digital Omnibus verandert niets aan de meldingsplicht”, benadrukt Järviniemi. “Beveiligingsincidenten moeten nog steeds gerapporteerd worden. Ook de rol van lokale autoriteiten blijft onveranderd. Maar vanuit bedrijven is er grote vraag om meldingen te centraliseren.”
Digital Omnibus is geen vrijstelling om incidenten niet meer te rapporteren.
Juuso Järviniemi, Policy Officer DG CNECT Europese Commissie
Ken je leveranciers
Lagere premies en minder complexere regels mogen absoluut geen reden zijn om de beveiliging te laten hangen. Manuel Coelho Dias, Cyber Resilience and Regulatory Compliance Manager bij Marsh, zet iedereen op het einde van het webinar nog eens op scherp. Digitale beveiliging strekt zich vandaag tot buiten de grenzen van de organisatie.
“65 procent van organisaties beschouwt supply chain als grootste uitdaging voor cyberweerbaarheid”, aldus Coelho Dias, verwijzend naar een studie door het World Economic Forum. “Het beheren van risico’s bij externe partijen komt meer onder belangstelling. In hedendaagse beveiliging hou je niet alleen je vrienden en vijanden, maar ook je leveranciers dichtbij.
Coelho Dias adviseert om je technologieleveranciers op basis van deze vier vragen te toetsen:
- Wie zijn je leveranciers?
- Hoe beveiligen ze hun data en systemen?
- Hoe gaan ze om met incidenten?
- Hoe ben je juridisch en contractueel verzekerd?
Een effectief beveiligingsbeleid moet risico’s binnen en buiten de organisatie identificeren, beoordelen en beperken. Wie dat niet heeft, betaalt vroeg of laat de prijs in de vorm van datalekken, operationele verstoringen, boetes of reputatieschade. Een cyberverzekering is dan niet meer dan een pleister op de wonde.