Kennisbank
Cyberverzekering voor gemeenten: kan het, en wat dekt het?
Een gemeente kan een cyberverzekering afsluiten, meestal via een makelaar en een aanbesteding. Verplicht is het niet. Wel vallen gemeenten sinds 15 augustus 2026 als essentiële entiteit onder de Cyberbeveiligingswet, met een zorgplicht en een meldplicht. De hack bij Hof van Twente in 2020 kostte € 4,2 mln: dat bedrag laat zien welke schade een gemeente zelf moet kunnen dragen als ze niet verzekert.
Bijgewerkt op 4 november 2026 door Dion Smits. Gegevens van verzekeraars komen van hun eigen site en voorwaarden; de bronnen staan onderaan.
Wat de Cyberbeveiligingswet van gemeenten vraagt
De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden, zonder overgangstermijn. Gemeenten, provincies, waterschappen en gemeenschappelijke regelingen zijn essentiële entiteiten, ongeacht hun omvang. Volgens de VNG betekent dat voor gemeenten:
- een cyberrisicoanalyse als onderdeel van het gewone risicobeheer;
- passende maatregelen volgens de Baseline Informatiebeveiliging Overheid (BIO2);
- registratie in het landelijke entiteitenregister en het melden van significante incidenten;
- een opleidingsplicht voor collegeleden, zodat zij cyberrisico’s kunnen beoordelen en erop sturen.
Een incident bij een gemeente is volgens de regeling voor de sector overheid onder meer significant als de dienstverlening ten minste vier uur uitvalt, of als de financiële gevolgen niet in de begroting op te vangen zijn. Die tweede grens is ook de vraag achter een verzekering: welke schade kan de gemeente zelf dragen?
De wet verplicht geen verzekering. Een polis vervangt ook geen maatregel: verzekeraars stellen eisen aan MFA, back-ups en het bijwerken van systemen die grotendeels overlappen met BIO2. Wat dat voor bestuurders betekent, staat in bestuurdersaansprakelijkheid na een cyberincident.
Verzekeren of de schade zelf dragen
Gemeenten verzekeren veel risico’s via de markt, en houden een deel zelf voor eigen rekening. Bij cyber spelen deze afwegingen.
IBD, 2017
Wat de IBD adviseert
De Informatiebeveiligingsdienst van de VNG schreef in 2017 dat een cyberverzekering voor gemeenten in eerste instantie niet direct nuttig lijkt. Volgens de IBD is het invoeren van de beveiligingsbaseline de beste verzekering. Een verzekeringsaanbod kan wel het bewustzijn bij bestuur en controllers vergroten.
Voor
Wat ervoor pleit
Verzekeren past bij een risico met een kleine kans en grote gevolgen. Een gemeente met weinig weerstandsvermogen krijgt met een polis een vast bedrag per jaar in plaats van een onvoorziene post van miljoenen, plus een incidentteam dat 24 uur per dag beschikbaar is.
Tegen
Wat ertegen pleit
Een polis vergoedt alleen wat in de voorwaarden staat, met een eigen risico, maxima en uitsluitingen. Grote gemeenten kunnen een schade soms goedkoper zelf dragen, en de IBD helpt bij incidenten als CERT voor gemeenten.
VNG Risicobeheer ondersteunt gemeenten bij hun verzekeringsportefeuille en het aanbesteden ervan, en verwijst voor de plaatsing naar een verzekeringsmakelaar. Een landelijk overzicht van gemeenten met een cyberpolis vonden we niet.
Wat een cyberpolis voor een gemeente dekt
Dezelfde rubrieken als bij een bedrijf, met andere accenten. Gemeenten kopen meestal maatwerk via een makelaar, dus de dekking staat in de offerte en niet op een productpagina.
| Rubriek | Gedekt? | Wat het voor een gemeente betekent |
|---|---|---|
| Incidentrespons en forensisch onderzoek | Ja | Een team dat de aanval stopt, onderzoekt hoe de aanvallers binnenkwamen en helpt bij het herstel. Bij een gemeente werkt dat team samen met de IBD. |
| Herstel van systemen en data | Ja | Opnieuw opbouwen van servers en terugzetten van data. Een betere beveiliging na het incident betaal je zelf. |
| Datalek | Ja | Juridisch advies, de melding bij de Autoriteit Persoonsgegevens, brieven aan inwoners en een callcenter. Bij een gemeente gaat het vaak om gevoelige gegevens, zoals uit het sociaal domein. |
| Extra kosten om door te werken | Let op | Een gemeente heeft geen omzet die wegvalt. Bedrijfsschade op basis van brutowinst past daarom slecht; extra kosten voor inhuur, overwerk en noodvoorzieningen zijn de relevante post. Vraag de makelaar hoe de polis dat regelt. |
| Aansprakelijkheid tegenover inwoners en bedrijven | Ja | Claims van mensen of bedrijven die schade lijden door een lek of storing bij de gemeente, inclusief de kosten van verweer. |
| Losgeld | Verschilt | Een deel van de polissen vergoedt losgeld. Voor een overheid is betalen een bestuurlijke keuze; de VNG adviseert gemeenten geen losgeld te betalen. |
Een cyberpolis aanbesteden
Een verzekering is een dienst. Ligt de premie over de looptijd boven de Europese drempel, dan besteedt de gemeente haar Europees aan, meestal met hulp van een makelaar. Gemeenten doen dat al voor hun aansprakelijkheids- en brandverzekeringen.
Bij een cyberpolis vraagt de verzekeraar naar de beveiliging: MFA, back-ups die los van het netwerk staan, detectie op werkplekken en servers, en de snelheid waarmee je updates installeert. De antwoorden heb je grotendeels al in je BIO2-verantwoording en de ENSIA-zelfevaluatie. Wat elke verzekeraar vraagt, staat per maatregel op eisen van verzekeraars.
Leg in de uitvraag vast hoe de polis omgaat met uitval bij een leverancier, met de oorlogsuitsluiting en met extra kosten in plaats van omzetverlies. Over de oorlogsuitsluiting lees je meer in oorlogsuitsluiting en statelijke hackers, over storingen bij een leverancier in IT-storing zonder hack.
Wat het een gemeente kostte
Ransomware, december 2020
Hof van Twente: € 4,2 mln
Aanvallers versleutelden servers en vernietigden back-ups. De gemeente betaalde geen losgeld en had bijna twee jaar nodig om alles te herstellen. De kosten kwamen uit op € 4,2 mln, ruim honderd euro per inwoner. Daarna stegen de vaste IT-uitgaven.
De rekenkamercommissie sprak in 2022 van een perfecte storm: maatregelen voor back-up en logging stonden voor 2020 gepland en monitoring was te duur bevonden. De rechtbank wees in mei 2023 de claim van € 4 mln op de IT-beheerder af; de gemeente beheerde het gehackte account zelf.
Dekking: Een polis had herstel en onderzoek vergoed, binnen het verzekerd bedrag. Een verzekeraar toetst wel of de gemeente aan de eisen uit de polis voldeed.
Bron: Binnenlands Bestuur, Computable, rekenkamercommissie Hof van Twente
Datadiefstal, april 2022
Buren: gegevens op het darkweb
Na een ransomware-aanval werd 130 GB aan gegevens van de gemeente Buren op het darkweb aangeboden, met persoonsgegevens en vertrouwelijke informatie. Daar zaten ook gegevens tussen van inwoners van Neder-Betuwe, omdat Buren voor die gemeente taken uit de Participatiewet uitvoert.
De gemeente liet direct forensisch onderzoek doen en informeerde inwoners, medewerkers en raadsleden.
Dekking: Juist bij gedeelde taken via een gemeenschappelijke regeling helpt het om vooraf te regelen wiens polis een datalek dekt.
Bron: Kamervragen, 2022
Voor andere publieke organisaties
Gemeentelijke bedrijven met een eigen rechtsvorm, zoals een afvalbedrijf of een parkeerbedrijf, kunnen een gewone zakelijke cyberverzekering afsluiten. Ze vallen onder dezelfde acceptatie als andere bedrijven: zakelijke cyberverzekering vergelijken.
Voor scholen en opleiders staat de situatie op cyberverzekering voor onderwijs, voor stichtingen en verenigingen, ook als ze subsidie van de gemeente krijgen, op cyberverzekering voor verenigingen en stichtingen.
Vragen over cyberverzekeringen voor gemeenten
Is een cyberverzekering verplicht voor gemeenten?
Nee. De Cyberbeveiligingswet verplicht gemeenten tot maatregelen volgens BIO2, het melden van significante incidenten en een opleiding voor collegeleden. Een verzekering staat er niet in.
Kan een gemeente zich verzekeren tegen een cyberaanval?
Ja. Gemeenten kunnen een cyberpolis via een makelaar en een aanbesteding afsluiten. De verzekeraar beoordeelt de beveiliging en stelt eisen, net als bij een bedrijf.
Wat adviseert de VNG over cyberverzekeringen?
De Informatiebeveiligingsdienst van de VNG schreef in 2017 dat een cyberverzekering in eerste instantie niet direct nuttig lijkt en dat beveiliging volgens de baseline de beste verzekering is. VNG Risicobeheer helpt gemeenten bij het verzekeren en aanbesteden van risico’s in het algemeen.
Wat kostte de hack bij Hof van Twente?
Het herstel kostte € 4,2 mln en duurde bijna twee jaar. De gemeente betaalde geen losgeld. Een claim van € 4 mln op de IT-beheerder wees de rechtbank in mei 2023 af.
Wanneer is een incident bij een gemeente significant?
Volgens de regeling voor de sector overheid onder meer als de dienstverlening ten minste vier uur uitvalt, of als de financiële gevolgen niet in de begroting op te vangen zijn. Een significant incident meldt de gemeente onder de Cyberbeveiligingswet.
Vergoedt een cyberpolis bedrijfsschade aan een gemeente?
Bedrijfsschade gaat uit van omzet en brutowinst, en die heeft een gemeente niet. Belangrijker zijn de extra kosten om door te werken, zoals inhuur en overwerk. Leg in de uitvraag vast hoe de polis die vergoedt.
Verder lezen
Bestuurdersaansprakelijkheid na een cyberincident
Wat de Cyberbeveiligingswet van bestuurders vraagt.
Bronnen
Geraadpleegd op 4 november 2026.
- VNG: Eerste Kamer stemt in met Cyberbeveiligingswet en Wwke
- NJB: Cyberbeveiligingswet, Stb. 2026, 187 en inwerkingtredingsbesluit
- Staatscourant 2026, 27679: Cyberbeveiligingsregeling sector overheid
- Binnenlands Bestuur: Cyberverzekeringen voor gemeenten weinig nuttig (20 oktober 2017)
- VNG: Beter inspelen op harde verzekeringsmarkt loont (4 september 2024)
- Binnenlands Bestuur: Herstel gehackt Hof van Twente nagenoeg klaar
- Computable: Rechter: Hof van Twente zelf schuldig aan hack (15 mei 2023)
- Rekenkamercommissie Hof van Twente: De perfecte storm (30 mei 2022, pdf)
- VNG: Raadgever digitale veiligheid (IBD als CERT voor gemeenten)
- Binnenlands Bestuur: VNG: betaal niet bij hacks
- Aanhangsel Handelingen 2021-2022, nr. 2807: Datalek gemeente Buren
Bekijk wat verzekeraars vragen
De eisen van verzekeraars per maatregel, met een test of je verzekerbaar bent.