Kennisbank
Wat kost een cyberaanval? Cijfers en rekenhulp voor je bedrijf
Een cyberaanval kost een bedrijf vooral geld door stilstand en herstel. Bij de Europese verzekeraar Stoïk kostte een claim in 2024 gemiddeld € 54.876. De Amerikaanse verzekeraar Coalition betaalde in 2025 bij ransomware gemiddeld $ 262.000 en bij e-mailfraude $ 27.000. Met de rekenhulp schat je wat een incident jouw bedrijf kost en welk deel een cyberverzekering vergoedt.
Bijgewerkt op 4 november 2026 door Dion Smits. Gegevens van verzekeraars komen van hun eigen site en voorwaarden; de bronnen staan onderaan.
Reken uit wat een aanval jouw bedrijf kost
Stilstand is bij de meeste bedrijven de grootste post. Vul je omzet, je marge en het aantal dagen in dat je systemen niet werken. Daarna tel je de kosten van herstel op.
De velden staan op een voorbeeld: een bedrijf met € 1 mln omzet en tien medewerkers dat drie werkdagen half stilligt. Pas ze aan naar jouw bedrijf. Alle bedragen zijn exclusief btw.
1. Stilstand
Welk deel van je werk ligt stil?
2. Herstel
3. Als het erger is
Gemiste brutowinst door stilstand€ 2.400
waarvan de eerste werkdag€ 800
Specialisten voor onderzoek en herstel€ 5.250
Overuren van je eigen mensen€ 1.800
Software, licenties en hardware€ 1.500
Juridisch advies en melden€ 0
Geld kwijt aan oplichters€ 0
Wat het incident je kost€ 10.950
De rekenhulp rekent met 250 werkdagen per jaar. Gemiste brutowinst is het deel van je omzet waaruit je vaste kosten, zoals loon en huur, en je winst betaald worden. Verzekeraars rekenen bedrijfsschade op dezelfde manier uit. Met een wachttijd van 8 uur valt de eerste werkdag meestal buiten de dekking voor bedrijfsschade.
Uitkomst hoger dan je verzekerd bedrag? Avéro Achmea verzekert van € 25.000 tot € 2 mln, Markel van € 100.000 tot € 2,5 mln, en bedrijfsschade heeft vaak een eigen maximum. Wat een polis per jaar kost, staat op wat kost een cyberverzekering.
Welke kosten een cyberverzekering vergoedt
Per kostenpost uit de rekenhulp: wat de meeste polissen dekken en waar de verschillen zitten. Gegevens uit de voorwaarden van de verzekeraars, peildatum 4 november 2026.
| Kostenpost | Gedekt? | Toelichting |
|---|---|---|
| Gemiste brutowinst | Ja na wachttijd | Onder de rubriek bedrijfsschade, na een wachttijd van meestal 8 tot 12 uur. Allianz betaalt tot 180 dagen, Avéro Achmea tot 90 dagen, AIG en Hienfeld tot 365 dagen. Storing zonder hack is bij een deel van de polissen een optie. |
| Specialisten voor onderzoek en herstel | Ja | Onder incidentrespons. Bij AIG en Avéro Achmea betaal je de eerste 48 uur geen eigen risico, bij Hienfeld de eerste 72 uur. De verzekeraar kiest vaak zelf de specialisten; je eigen IT-partner werkt mee in overleg. |
| Overuren van je eigen mensen | Meestal | Als extra kosten onder bedrijfsschade, om de stilstand te beperken. Hiscox noemt extra werkuren uitdrukkelijk. |
| Software en data herstellen | Ja | Het opnieuw installeren van systemen en terugzetten van data valt onder herstel. Een verbetering van je beveiliging na het incident betaal je zelf. |
| Nieuwe hardware | Beperkt | Alleen bij een deel van de polissen, en vaak alleen als de apparatuur door de aanval onbruikbaar is geworden. Controleer de rubriek herstel of schade aan hardware. |
| Juridisch advies en melden van een datalek | Ja | Onder de datalekrubriek: advies over de melding bij de Autoriteit Persoonsgegevens, brieven aan betrokkenen en een callcenter. Een boete van de AP is onder voorwaarden verzekerbaar; de meeste polissen dekken haar voor zover de wet dat toestaat. |
| Geld overgemaakt naar oplichters | Alleen met rubriek | Alleen met een rubriek voor cyberdiefstal of social engineering, vaak met een apart en lager maximum. Markel dekt dit tot € 100.000 met een betalingsprotocol. |
| Losgeld | Verschilt | Een deel van de verzekeraars vergoedt losgeld onder cyberafpersing, na overleg. |
| Klanten die weglopen | Nee | Omzet die je na het herstel misloopt omdat klanten vertrokken zijn, valt buiten de meeste polissen. Bij een deel telt een herstelperiode na de stilstand mee. |
Per verzekeraar uitgewerkt: bedrijfsschade, datalek en AVG-boete, ransomware en losgeld en CEO-fraude en phishing.
Wat onderzoeken zeggen over de kosten
Er is geen officieel cijfer voor de kosten van een cyberaanval in Nederland. Deze bronnen meten elk iets anders: het CBS vraagt het aan alle bedrijven, verzekeraars kijken naar hun eigen claims.
| Bron | Wat is gemeten | Uitkomst |
|---|---|---|
| CBS Cybersecuritymonitor 2025 | Nederlandse bedrijven met kosten door een aanval van buitenaf | 1% in 2024, tegen 6% in 2016 |
| ABN AMRO en MWM2 788 bedrijven, 2025 | Nederlandse bedrijven met schade door een cyberaanval in 2024 | 1 op de 5, bij grote bedrijven 3 op de 10; 8% had financiële schade |
| Stoïk Cyber-Schadenbericht 2024 | Gemiddelde claim bij Europese klanten | € 54.876 per claim |
| Coalition Cyber Claims Report 2026 | Gemiddelde claim in de VS, het VK, Canada en Australië, 2025 | $ 116.000 gemiddeld; ransomware $ 262.000; e-mailfraude $ 27.000 |
| Hiscox Cyber Readiness Report 2026 | Jaarlijkse kosten van cyberincidenten bij ondervraagde bedrijven wereldwijd | Ongeveer $ 52.000 per jaar en gemiddeld 32 uur stilstand per aanval |
Waarom de bedragen zo uiteenlopen
Gemiddelde of mediaan. Een paar grote ransomwareschades trekken het gemiddelde omhoog. De mediaan, het middelste bedrag, ligt vaak veel lager. Het bedrag van € 67.000 dat op veel sites staat, is de mediaan uit het Hiscox Cyber Readiness Report van 2020 voor Nederlandse organisaties die schade hadden. Een jaar eerder was dat in hetzelfde onderzoek € 10.800.
Enquête of claim. Enquêtes vragen bedrijven om een schatting, inclusief kosten die geen verzekeraar vergoedt. Claimcijfers tellen alleen wat verzekerd en gemeld is, bij bedrijven die een polis hebben en dus vaak beter beveiligd zijn.
Land en omvang. Amerikaanse cijfers liggen hoger door advocatenkosten en claims van klanten. Grote bedrijven hebben meer systemen, meer data en meer omzet die stilvalt.
Voor je eigen beslissing zegt de rekenhulp hierboven meer dan een landelijk gemiddelde. Je omzet per dag en de tijd dat je zonder systemen kunt werken, bepalen het grootste deel van je schade.
Twee voorbeelden uit Nederland
Gemeente, december 2020
Hof van Twente: € 4,2 mln
Ransomware versleutelde servers en vernietigde back-ups. De gemeente betaalde geen losgeld en had bijna twee jaar nodig om alles te herstellen. De kosten kwamen uit op € 4,2 mln, daarna stegen de vaste IT-uitgaven.
De gemeente probeerde de schade te verhalen op haar IT-beheerder. De rechtbank oordeelde in mei 2023 dat de gemeente zelf tekortschoot: de aanvallers kwamen binnen via een account met het wachtwoord Welkom2020.
Dekking: Herstel, onderzoek en bedrijfsschade vallen onder een cyberverzekering. Een verzekeraar kan de uitkering verminderen als je je niet aan de polis-eisen hield.
Bron: Binnenlands Bestuur, Computable
Onderwijs, december 2019
Universiteit Maastricht: bijna € 200.000 losgeld
Ransomware legde op 23 december 2019 de systemen plat. De universiteit betaalde bijna € 200.000 losgeld in bitcoin. De totale schade was volgens de universiteit veel hoger.
De politie spoorde later een deel van het losgeld op. Door de koersstijging kreeg de universiteit ongeveer een half miljoen euro terug.
Dekking: Losgeld vergoeden alleen verzekeraars met een rubriek cyberafpersing, meestal na overleg met hun specialisten.
Bron: Openbaar Ministerie
Vragen over de kosten van een cyberaanval
Wat kost een cyberaanval gemiddeld?
Er is geen officieel Nederlands cijfer. Bij Stoïk kostte een claim in 2024 gemiddeld € 54.876. Coalition betaalde in 2025 gemiddeld $ 116.000 per claim, met $ 262.000 bij ransomware. Voor je eigen bedrijf telt vooral je omzet per dag en hoe lang je stilligt.
Wat is de grootste kostenpost?
Meestal de stilstand: omzet die je misloopt terwijl je vaste kosten doorlopen. Daarna volgen de kosten van IT- en forensisch specialisten en het herstel van systemen en data. Bij e-mailfraude is het overgemaakte bedrag de grootste post.
Klopt het dat een cyberaanval € 67.000 kost?
Dat bedrag is de mediaan uit het Hiscox Cyber Readiness Report van 2020, voor Nederlandse organisaties die schade hadden. Het is geen actueel gemiddelde en zegt weinig over jouw bedrijf.
Vergoedt een cyberverzekering alle kosten?
Nee. Je betaalt het eigen risico, de eerste uren stilstand vallen onder de wachttijd en elke rubriek heeft een maximum. Verbeteringen aan je beveiliging na het incident en klanten die weglopen, betaal je meestal zelf.
Hoeveel moet ik verzekeren?
Neem de uitkomst van de rekenhulp voor een stilstand van een week of langer, en tel daar een marge bij op voor een datalek of aansprakelijkheid tegenover klanten. Avéro Achmea verzekert bijvoorbeeld van € 25.000 tot € 2 mln, Markel van € 100.000 tot € 2,5 mln.
Wat kost een cyberverzekering zelf?
Voor zzp'ers vanaf € 20 per maand bij Alicia. Markel begint bij € 375 per jaar en AIG bij € 540, voor de kleinste omzetklasse. De premies per verzekeraar staan op wat kost een cyberverzekering.
Verder lezen
Bedrijfsschade na een cyberaanval
Wachttijd, uitkeringsduur en storing zonder hack per verzekeraar.
Bronnen
Geraadpleegd op 4 november 2026.
- CBS: Minder bedrijven met cyberincident, vooral grote bedrijven weerbaarder (28 mei 2026)
- ABN AMRO: Eén op de vijf Nederlandse bedrijven leed in 2024 schade door cyberaanval
- Cash.Online: Cyber-Schadenbericht 2024 van Stoïk, € 54.876 per claim
- Business Insurance: Business email compromise tops cyber claims, Coalition (2026)
- Risk & Insurance: Coalition 2026 Cyber Claims Report
- ZZP Nederland: Hiscox Cyber Readiness Report 2026 (22 oktober 2026)
- Computable: Hiscox Cyber Readiness Report 2020, mediaan Nederland
- Binnenlands Bestuur: Herstel gehackt Hof van Twente nagenoeg klaar
- Computable: Rechter: Hof van Twente zelf schuldig aan hack (15 mei 2023)
- Openbaar Ministerie: succes in onderzoek cyberaanval Universiteit Maastricht (2 juli 2022)
Verzeker de kosten die je niet zelf kunt dragen
Vergelijk bedrijfsschade, incidentrespons en eigen risico van de verzekeraars.