Kennisbank
NIS2 en je cyberverzekering: wat de Cyberbeveiligingswet vraagt
NIS2 verplicht je niet tot een cyberverzekering. De Cyberbeveiligingswet, de Nederlandse NIS2-wet sinds 15 augustus 2026, vraagt een zorgplicht, een meldplicht en een registratieplicht. Een cyberverzekering helpt bij de meldplicht en betaalt de kosten van een incident. Een boete onder de wet, tot € 10 mln of 2% van de omzet, is alleen verzekerd voor zover de wet dat toestaat.
Bijgewerkt op 5 november 2026 door Dion Smits. Gegevens van verzekeraars komen van hun eigen site en voorwaarden; de bronnen staan onderaan.
Voor wie geldt de Cyberbeveiligingswet?
De wet geldt voor middelgrote en grote organisaties in de sectoren die ze noemt, zoals energie, transport, zorg, digitale infrastructuur, afvalwater en een deel van de productie. Met 50 of meer medewerkers, of een jaaromzet en balanstotaal van meer dan € 10 mln, ben je een belangrijke entiteit. Vanaf 250 medewerkers, of meer dan € 50 mln omzet en € 43 mln balanstotaal, ben je een essentiële entiteit.
Kleinere bedrijven vallen er meestal niet onder. Ze krijgen er wel mee te maken als leverancier: organisaties onder de wet moeten de beveiliging van hun keten regelen en stellen eisen aan hun leveranciers.
Wat je cyberverzekering doet bij de Cyberbeveiligingswet
Per verplichting uit de wet: helpt een cyberverzekering?
| Verplichting | Helpt de polis? | Toelichting |
|---|---|---|
| ZorgplichtMaatregelen voor cyberrisicobeheer | Deels | De polis vervangt geen maatregelen. Wel leveren veel verzekeraars preventie mee: scans, training en beveiligingssoftware. |
| Meldplicht24 uur, 72 uur en 1 maand | ✓ Ja | De hulplijn zet juristen en forensisch specialisten in die helpen bij de melding en het eindverslag. |
| Registratieplicht | ✕ Nee | Je registreert je organisatie zelf bij de toezichthouder. |
| Kosten van een incident | ✓ Ja | Onderzoek, herstel, omzetverlies en claims, zoals bij elke cyberpolis. |
| Boete van de toezichthouder | Voor zover verzekerbaar | Niet bij opzet of grove schuld. Stoïk noemt boetes onder NIS2 uitdrukkelijk. |
| Aansprakelijkheid van bestuurders | ✕ Meestal niet | Daarvoor is een bestuurdersaansprakelijkheidsverzekering (D&O). Eye Security dekt bestuurders in de context van een cyberincident. |
Boetes onder de Cyberbeveiligingswet
De maximale boetes liggen in dezelfde orde als die van de AVG. Een cyberverzekering betaalt ze alleen voor zover de wet dat toestaat.
Tot € 10 mln
Essentiële entiteit
Tot € 10 mln of 2% van de wereldwijde jaaromzet, het hoogste van de twee. De toezichthouder controleert ook zonder aanleiding.
Tot € 7 mln
Belangrijke entiteit
Tot € 7 mln of 1,4% van de wereldwijde jaaromzet. Toezicht volgt meestal pas na een signaal of incident.
Onder voorwaarden
Verzekerd?
In Nederland verbiedt de wet het verzekeren van een bestuurlijke boete niet. Verzekeraars betalen niet bij opzet of grove schuld. Een boete valt binnen je verzekerd bedrag.
Verzekeraars en NIS2
Drie verzekeraars noemen NIS2 of bestuurders uitdrukkelijk in hun dekking of premie.
Markel: 15% korting
Markel geeft 15% korting op de premie als je voldoet aan NIS2 Supply Chain SC20, of als 85% van je werkplekken EDR heeft.
Stoïk: boetes onder NIS2
Stoïk dekt onderzoekskosten en administratieve boetes onder de AVG, NIS2 en DORA, voor zover die verzekerbaar zijn.
Eye Security: bestuurders
Eye dekt bestuurders, commissarissen en werknemers in de context van een cyberincident. Volgens Eye vervangt dat geen D&O-polis.
Vragen over NIS2 en verzekeren
Is een cyberverzekering verplicht onder NIS2?
Nee. Noch de NIS2-richtlijn noch de Cyberbeveiligingswet verplicht een verzekering.
Sinds wanneer geldt de Cyberbeveiligingswet?
Sinds 15 augustus 2026. De Eerste Kamer stemde op 7 juli 2026 in.
Wat zijn de meldtermijnen?
Een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindverslag binnen een maand, bij het NCSC of je sectorale CSIRT.
Helpt een cyberverzekering bij de meldplicht?
Ja. De hulplijn zet juristen en forensisch specialisten in die de informatie voor de melding verzamelen.
Is een NIS2-boete verzekerd?
Een boete voor het bedrijf alleen voor zover de wet het toestaat, en niet bij opzet of grove schuld. Een boete voor een bestuurder persoonlijk valt niet onder de cyberpolis van het bedrijf.
Verder lezen
Bronnen
Geraadpleegd op 5 november 2026.
Vergelijk cyberverzekeringen
Dekking voor incidenten, meldplicht en boetes per verzekeraar.