Een cyberverzekering aanvragen, een polis verlengen, of het IT-beveiligingsgedeelte invullen dat beroepsaansprakelijkheidsverzekeraars steeds vaker opnemen? De vragen zijn technisch: meervoudige verificatie (MFA), back-ups, endpointbescherming, patchen, beheerdersaccounts, e-mailbeveiliging, incidentrespons. Cyber Insurance Express helpt u elk antwoord voor te bereiden op basis van wat daadwerkelijk is ingesteld in uw Microsoft 365-tenant, en vertelt u duidelijk welke vragen Microsoft 365 niet kan beantwoorden.
De beveiligingsvragenlijst is een centraal onderdeel geworden van het afsluiten of verlengen van een cyberdekking, en is zelden eenvoudig nauwkeurig te beantwoorden.
Is meervoudige verificatie afgedwongen voor elke externe toegang en elke beheerder? Worden back-ups offline of onveranderbaar bewaard, en is een herstel getest? Beschikken alle endpoints over een detectie- en responstool? Is verouderde verificatie voor e-mail uitgeschakeld? Een bedrijfseigenaar, een financieel directeur of zelfs een drukke IT-generalist heeft deze antwoorden zelden direct bij de hand, en al helemaal niet met bewijs.
De vragenlijst vormt onderdeel van hoe de verzekeraar het risico inschat dat hij aanvaardt. Een antwoord dat onjuist blijkt, kan tot een geschil met de verzekeraar leiden, vooral na een incident. De precieze gevolgen hangen af van uw contract en het toepasselijke recht: laat die controleren door uw makelaar of verzekeraar. Waar u zelf invloed op heeft, is de juistheid van wat u verklaart.
Beleidsregels voor voorwaardelijke toegang, toewijzingen van beheerdersrollen, mailboxprotocollen, DNS-records voor e-mailauthenticatie, apparaatnaleving en auditlogging één voor één controleren, vraag na vraag, kost uren werk in verschillende beheerportalen. In een klein of middelgroot bedrijf concurreert dat werk met alles wat het IT-team nog meer moet doen.
Nieuwe aanvraag, jaarlijkse verlenging, wijziging van makelaar of verzekeraar, aanbesteding door een grote klant die naar uw dekking vraagt: dezelfde vragen komen terug, vaak anders geformuleerd. Zonder een gestructureerd bewijsdossier begint elke ronde opnieuw en gaat eerder werk verloren.
Elke verzekeraar stelt zijn eigen vragenlijst op, en de formulering verandert van formulier tot formulier en van jaar tot jaar. De onderstaande thema's komen vaak terug. Ze worden hier beschreven als terugkerende thema's, niet als een citaat uit het formulier van een bepaalde verzekeraar.
Per thema leggen we uit wat de vraag doorgaans wil vaststellen, wat uw Microsoft 365-tenant als bewijs kan tonen, en wat buiten Microsoft 365 valt en op een andere manier moet worden gedocumenteerd. De links verwijzen naar de eigen openbare documentatie van Microsoft over de betreffende functie.
Wat doorgaans wordt gevraagd: is MFA verplicht voor e-mail, externe toegang, cloudapplicaties en voor elk beheerdersaccount, met of zonder uitzonderingen?
Wat Microsoft 365 kan tonen: of de standaardinstellingen voor beveiliging zijn ingeschakeld, welke beleidsregels voor voorwaardelijke toegang MFA vereisen, voor wie ze gelden en wie is uitgesloten; de verificatiemethoden die gebruikers hebben geregistreerd; en of verouderde verificatieprotocollen, die geen MFA ondersteunen, zijn geblokkeerd.
Buiten M365: een VPN, een gateway voor Extern bureaublad of een bedrijfsapplicatie die niet via Microsoft Entra ID aanmeldt, moet afzonderlijk worden gedocumenteerd.
Wat doorgaans wordt gevraagd: worden kritieke systemen en gegevens geback-upt, is minstens één kopie geïsoleerd van het netwerk of beschermd tegen wijziging, hoe vaak gebeurt dat, en wanneer is een herstel voor het laatst getest?
Wat Microsoft 365 kan tonen: weinig dat deze vraag beantwoordt. Bewaarinstellingen in Microsoft 365 zijn geen back-up die geïsoleerd is van uw eigen beheerdersaccounts, en wij presenteren ze ook niet als zodanig.
Buiten M365: uw back-upoplossing, de isolatie van de kopieën en uw herstelrapporten. De begeleide workshop vraagt u die te beschrijven en uw eigen bewijs bij te voegen, en het document labelt dit antwoord als aangegeven, niet als gemeten.
Wat doorgaans wordt gevraagd: zijn alle werkstations en servers beschermd door een endpoint detection and response-tool, wordt die bewaakt, en zijn de apparaten versleuteld?
Wat Microsoft 365 kan tonen: wanneer apparaten worden beheerd met Microsoft Intune en beschermd met Microsoft Defender: de apparaatinventaris, de resultaten van nalevingsbeleid (bijvoorbeeld versleuteling en minimale besturingssysteemversie) en de beveiligingsaanbevelingen in Microsoft Secure Score.
Buiten M365: een EDR van een derde, niet-beheerde apparaten en on-premises servers die niet in Microsoft-tools zijn opgenomen. Die worden gemarkeerd, niet geraden.
Wat doorgaans wordt gevraagd: hoe snel worden beveiligingsupdates toegepast, worden nog niet-ondersteunde besturingssystemen gebruikt, en worden kritieke kwetsbaarheden op internetgerichte systemen bijgehouden?
Wat Microsoft 365 kan tonen: voor apparaten die met Intune worden beheerd, nalevingsregels voor minimale besturingssysteemversies en welke apparaten daaraan niet voldoen; waar een licentie beschikbaar is, Defender-aanbevelingen.
Buiten M365: netwerkapparatuur, firewalls, bedrijfskritische servers en applicaties, en uw patchprocedure zelf. De workshop helpt u die in gewone taal te beschrijven.
Wat doorgaans wordt gevraagd: hoeveel personen beheerdersrechten hebben, gebruiken beheerders aparte accounts voor dagelijks werk, is MFA voor hen verplicht, en is bevoorrechte toegang tijdsbeperkt of goedgekeurd?
Wat Microsoft 365 kan tonen: wie welke Microsoft Entra-beheerdersrol heeft, of toewijzingen permanent zijn of in aanmerking komend (eligible) via Privileged Identity Management (waar een licentie beschikbaar is), en of MFA op die rollen van toepassing is.
Buiten M365: lokale beheerdersaccounts op servers en werkstations, domeinbeheerders in een on-premises Active Directory, en beheertoegang tot systemen van derden.
Wat doorgaans wordt gevraagd: zijn SPF, DKIM en DMARC ingesteld, worden phishing en kwaadaardige bijlagen gefilterd, zijn verouderde mailboxprotocollen uitgeschakeld, en wordt automatisch doorsturen naar externe adressen beheerst?
Wat kan worden getoond: de gepubliceerde SPF- en DMARC-records van uw domeinen (openbare DNS-gegevens), de DKIM-ondertekeningsconfiguratie, de beveiligingsbeleidsregels van Exchange Online en Defender for Office 365, en de protocollen die op mailboxen zijn toegestaan.
Buiten M365: een e-mailgateway van een derde vóór Microsoft 365, en bewustwordingstraining van gebruikers, die u zelf documenteert.
Wat doorgaans wordt gevraagd: is er een schriftelijk incidentresponsplan, wie wordt er als eerste gebeld, is het geoefend, en worden beveiligingslogs lang genoeg bewaard om te kunnen onderzoeken?
Wat Microsoft 365 kan tonen: of het uniforme auditlogboek actief en doorzoekbaar is, en de bewaartermijn die erop van toepassing is. Microsoft documenteert dat Audit (Standard) standaard is ingeschakeld voor organisaties met het juiste abonnement en dat het gegevens 180 dagen bewaart.
Buiten M365: het plan zelf. De workshop levert een eerste concept van een beknopt responsplan op, inclusief, voor organisaties in Frankrijk, de reflex om binnen 72 uur aangifte te doen (zie hieronder).
Vragenlijsten vragen ook vaak naar het aantal medewerkers en de gegevens die worden bewaard, eerdere incidenten, het gebruik van dienstverleners met toegang tot uw systemen, gegevensversleuteling en beveiligingstraining. Sommige hiervan zijn feiten die alleen u kunt verklaren. Andere, zoals instellingen voor extern delen of gastaccounts in Microsoft 365, kunnen worden gemeten.
Microsoft Secure Score zelf stelt dat het geen absolute maat is voor hoe waarschijnlijk het is dat u wordt gehackt. Wij gebruiken gemeten instellingen als bewijs voor specifieke antwoorden, nooit als garantie.
Waar elk antwoord vandaan komt, en hoe het in uw document wordt gelabeld.
| Thema | Waar het bewijs vandaan komt | Label in uw document |
|---|---|---|
| MFA | Microsoft Entra ID: standaardbeveiliging, beleid voor voorwaardelijke toegang, geregistreerde verificatiemethoden, status van verouderde verificatie | Gemeten, met uitzonderingen benoemd op naam van beleid of groep |
| Back-ups | Uw back-uptool en herstelrapporten | Door u aangegeven, met uw bijlagen |
| Endpointbescherming | Intune en Defender, indien gebruikt; anders uw EDR-console | Gemeten voor beheerde apparaten; aangegeven voor de rest |
| Patchen | Intune-nalevingsresultaten; uw procedure voor servers en netwerkapparatuur | Deels gemeten, deels aangegeven |
| Bevoorrechte accounts | Toewijzingen van Microsoft Entra-rollen, Privileged Identity Management waar een licentie beschikbaar is | Gemeten voor Microsoft 365; aangegeven voor on-premises |
| E-mailbeveiliging | Openbare DNS (SPF, DMARC), DKIM-configuratie, beleid van Exchange Online en Defender for Office 365 | Gemeten |
| Incidentrespons en logs | Status van het uniforme auditlogboek; uw schriftelijke plan | Logs gemeten; plan opgesteld in de workshop, door u gevalideerd |
Eenvoudige regel: niets in het document wordt als gemeten gepresenteerd tenzij het ook gemeten is. Een vraag die Microsoft 365 niet kan beantwoorden, blijft zichtbaar als zodanig gemarkeerd, zodat u, en niet een tool, beslist wat u aan uw verzekeraar meldt.
Een route in vier stappen die u zelf doorloopt. U houdt de regie van de eerste vraag tot het definitieve document.
Een korte online test: vraagt u een cyberdekking aan, verlengt u die, of beantwoordt u het IT-beveiligingsgedeelte van een beroepsaansprakelijkheids- of andere polis? Is uw bedrijf gevestigd in Frankrijk, waar de regel van 72 uur voor aangifte geldt? Welke delen van uw IT draaien op Microsoft 365? Het resultaat laat zien welke thema's op u van toepassing zijn en wat u moet verzamelen.
Een online workshop leidt u door elk thema. U antwoordt vrij, in uw eigen tempo, met uitleg over wat elke vraag betekent en waarom verzekeraars die stellen. Waar Microsoft 365 bewijs kan leveren, wordt het gemeten resultaat naast uw antwoord geplaatst, zodat elk verschil tussen wat u denkt en wat is ingesteld zichtbaar wordt voordat u iets verklaart.
U ontvangt een gestructureerd document op naam van uw bedrijf: antwoorden per thema, het bewijs bij elk antwoord, punten buiten het bereik gemarkeerd, en een eerste concept van een incidentresponsblad. Het is een werkbasis die door uw eigen adviseur, makelaar of jurist moet worden nagelezen en gevalideerd voordat het wordt gebruikt.
Als u een tweede paar ogen wilt, kan een partneradviseur het document met u doornemen, helpen hiaten te dichten vóór de verlenging, of helpen de punten buiten Microsoft 365 te documenteren. Deze stap is optioneel; de eerste drie stappen zijn ontworpen om zelfstandig te worden afgerond.
Belangrijk: het document is een werkbasis en vormt geen juridisch advies. Het vervangt de vragenlijst van uw verzekeraar niet, die u zelf invult en ondertekent, en het verbindt geen enkele verzekeraar ertoe u te dekken. De juistheid van uw uiteindelijke verklaring blijft uw verantwoordelijkheid.
Eén bewijsdossier, eerlijk over wat wel en niet is gemeten, dat u bij elke verlenging kunt hergebruiken.
Een helder antwoord per terugkerend thema, klaar om over te nemen in het eigen formulier van uw verzekeraar.
De instellingen die elk antwoord onderbouwen, zoals ze in uw tenant zijn aangetroffen op de datum van meting.
Waar uw antwoord en de gemeten configuratie niet overeenkomen, verschijnt dat hier eerst.
Een kort eerste concept om aan te vullen met uw eigen contactpersonen en intern te valideren.
Elke juridische of regelgevende uitspraak in het document verwijst naar de officiële bron.
Volgend jaar meet u opnieuw en vergelijkt u, in plaats van opnieuw te beginnen.
Twee minuten om een wettelijke regel te onderscheiden van goede praktijk, telkens met de officiële bron.
Sinds 24 april 2023 maakt artikel L12-10-1 van de Franse Verzekeringswet (Code des assurances) elke verzekeringsuitkering ter vergoeding van verliezen en schade veroorzaakt door een aanval op een geautomatiseerd gegevensverwerkingssysteem afhankelijk van het feit dat het slachtoffer uiterlijk 72 uur nadat het op de hoogte is geraakt van de aanval aangifte doet bij de bevoegde autoriteiten. De termijn begint wanneer u op de hoogte raakt van de aanval, niet wanneer die begon.
Het artikel is ingevoerd bij artikel 5 van wet nr. 2023-22 van 24 januari 2023 (bekend als LOPMI). Het verplicht niemand tot het afsluiten van een cyberverzekering: het stelt een voorwaarde om uitbetaald te worden wanneer een contract cyberaanvallen al dekt.
Een informatieblad van het ministerie van Binnenlandse Zaken, verspreid via Cybermalveillance.gouv.fr, het Franse overheidsplatform voor cyberslachtoffers, herinnert professionele slachtoffers eraan dat de wet van 2023 hen verplicht aangifte te doen om hun recht op vergoeding onder hun verzekeringscontract veilig te stellen, binnen 72 uur nadat zij op de hoogte zijn van de aanval. Het noemt het activeren van de verzekeringsvergoeding ook als een van de redenen om aangifte te doen.
Het Agentschap van de Europese Unie voor cyberbeveiliging (ENISA) publiceerde op 21 februari 2024 "Cyber Insurance - Models and methods and the use of AI". Het doel is cyberrisico en cyberverzekering te introduceren, een overzicht te geven van bestaande onderzoeks- en modelleringsbenaderingen, en hiaten voor toekomstig onderzoek te identificeren. Het is nuttige achtergrond over waarom verzekeraars proberen de beveiligingsstatus van de bedrijven die zij dekken te beoordelen.
Voor entiteiten binnen het toepassingsgebied somt artikel 21 van richtlijn (EU) 2022/2555 (NIS2) maatregelen voor cyberbeveiligingsrisicobeheer op, waaronder incidentafhandeling, bedrijfscontinuïteit zoals back-upbeheer en disaster recovery, basale cyberhygiëne en training, toegangsbeheer en het gebruik van multifactorauthenticatie. Ook buiten NIS2 betekent de overlap met de thema's van verzekeraars dat het bewijs dat u voor het ene verzamelt, ook voor het andere dient.
ANSSI, het Franse nationale agentschap voor cyberbeveiliging, en AMRAE, de Franse vereniging van risk- en verzekeringsmanagers, publiceerden een gids voor bestuurders, "Controlling the digital risk - the trust advantage", beschikbaar in het Engels en Frans. Zij presenteren digitaal risicobeheer als een stapsgewijze aanpak voor organisaties van elke omvang, precies het kader waarin de vragenlijst van een verzekeraar moet worden gelezen.
Artikel 32 van de AVG vereist passende technische en organisatorische maatregelen, waaronder, waar passend, het vermogen om de beschikbaarheid van persoonsgegevens na een incident tijdig te herstellen, en een proces om de doeltreffendheid van die maatregelen regelmatig te testen en evalueren. Back-ups, herstelproeven en toegangsbeheer zijn daarom van veel groter belang dan alleen voor uw verzekeringsdossier.
Buiten Frankrijk: de regel van 72 uur voor aangifte hierboven is Frans recht. Andere landen hebben hun eigen regels over verzekeringen en over het melden van cybercriminaliteit, en uw contract kan eigen meldingstermijnen bepalen. Laat die controleren door uw makelaar, uw verzekeraar of uw juridisch adviseur. Deze pagina is informatie, geen juridisch advies.
Wat elke optie bevat. Beschikbaarheid en voorwaarden worden gepubliceerd wanneer de dienst opengaat.
U vraagt een cyberdekking aan, of beantwoordt voor de eerste keer een IT-beveiligingsgedeelte.
De vragenlijst komt terug bij uw verlenging, en uw IT is sinds vorig jaar veranderd.
Een nieuw formulier, anders geformuleerd, maar vragend naar dezelfde controles.
Korte antwoorden, met de officiële bron waar een regel aan de orde is.
Geraadpleegd op 13 oktober 2026. Waar een tekst in het Frans is, is de vertaling op deze pagina door ons gemaakt en onofficieel.
Microsoft, Microsoft 365, Microsoft Entra, Intune, Defender en Purview zijn handelsmerken van Microsoft. Ze worden alleen genoemd om de functies aan te duiden waaruit bewijs wordt gelezen. SYAGA Consulting is niet gelieerd aan Microsoft, ENISA, ANSSI of enige verzekeraar.
Het selfservicetraject wordt voorbereid. Vragen in de tussentijd: contact@syaga.eu
Een werkbasis, geen juridisch advies. De uiteindelijke verklaring aan uw verzekeraar, en de juistheid ervan, blijven uw verantwoordelijkheid.