Welke eisen worden bij een verzekering voor cybercriminaliteit aan de verzekerde gesteld?

Een verzekeraar kijkt naar de omvang van het over te dragen risico. Dit omvat omzet, industrie, aantal medewerkers, het eigen risico en de gewenste dekkingsgraad. Bedrijven met een omzet tot 50 miljoen euro kunnen online een verzekering afsluiten. Blijft de omzet onder de 50 miljoen euro dan gelden als beveiligingseisen het gebruik van goede antivirussoftware, tijdig updaten, de aanwezigheid van een firewall. De dekking is maximaal 1 miljoen euro.
Bij multinationals met meer dan 50 miljoen euro omzet of die een hogere dekking wensen, komt daar het onderzoek naar het schadeverleden en de audit van de huidige beveiliging nog bij. Hoe is het gesteld met het veiligheidsbewustzijn en -gedrag van de gebruikers, werken er mensen thuis en hoe is dat beveiligd? Is het bedrijf eerder gehackt? Hoeveel mensen hebben toegang tot de ICT, is BYOD gebruikelijk en hoe is dat beveiligd? Zaken als versleuteling van de gegevens werken bijvoorbeeld premie-verlagend. Het maximaal verzekerde bedrag voor deze grotere organisaties is 15 miljoen euro.
Verzekeren is geen alternatief voor goed risicomanagement: de beveiliging moet op orde zijn. Als dan bij schade blijkt dat bijvoorbeeld de back up niet op orde was, wordt een deel van die schade niet vergoed. Er zijn uitsluitingen bij nalatigheid – bijvoorbeeld in degelijk onderhoud – als ook bij opzet, strafbare feiten, onbevoegd of onrechtmatig verzamelde gegevens, licentievergoedingen of supercontractuele aansprakelijkheid zoals garantie- en vrijwaringsbedingen.