Betaalt de brandpolis of inventarispolis het bederf na een hack?

Koelschadedekking is meestal geschreven voor een defecte installatie of voor stroomuitval. Een koelmachine die de opdracht van een hacker uitvoert, valt daar niet vanzelf onder. Veel brandpolissen sluiten cyberschade bovendien uit.

Is een duurdere cyberpolis de oplossing voor bederf na een hack?

Nee. Een hogere verzekerde som verandert de definitie van zaakschade niet. Wat wel helpt: de regelkast en firmware controleren, de dekking schriftelijk laten bevestigen, en zo nodig een aparte dekking voor fysieke schade door een cyberaanval vragen.

Cyberverzekering en bederf na een hack: wie betaalt?

In de nacht van 11 op 12 oktober zetten hackers de koeling van honderden Franse supermarkten op ontdooien. Volgens Reuters (opent in nieuw venster) liep de temperatuur in koelmeubels en vriezers op tot 50 graden, met bedorven voedsel en brandjes als gevolg. De Franse minister van Financiën zei een dag later in het parlement dat ongeveer 700 van de 10.000 supermarkten waren geraakt. Dat meldt AP (opent in nieuw venster).

Intermarché liet aan het persbureau AFP weten dat sommige verzekeringscontracten dit soort schade niet per se dekken, zo schrijft MacGeneration (opent in nieuw venster). Stel dat jij of je klant een koelcel, een vriezer of een bakkerij heeft, en dat er een cyberpolis en een brandpolis op de polislijst staan. Dan vraag je je af wie de bedorven voorraad betaalt. In dit stuk lees je wat daarover in de voorwaarden staat en wat je maandag kunt doen.

Dekt een cyberverzekering het bederf van voorraad na een hack?

Meestal niet. Een cyberverzekering vergoedt vooral herstel van systemen, onderzoekskosten en gederfde omzet. Schade aan fysieke spullen sluit hij uit, en bedorven voorraad is schade aan spullen. In de volledige voorwaarden van Hiscox en Chubb zocht ik naar het woord bederf en vond ik geen enkele treffer. Zaakschade staat daar wel op de lijst met uitsluitingen.

Zaakschade is een vakterm voor schade aan voorwerpen die je kunt aanraken, zoals voorraad, machines en gebouwen. Chubb omschrijft het in de voorwaarden van Cyber Enterprise Risk Management V2 (opent in nieuw venster) als beschadiging, verlies of vernietiging van tastbare zaken. Artikel 4.9 sluit dat uit. Bij de CyberClear van Hiscox (opent in nieuw venster) staat in artikel 3.1.6 dat er geen dekking is voor verlies van, schade aan of vernietiging van zaken.

Die twee polissen staan achter meer merken dan hun eigen naam. Nationale-Nederlanden gebruikt voor zijn zakelijke cyberverzekering de polis van Hiscox (opent in nieuw venster). Achter de Rabobank CyberRisicoverzekering zit Chubb als risicodrager. Dat schreef ik eerder in mijn stuk over AI-hacks en je cyberverzekering.

Het is ook geen nieuwe bevinding. Jurist N.M. Brouwer schreef in 2021 in Ondernemingsrecht (opent in nieuw venster) dat een cyberverzekering in beginsel alleen zuivere vermogensschade dekt. Personenschade en zaakschade zijn volgens hem standaard uitgesloten.

In augustus las ik 264 pagina's polisvoorwaarden van zeven Nederlandse cyberverzekeraars, op zoek naar één woord: AI. Voor dit stuk zocht ik in twee van die polissen naar een ander woord. De andere vijf heb ik niet opnieuw doorzocht, dus daar doe ik geen uitspraak over. Wil je het voor jouw klant weten, zoek dan in zijn eigen voorwaarden naar "bederf" en "zaakschade".

Wat gebeurde er bij de Franse supermarkten?

Een supermarkt regelt de temperatuur van alle koelmeubels met een regelkast die aan het internet hangt. Volgens Reuters kunnen onderhoudsbedrijven daardoor op afstand instellingen aanpassen. De Franse cyberdienst ANSSI vond een kwetsbaarheid in software van de Deense fabrikant Danfoss. Dat zegt een bron rond de Franse premier in hetzelfde bericht.

Het beveiligingsbedrijf Claroty had een kwetsbaarheid in het model AK-SM 800A al op 9 augustus beschreven. Volgens Security Affairs (opent in nieuw venster) kon een aanvaller de inlog omzeilen. Er waren 2.765 beheerschermen vanaf het internet bereikbaar. Danfoss had de fout verholpen in firmwareversie R4.3.1. Volgens AP zei Danfoss dat de meeste getroffen systemen oudere producten waren die geen updates meer kregen.

De schade loopt hoog op. Intermarché-topman Thierry Cotillard sprak volgens Reuters in de Canberra Times (opent in nieuw venster) over tientallen miljoenen euro's verlies in heel Frankrijk op één dag. Twee winkels in Haguenau in de Elzas zouden samen 270.000 euro hebben verloren. Het gaat om een Intermarché en een Leclerc, schrijft MacGeneration op basis van La Dépêche. De aanval duurde volgens Insurance Business (opent in nieuw venster) ongeveer zes uur.

Over de dader is weinig bekend. Volgens Forbes België (opent in nieuw venster) heeft geen enkele hackersgroep de aanval opgeëist. Ik heb geen bron gevonden die AI als oorzaak noemt, dus dit stuk gaat over dekking en niet over AI.

Waarom betaalt je brandpolis of inventarispolis het bederf ook niet?

Je zou denken dat bederf van koelwaar onder je inventaris- en goederenpolis valt, en soms klopt dat ook. Alleen is de koelschadedekking geschreven voor een kapotte installatie en voor stroomuitval. De verzekeringskaart van Nationale-Nederlanden (opent in nieuw venster) noemt bederf door een storing die is veroorzaakt door een defect. De keuzedekking koelschade van a.s.r. geldt volgens de verzekeringskaart (opent in nieuw venster) in twee gevallen. Het eerste is schade aan de koel- of vriesinstallatie. Het tweede is een ononderbroken stroomuitval van meer dan zes uur. In de koelschadevoorwaarden van Achmea (opent in nieuw venster) staat dat de storing zes uur of langer moet duren.

In Frankrijk werkten de koelmachines zoals bedoeld en voerden ze de opdracht van de hacker uit. Naar mijn lezing is dat geen defect en ook geen stroomuitval. Of een verzekeraar of rechter het ook zo leest, weet ik niet, want dit is mijn uitleg van de tekst en geen uitspraak.

Daar komt bij dat verzekeraars cyberschade bewust uit gewone polissen hebben gehaald. Lloyd's in Londen verplichtte de markt (opent in nieuw venster) om vanaf 2020 in elke polis duidelijk te maken of cyberschade is gedekt. Het Verbond van Verzekeraars beschreef in oktober 2023 in een whitepaper over stille dekkingen (opent in nieuw venster) waarom verzekeraars en herverzekeraars zich zorgen maken over cyberrisico in traditionele polissen.

Het gevolg is zichtbaar in de praktijk. Lockton schrijft in een analyse van de Franse aanval (opent in nieuw venster) dat vrijwel alle bedrijfsbrandpolissen cyberschade uitsluiten. Bederf, voorraadverlies en de bedrijfsschade die daarop volgt zijn daardoor volgens Lockton waarschijnlijk niet verzekerd in een standaardpakket. Een veelgebruikte marktclausule heet LMA 5400. Bij een cyberincident blijft daarin alleen schade door brand, bliksem, ontploffing en vallende vliegtuigen gedekt. De brandjes in Frankrijk kunnen dus onder een brandpolis vallen, terwijl de voorraad die zonder vlammen ontdooide dat niet doet.

Volg mij op LinkedIn

Volg mijn updates over AI, strategie en ondernemen op LinkedIn

Hoe lang is de wachttijd in een cyberpolis, en waarom doet dat ertoe?

Een cyberpolis vergoedt gederfde omzet pas nadat een wachttijd is verstreken. Bij een koelcel is dat een probleem, omdat de voorraad in een paar uur onverkoopbaar is. Insurance Business wijst erop dat een aanval van zes uur het grootste deel van de schade kan veroorzaken voordat de dekking voor bedrijfsonderbreking begint. In Australië staat die wachttijd volgens hetzelfde artikel vaak op acht tot twaalf uur.

In Nederland zag ik vergelijkbare getallen. Een clausule van Hiscox noemt een retentietijd van 8 uur, en de instapvariant CyberStart van Hiscox noemt 12 uur. Bij Chubb staat het aantal uren op het polisblad. Dat getal moet je dus per klant opzoeken.

Er is nog een tweede punt in de definities. De Hiscox-polis dekt een cyberaanval alleen op systemen die onder jouw volledige verantwoordelijkheid vallen of waarover je volledige controle hebt. Systemen die een IT-dienstverlener beheert, zijn uitgesloten. Dat verandert alleen als je de optionele dekking voor stagnatie bij een IT-dienstverlener hebt gekozen. De definitie van IT-dienstverlener noemt clouddiensten, hosting en software als dienst. Of een koelinstallateur die jouw regelkast op afstand beheert daaronder valt, is uit de tekst niet duidelijk. Dat is een vraag die je schriftelijk moet stellen.

Is een duurdere cyberpolis de oplossing voor dit probleem?

Nee, en dat is mijn belangrijkste standpunt in dit stuk. Een hogere verzekerde som of een hogere premie verandert niets aan de definitie van zaakschade, dus je betaalt meer voor dezelfde uitsluiting. In de twee polissen die ik las, staat de uitsluiting in de definities en in de lijst met uitsluitingen. Een adviseur die zijn klant een grotere cyberpolis verkoopt als antwoord op koelschade door een hack, legt de klant iets uit wat de voorwaarden niet waarmaken.

Wat wel helpt, bestaat uit drie stappen. De eerste is techniek, want verzekeraars kijken daar ook naar. Vier makelaars vertelden Reuters in een tweede bericht (opent in nieuw venster) dat claims van supermarkten kunnen worden geraakt als de nieuwste software-updates ontbraken. Controleer dus of de regelkast van de koeling aan het internet hangt. Kijk ook welke firmware erop draait en of de fabrikant nog updates levert.

De tweede stap is dat je de dekking schriftelijk laat bevestigen. Vraag aan je verzekeraar of bederf door een hack onder je cyberpolis of je inventarispolis valt, en bewaar het antwoord bij het dossier.

De derde stap is een aparte dekking voor schade die een cyberaanval aan fysieke zaken veroorzaakt. Lockton schrijft dat zulke dekkingen bestaan voor cyberschade aan eigendommen en voor bederf, tot een limiet van 650 miljoen pond. Aon-directeur David Molony adviseert volgens Reuters bedrijven in sectoren zoals de detailhandel en de farmacie een aparte dekking voor bederfelijke goederen. Voor een slager of apotheek met één koelcel weet ik niet of dit bestaat tegen een redelijke premie. Dat vraag je aan de volmacht of de beurs, en je legt het antwoord vast.

Voor welke klanten is dit gat het grootst?

Het gat is het grootst bij bedrijven waar de voorraad snel waardeloos wordt als de temperatuur stijgt. Denk aan een bakker met een diepvries vol deeg, een slager met een koelcel, een restaurant met een vriezer en een apotheek met een koelkast voor medicijnen. Ook een zorginstelling met gekoeld voedsel hoort in dat rijtje.

Veel van die bedrijven hebben een koeling die een installateur op afstand beheert. De eigenaar weet vaak niet dat die regelkast aan het internet hangt. Als adviseur ben je dan vaak de eerste die de vraag stelt. Dat is ook je kans, want een klant onthoudt de adviseur die dit vóór de schade aankaartte.

Welke vragen stel je maandag aan je verzekeraar en installateur?

Ik zou deze vijf vragen stellen bij elke klant die afhankelijk is van koeling of van een machine op afstand. Denk aan een koelcel, een vriezer of een kas met klimaatcomputer:

Staat fysieke schade door een hack in mijn cyberpolis, of is zaakschade uitgesloten?
Heeft mijn brand- of inventarispolis een cyberuitsluiting, en wat staat er in de koelschaderegels over defect en stroomuitval?
Is bederf van koelgoed gedekt als een hack de oorzaak is, en kan ik dat antwoord op papier krijgen?
Hoe lang is de wachttijd in mijn cyberpolis, en hoeveel uur blijft mijn voorraad goed zonder koeling?
Hangt de regelkast aan het internet, draait hij op een bijgewerkte versie, en wie draait op voor de schade: ik, de leverancier of de installateur?

Als adviseur leg je de antwoorden vast. De meeste klanten gaan ervan uit dat twee polissen samen het hele risico dekken, en dat is bij dit soort schade zeer waarschijnlijk niet zo. In mijn stuk over de AI-polissen kwam ik tot dezelfde conclusie over een ander risico. Wat er niet in de voorwaarden staat, vertelt vaak meer dan wat er wel staat.