Når I tegner eller fornyer en cyberforsikring, kan I blive bedt om at oplyse om jeres sikkerhed. Svarene skal være rigtige, og den sikreste måde at give rigtige svar på er at parre hvert spørgsmål med et udtræk, der viser, at svaret holder.
Artiklen bygger på den britiske NCSC’s vejledning om cyberforsikring. Der er ikke fundet en neutral eller dansk kilde om, hvilke tekniske spørgsmål forsikringsselskaber typisk stiller. Spørgsmålene nedenfor er derfor tænkte eksempler og ikke en gengivelse af et bestemt skema. Danske regler om oplysningspligt ved forsikring er ikke læst til artiklen.
Hvad NCSC siger
NCSC’s vejledning siger, at køb af en police kan kræve, at I oplyser om jeres sikkerhedskontroller, både tekniske, proceduremæssige og menneskelige. Indsamlingen kan kræve hjælp fra medarbejdere eller fra den eksterne IT-leverandør. Ansvaret for, at oplysningerne er korrekte og ajourførte, ligger ifølge NCSC hos jer.
NCSC skriver også, at de fleste policer bliver vurderet igen hver tolvte måned. Og vejledningen advarer om, at en forsikring måske ikke er forpligtet til at betale, hvis I har oplyst, at en sikkerhedsforanstaltning er på plads, når den ikke er. Det er britisk vejledning og ikke dansk ret, men advarslen er en god grund til at belægge svarene.
Endelig råder NCSC til ikke at begrænse sig til forsikringsselskabets minimumskrav. Et skema beskriver det, forsikringen spørger om, ikke nødvendigvis det, I har brug for.
Parring af spørgsmål og udtræk
Parringen er enkel. For hvert spørgsmål skrives det udtræk, der kan belægge svaret, og hvem i driften der kan trække det. Står der intet udtræk, er svaret en påstand.
Tænkte spørgsmål og de udtræk, der kan belægge dem:
“Bruger alle medarbejdere MFA ved fjernadgang og adgang til e-mail?” Udtrækket er en opgørelse af registrerede MFA-metoder pr. bruger fra identitetsplatformen og en liste over undtagelser i politikkerne for adgang. Svaret holder, hvis undtagelserne er få, kendte og begrundede.
“Har I en backup, der er adskilt fra jeres net?” Udtrækket viser, hvor kopien ligger, hvem der kan slette den, og om den er beskyttet mod sletning. Uden det kan svaret ikke belægges.
“Har I testet gendannelse inden for det seneste år?” Udtrækket er protokollen fra den seneste gendannelsestest med dato, hvad der blev gendannet, og hvor lang tid det tog.
“Installeres kritiske sikkerhedsopdateringer inden for en fast frist?” Udtrækket er fristpolitikken og en måling fra maskinerne af, hvor lang tid opdateringerne faktisk tog.
“Logger I adgang til jeres systemer, og hvor længe gemmes loggene?” Udtrækket er dækningskortet over logkilder, auditloggens status i lejeren og en måling af den ældste hændelse i de vigtigste logs.
De svar, der ikke kan belægges
Parringen viser også de spørgsmål, I ikke kan belægge. Det kan være, fordi kontrollen ikke findes, fordi den kun findes delvist, eller fordi ingen kan trække beviset. Det er værdifuld viden før svaret afgives. Notér for hvert af dem, hvad der mangler, og om det kan rettes før fornyelsen, eller om svaret skal formuleres med et forbehold.
Et tænkt eksempel: I mener, at alle har MFA. Udtrækket viser, at tre servicekonti og to ledere er undtaget. Svaret “ja” er så ikke rigtigt. Det rigtige svar er enten at rette undtagelserne før svaret eller at oplyse om dem.
Hvem i driften trækker hvad
Udtrækkene ligger i forskellige systemer, og de trækkes af forskellige personer. Identitetsplatformen, backupsystemet, opdateringsværktøjet og logopsamlingen har ofte hver sin ansvarlige. Skriv derfor ud for hvert spørgsmål, hvem der trækker udtrækket, og hvem der har læst det, før svaret afgives. Det giver også et naturligt sted at notere, hvis et svar er blevet ændret undervejs, fordi udtrækket viste noget andet end forventet.
Indsamling med leverandøren
Driver en IT-leverandør dele af miljøet, skal en del af udtrækkene komme fra dem. NCSC nævner selv den eksterne IT-leverandør som en, der kan være nødvendig for indsamlingen. Bed om udtrækkene i god tid før fornyelsen, og gem dem sammen med jeres svar.
Når svarene skal fornyes
Da policer typisk vurderes igen hver tolvte måned ifølge NCSC, er det praktisk at gemme parringen og opdatere den. Udtrækkene gentages, og forskelle fra sidste år noteres. Det giver samtidig en årlig egenkontrol af de kontroller, der betyder mest. En årlig egenkontrol af den slags kan også bruges, når modenheden af sikkerheden måles over flere år.
Hvad det kræver, og hvad det koster at lade være
Parringen kræver, at driften trækker en håndfuld udtræk og gemmer dem med datoer. Det meste er de samme udtræk, en teknisk gennemgang alligevel ville bruge.
Uden parringen bliver skemaet udfyldt efter bedste overbevisning. Er et svar forkert, opdages det måske først, når der skal anmeldes en skade, og det er det dårligste tidspunkt at finde ud af, at et ja var et delvist ja.
Det skal I lade være med
- At svare ja ud fra hukommelsen · træk udtrækket først.
- At skjule undtagelser i et ja · ret dem, eller oplys om dem.
- At nøjes med skemaets minimum · NCSC råder til at se ud over det.
Det skal gennemgangen kunne vise
- ☐ En liste over de afgivne svar med det udtræk, der belægger hvert.
- ☐ Datoer for udtrækkene og hvem der trak dem.
- ☐ De svar, der ikke kunne belægges, med beslutning om rettelse eller oplysning.
- ☐ Udtræk fra leverandøren for de dele, leverandøren driver.
Kilder
- NCSC, Cyber insurance guidance, version 1.0, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Tag jeres seneste svar til forsikringen, og skriv ud for hvert det udtræk, der kan belægge det.
Læs også: Gendannelsestesten · Backuppens beskyttelse
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
