Faldgruber, hændelser og officielle kilder
Cyberforsikring og sikkerhedsydelser: hvad spørger forsikringen om, og hvad dækker den?
Grundlæggende om cyberforsikring for danske SMV'er – typiske dækninger, krav til sikkerhed som MFA, backup og EDR, samspil med MSSP og beredskabspanel, og hvad I skal læse i policen.
En cyberforsikring kan dække en del af de økonomiske følger af et angreb – fx udgifter til eksperter, genopretning af data, driftstab og visse krav fra andre – men den erstatter ikke sikkerhed. Forsikringsselskaberne spørger typisk ind til to-faktor-login, backup, opdateringer, endepunktsbeskyttelse og beredskab, og vilkår og pris afhænger af svarene. For en virksomhed, der køber MDR eller en beredskabsaftale, er det vigtigt at tjekke, om policen kræver bestemte leverandører (et beredskabspanel), hvordan skaden skal anmeldes, og om svarene i ansøgningen stadig passer. Dækninger, undtagelser og priser varierer meget mellem selskaber og policer – læs jeres egne vilkår.
Guiden hører under faldgruber og officielle kilder. Indholdet er generel information og ikke forsikringsrådgivning.
Typiske dækningsområder
| Dækning | Hvad den kan omfatte | Vær opmærksom på |
|---|---|---|
| Hændelseshåndtering | Eksperter til inddæmning, forensics, rådgivning | Krav om at bruge selskabets panel |
| Genopretning | Gendannelse af data og systemer | Om forbedringer (nye systemer) er dækket |
| Driftstab | Tabt dækningsbidrag under nedbrud | Karensperiode (fx de første timer) |
| Ansvar over for andre | Krav fra kunder og partnere | Kontraktligt ansvar kan være undtaget |
| Krisekommunikation | PR- og juridisk rådgivning | Beløbsgrænser |
| Bøder og sanktioner | Kan være dækket, hvor det er lovligt | Mange bøder kan ikke forsikres |
| Svindel | Fx falske betalingsanmodninger | Ofte en særskilt dækning eller undtaget |
Dækningerne er eksempler på, hvad der findes på markedet. Hvad jeres police dækker, står kun i jeres vilkår.
Spørgsmål, forsikringen typisk stiller
- Bruger alle medarbejdere to-faktor-login på e-mail og fjernadgang?
- Har I backup, der er adskilt fra netværket, og testes gendannelse?
- Bliver systemer og programmer opdateret inden for en fast frist?
- Har I EDR eller lignende beskyttelse på alle computere og servere?
- Er der overvågning af alarmer, og hvem reagerer?
- Har I en beredskabsplan?
- Får medarbejderne awareness-træning?
- Hvor mange personoplysninger behandler I?
Svarene er en del af aftalen. Svarer I "ja" til to-faktor-login på alle konti, og det viser sig ikke at holde, kan det påvirke dækningen. Lad jeres MSSP eller it-partner bekræfte svarene, før I indsender ansøgningen.
Samspil med MSSP og beredskab
| Spørgsmål | Hvorfor |
|---|---|
| Kræver policen, at vi bruger selskabets beredskabspanel? | Ellers kan udgifter til egen leverandør være udækket |
| Kan vi få godkendt vores egen beredskabsleverandør? | Så kender eksperterne jeres miljø |
| Hvem ringer vi til først ved en hændelse? | Rækkefølgen kan være et krav |
| Dækker policen timer, som MDR-aftalen ikke indeholder? | Undgå dobbeltbetaling og huller |
| Er der krav om bestemte sikkerhedsforanstaltninger løbende? | Kravene skal fortsat opfyldes, ikke kun ved tegning |
Se beredskabsaftale og retainer og ved en hændelse: hvem gør hvad.
Kan bedre sikkerhed give lavere præmie?
Mange forsikringsselskaber stiller minimumskrav for at tilbyde dækning, og nogle justerer pris eller selvrisiko efter sikkerhedsniveauet. Det kan derfor give mening at regne forsikringen med, når I vurderer en sikkerhedsinvestering.
Illustrativt eksempel: En virksomhed får tilbudt en cyberforsikring til 40.000 kr. om året med 50.000 kr. i selvrisiko. Efter indførelse af MDR og testet backup får den et nyt tilbud på 32.000 kr. med 25.000 kr. i selvrisiko. Den årlige besparelse på præmien er 8.000 kr. Den lavere selvrisiko har først værdi ved en skade. Tallene er konstruerede – de reelle præmier afhænger af selskab, branche, omsætning og risiko.
Læg besparelsen ind som en del af den årlige besparelse i tilbagebetalingsberegneren, men undgå at regne med den, før I har et konkret tilbud.
Hvad I skal læse i policen
- Definitioner: Hvad er en "cyberhændelse"? Er menneskelige fejl (fx en medarbejder, der sletter data) med?
- Undtagelser: fx krig og statsstøttede angreb, kendte sårbarheder, der ikke er rettet, eller manglende opfyldelse af sikkerhedskrav.
- Beløbsgrænser og selvrisiko: pr. skade og pr. år, og særskilte grænser for driftstab og svindel.
- Karens: hvor længe driften skal være nede, før driftstab dækkes.
- Anmeldelse: frist og kanal for anmeldelse af skade.
- Løsepenge: hvordan selskabet forholder sig. Kontakt altid forsikring og rådgivere, før der træffes beslutninger.
Klager og hjælp
Har I en tvist med forsikringsselskabet, start med selskabets klageansvarlige. Ankenævnet for Forsikring behandler kun klager over privatlivets forsikringsforhold – klager over erhvervsforsikringer, herunder en virksomheds cyberforsikring, falder ifølge nævnet uden for dets område. En virksomhed må i stedet forhandle med selskabet, eventuelt med hjælp fra mægler eller advokat, og i sidste ende gå til domstolene eller en aftalt voldgift. Forsikring & Pension har generel information om forsikring. En forsikringsmægler kan hjælpe med at sammenligne policer.
Før fornyelse af policen
Forsikringen fornyes typisk årligt, og selskabet kan stille nye spørgsmål. Brug fornyelsen som et tjekpunkt:
- Gennemgå sidste års svar i ansøgningen – passer de stadig?
- Bed MSSP'en om en kort status: to-faktor-dækning, enheder med EDR, backup-test.
- Notér ændringer i virksomheden: nye systemer, opkøb, flere ansatte, nye lande.
- Sammenlign selvrisiko, beløbsgrænser og undtagelser med sidste års police – ikke kun præmien.
- Tjek, om kravet om beredskabspanel er ændret.
Ofte stillede spørgsmål
Er cyberforsikring dækket af vores erhvervsforsikring?
Ofte ikke, eller kun i begrænset omfang. Mange selskaber sælger cyberforsikring som en særskilt police. Tjek jeres vilkår.
Skal vi have en cyberforsikring, hvis vi har MDR?
Det er to forskellige ting: MDR reducerer sandsynligheden og konsekvensen, forsikringen flytter en del af den økonomiske risiko. Mange vælger begge.
Hvad hvis forsikringen ikke vil tegne os?
Spørg, hvilke krav der mangler. Ofte er det to-faktor-login, backup eller EDR. Indfør dem, og spørg igen.
Kilder
- Forsikring & Pension – generel information om forsikring
- Ankenævnet for Forsikring – klager over private forsikringsforhold (ikke erhvervsforsikringer)
- Finanstilsynet – tilsyn med forsikringsselskaber
- SikkerDigital – råd om backup, opdateringer og to-faktor-login
