Forsikringsmægleren kender forsikringsmarkedet, vilkårene og forskellene mellem selskabernes dækninger. Den eksterne IT-leder kender virksomhedens systemer, leverandører og sikkerhedsforanstaltninger. Når en cyberforsikring skal tegnes eller fornyes, leverer den eksterne de faktiske oplysninger om IT, og mægleren bruger dem til at finde den rigtige dækning og forhandle vilkårene. Direktionen beslutter, hvilken risiko virksomheden selv vil bære, og underskriver. Fordelingen holder kun, hvis arbejdet begynder i god tid før fornyelsen, så der er tid til at rette det, svarene afslører.
To slags viden, én beslutning
En cyberforsikring dækker typisk dele af de omkostninger, der følger af et angreb eller et databrud, fx gendannelse af systemer, driftstab og hjælp til håndtering af hændelsen. Hvad der præcist er dækket, hvilke undtagelser der gælder, og hvor stor selvrisikoen er, varierer mellem selskaberne og policerne.
Mæglerens viden ligger her. Mægleren kan sammenligne tilbud, forklare undtagelserne og vurdere, om en dækning passer til virksomhedens risiko. Den eksterne IT-leder har ikke den viden og bør ikke rådgive om, hvilken police der er bedst, eller hvordan et vilkår skal forstås.
Omvendt kan mægleren ikke vide, om virksomheden faktisk har totrinsgodkendelse på alle konti, hvor ofte sikkerhedskopierne testes, eller om driftsleverandøren opdaterer serverne til tiden. Det er oplysninger, som den eksterne enten har eller kan skaffe.
Spørgeskemaet
De fleste forsikringsselskaber beder om et spørgeskema om IT-sikkerheden, før de giver tilbud. Spørgsmålene handler ofte om adgangskontrol, sikkerhedskopiering, opdateringer, beskyttelse af e-mail, uddannelse af medarbejdere og beredskab.
Svarene er virksomhedens erklæring over for forsikringsselskabet, og de skal være korrekte. Skemaerne er ofte formuleret bredt, fx om alle medarbejdere har totrinsgodkendelse, og et ærligt svar kræver, at nogen kender både de interne konti og dem, driftsleverandøren administrerer. Det er sjældent en oplysning, direktøren har ved hånden. Forkerte eller ufuldstændige oplysninger kan få betydning for dækningen, hvis der senere sker en skade. Hvad det konkret betyder, er et spørgsmål til mægleren eller virksomhedens advokat.
Her ligger den eksternes vigtigste bidrag. Den eksterne kan:
- besvare de tekniske spørgsmål ud fra, hvordan tingene faktisk er sat op,
- indhente bekræftelser fra driftsleverandøren, hvor det er nødvendigt,
- markere de spørgsmål, hvor svaret er delvist, fx når totrinsgodkendelse findes på de fleste konti, men ikke på alle,
- foreslå, hvad der kan rettes før fornyelsen, så svaret bliver bedre.
Mægleren kan derefter vurdere, hvordan et delvist svar skal formuleres og forklares over for selskabet. Gem de endelige svar og dokumentationen sammen, så de kan findes frem ved næste fornyelse og ved en eventuel skade.
Arbejdsgangen før en fornyelse
En enkel plan for de sidste måneder før forsikringen fornyes:
- Tre til fire måneder før · mægleren sender sidste års spørgeskema eller et nyt udkast, og direktionen beder den eksterne om at gennemgå det.
- Gennemgang · den eksterne besvarer de tekniske spørgsmål og noterer, hvor svaret er nej eller delvist.
- Forbedringer · direktionen beslutter, hvilke mangler der skal rettes før fornyelsen, og den eksterne sætter arbejdet i gang hos leverandøren.
- Endelige svar · den eksterne opdaterer svarene, og direktionen godkender dem.
- Markedet · mægleren indhenter tilbud og forklarer forskellene på dækning, undtagelser og selvrisiko.
- Beslutning · direktionen vælger med mæglerens råd og den eksternes vurdering af, om vilkårene kan opfyldes i praksis.
Ændringer hos leverandøren i trin 3 aftaler den eksterne inden for det mandat, direktionen har givet.
Det sidste punkt overses ofte. En police kan stille krav, fx om sikkerhedskopier, der opbevares offline. Den eksterne bør læse de tekniske krav i policen og bekræfte, at virksomheden kan leve op til dem i hele forsikringsperioden.
Et tænkt eksempel
En logistikvirksomhed med 70 ansatte skal forny sin cyberforsikring. Mægleren sender spørgeskemaet fire måneder før. Den eksterne IT-leder gennemgår det og finder, at totrinsgodkendelse mangler på to administratorkonti hos driftsleverandøren, og at gendannelse fra sikkerhedskopi ikke er testet i over et år. Direktionen beslutter at få begge dele rettet. Seks uger senere kan svarene opdateres med dokumentation, og mægleren går på markedet med et skema, der svarer til virkeligheden.
Når der sker en skade
Ved en hændelse skal forsikringsselskabet typisk underrettes hurtigt, og policen kan anvise, hvilke specialister der må bruges. Den eksterne IT-leder skal derfor kende de vilkår, der gælder ved en skade, og have dem med i beredskabsplanen. Mægleren kan hjælpe med anmeldelsen og kontakten til selskabet. Hvad ledelsen kan lære af en alvorlig hændelse bagefter, er beskrevet i Efter en alvorlig IT-hændelse.
Fordelingen kan skrives ind i beredskabsplanen. Den eksterne leder det tekniske arbejde sammen med driftsleverandøren, mægleren håndterer kontakten til forsikringen, og direktionen træffer beslutningerne. Hvordan den eksterne og leverandøren arbejder sammen ved hændelser, står i Ekstern IT-ledelse og jeres IT-leverandør.
Hvilken rolle der bedst løfter sikkerhedsarbejdet bag svarene, er forklaret på siden om CISO, vCISO og cyber security advisor. Er virksomheden omfattet af NIS2, hænger arbejdet sammen med ledelsens øvrige pligter, se NIS2 og ekstern IT-ledelse.
Det skal I lade være med
- At lade mægleren udfylde de tekniske svar alene · mægleren kender ikke jeres opsætning.
- At svare ja, fordi det er det forventede svar · et forkert svar kan ramme jer, når skaden er sket.
- At bede den eksterne vælge police · rådgivning om dækning og vilkår hører til hos mægleren.
- At begynde to uger før fornyelsen · så er der ingen tid til at rette mangler.
- At glemme policens krav efter underskrift · kravene gælder hele perioden.
Det skal I kræve af den eksterne
- ☐ Faktuelle svar på de tekniske spørgsmål, med dokumentation, hvor det er muligt.
- ☐ En liste over spørgsmål, hvor svaret er nej eller delvist, med forslag til forbedringer.
- ☐ Gennemlæsning af policens tekniske krav og en vurdering af, om de kan opfyldes.
- ☐ Policens krav ved skade skrevet ind i beredskabsplanen.
- ☐ Klar besked, når et spørgsmål handler om dækning og hører hjemme hos mægleren.
Næste skridt er at finde datoen for jeres næste fornyelse og sende sidste års spørgeskema til den, der leder IT-arbejdet, mindst tre måneder før. Teksten beskriver en arbejdsdeling og er ikke rådgivning om forsikring eller jura.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Advokaten og den eksterne IT-leder · Ekstern DPO, vCISO og driftsleverandør
→ Kontakt · Tlf. 70 13 63 23 · Cyber security advisor hos Nielco IT
