Har virksomheden en cyberforsikring, bør beredskabsplanen pege på én person, der anmelder skaden til forsikringsselskabet tidligt i forløbet, parallelt med at IT-leverandøren bliver kaldt ind. Hvem der skal ringes til først, afhænger af jeres police. Nogle policer giver adgang til en skadetelefon og til eksperter, som selskabet har udpeget, og nogle stiller betingelser for, hvem der må hentes ind, og hvornår udgifter må afholdes. Vilkårene varierer mellem selskaber og policer, og det er kun jeres egen police, der kan svare. Derfor skal planen bygge på en læsning af policen, foretaget før hændelsen.
Læs policen med beredskabet for øje
Policen bliver ofte læst, når den tegnes, og derefter igen, når skaden er sket. Det første tidspunkt handler om pris og dækning. Det andet er for sent til at ændre noget. Læs den derfor en tredje gang med et bestemt formål: Hvad skal vi gøre, den dag vi bliver ramt?
Notér svarene på disse spørgsmål på én side:
- Hvor hurtigt skal skaden anmeldes, og hvordan? Står der en frist, eller står der “straks” eller “uden ophold”?
- Findes der en skadetelefon, og er den åben uden for arbejdstid?
- Skal selskabet godkende eksterne eksperter eller udgifter, før de afholdes?
- Har selskabet udpeget bestemte firmaer til undersøgelse, genetablering, juridisk bistand eller kommunikation?
- Dækker policen arbejde udført af jeres egen IT-leverandør, eller kun af selskabets eksperter?
- Hvad kræver policen af dokumentation for tab og udgifter?
- Hvad siger policen om afpresning og om kontakt med angriberne?
Siden lægges som bilag til ledelsens del af beredskabsplanen. Forstår I ikke en formulering, så spørg forsikringsmægleren eller selskabet skriftligt og gem svaret sammen med siden. Hvordan planen i øvrigt er opbygget, står i Beredskabsplan: ledelsens del af planen.
Hvem der ringer, og hvornår
Planen bør nævne den person, der anmelder skaden, og en stedfortræder. Det er ofte økonomichefen eller direktøren, fordi forsikringen også er en økonomisk sag, men det vigtigste er, at personen har policenummer, skadetelefon og bilaget med sig, også når mail og fildrev ikke virker.
Opkaldet bør komme tidligt, gerne i den første time, efter at kriseledelsen er samlet. Venter virksomheden, til omfanget er kendt, kan den have hentet hjælp ind og afholdt udgifter, som policen kræver forhåndsgodkendelse af. Det er en af de få beslutninger i de første timer, der kan tages uden at vide meget om angrebet. Hvad de første timer i øvrigt kræver af ledelsen, står i De første timer efter en sikkerhedshændelse.
Tag produktionsvirksomheden med 40 ansatte. Kontaktlisten siger, at økonomichefen ringer til skadetelefonen, mens driftsleverandøren isolerer de ramte servere. Økonomichefen oplyser, hvem driftsleverandøren er, og spørger, om selskabet vil sende egne eksperter, og hvordan de skal arbejde sammen med leverandøren. Svaret skrives i loggen med tidspunkt. Samtalen kan også afklare, om selskabet ønsker bestemte spor bevaret, før der geninstalleres, og den besked skal driftsleverandøren have med det samme.
Selskabets eksperter og jeres egen leverandør
Sender forsikringsselskabet et firma til undersøgelse og genetablering, er der pludselig to tekniske hold. Driftsleverandøren kender jeres systemer. Selskabets eksperter kender angrebsformen og forsikringens krav. Uden en klar fordeling går tiden med at afklare, hvem der bestemmer.
Aftal derfor med driftsleverandøren i forvejen, at den samarbejder med eksperter, som forsikringen eventuelt sender, og giver dem de adgange og oplysninger, de skal bruge. Skriv i leverandøraftalen, hvordan det arbejde afregnes. Forretningsbeslutningerne bliver i kriseledelsen, uanset hvem der arbejder i systemerne. Skal produktionen stoppe, eller skal en webshop lukkes, er det stadig direktøren, der beslutter.
Står virksomheden over for et krav om løsesum, kan policens vilkår have betydning for, hvad der må gøres, og hvem der skal inddrages. Ledelsens principbeslutning bør være taget i forvejen, se Skal vi betale løsesummen?.
Dokumentation, der bruges flere steder
Selskabet vil typisk bede om dokumentation for, hvad der skete, og hvad det kostede. Det samme materiale bruges i virksomhedens egen vurdering efter NIS2-loven. Styrelsen for Samfundssikkerhed nævner i sin vejledning om hændelsesunderretning, hvilke økonomiske tab der kan regnes med, når det efter § 12, stk. 2, skal afgøres, om hændelsen er væsentlig. Blandt dem er personaleomkostninger og overarbejde, kompensation til kunder, mistede indtægter, kommunikation og rådgivning, herunder efterforskning af digitale spor. Forsikringspræmier og almindelig drift tæller ikke med.
En enkel løsning er at oprette en særskilt konto eller et projektnummer for hændelsen, så snart den er konstateret. Alle timer, fakturaer og tab registreres dér. Loggen med beslutninger og tidspunkter gemmes sammen med den, og det samme gør kopier af korrespondancen med selskabet og korte referater af telefonsamtaler. En større skadesag kan tage måneder, og detaljerne fra de første døgn glemmes hurtigt. Hvem i ledelsen der vurderer, om hændelsen skal underrettes, er emnet for Er hændelsen væsentlig?.
Bilaget skal følge policen
Policer ændrer sig ved fornyelse. Skadetelefonen kan få et nyt nummer, og selskabet kan skifte de eksperter, det bruger. Læg en kontrol af bilaget ind i årshjulet for sikkerhed samme måned som fornyelsen, og ring nummeret op for at se, at det virker. Skifter I selskab, eller bliver forsikringen ikke fornyet, skal bilaget skrives om, se Forsikringsselskabet vil ikke forny cyberforsikringen. De spørgsmål, selskabet stiller, når forsikringen tegnes, er gennemgået i Cyberforsikring: de spørgsmål, ledelsen skal kunne svare på.
Det skal I lade være med
- At læse policen første gang under hændelsen · så er der ikke tid til at forstå den.
- At hente eksperter ind, før I ved, om selskabet skal godkende dem · udgiften kan ende hos jer.
- At gemme policenummeret i den mailboks, der er ramt · bilaget skal kunne findes uden systemerne.
- At lade to tekniske hold arbejde uden aftalt fordeling · det koster tid, når den er knappest.
- At blande hændelsens udgifter med den almindelige drift · så er de svære at dokumentere bagefter.
Det skal I kræve af den eksterne
- ☐ En side med policens krav til anmeldelse, godkendelse og dokumentation, lagt som bilag til planen.
- ☐ En navngiven person og stedfortræder, der anmelder skaden.
- ☐ En aftale med driftsleverandøren om samarbejde med forsikringens eksperter.
- ☐ En skabelon til registrering af timer, udgifter og tab under hændelsen.
- ☐ En årlig kontrol af bilaget ved fornyelsen.
Næste skridt er at finde jeres police frem og besvare de syv spørgsmål ovenfor. Det, I ikke kan finde svar på, sendes skriftligt til mægleren eller selskabet.
Kilder
- Styrelsen for Samfundssikkerhed: Vejledning om hændelsesunderretning, juni 2025 (samsik.dk): kapitel 1 om økonomiske tab, der indgår i vurderingen af en væsentlig hændelse.
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 12, stk. 2, om væsentlige hændelser.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Når svarene til forsikringen ikke holder · Politianmeldelse efter et cyberangreb
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
