Når en virksomhed tegner eller fornyer en cyberforsikring, skal den som regel besvare et skema om sit sikkerhedsniveau. Spørgsmålene varierer mellem selskaberne, men emnerne går igen: flerfaktorgodkendelse, backup, opdateringer, administratorrettigheder, beredskab og leverandørers adgang. Det er forsikringstageren, altså virksomheden, der står inde for svarene, og derfor bør ledelsen vide, hvad der er svaret, og hvad svaret bygger på. En CISO kan samle svarene og dokumentationen, men underskriften og ansvaret for, at svarene er rigtige, følger virksomheden.
Hvorfor spørgsmålene kommer
Forsikringsselskabet bruger svarene til at vurdere risikoen og fastsætte vilkårene. Ved fornyelse spørges der ofte igen, fordi selskabet vil vide, om noget har ændret sig. For ledelsen er skemaet derfor en tilbagevendende anledning til at se på, om de grundlæggende foranstaltninger faktisk er på plads.
Svarene bør behandles som oplysninger, virksomheden hæfter for. Hvad der kan ske, hvis de ikke holder, er beskrevet i Når svarene til forsikringen ikke holder.
De emner, der typisk går igen
Selve formuleringerne afhænger af selskabet og af policen. Følgende emner ses dog i mange skemaer:
- Flerfaktorgodkendelse. Bruges det til mail, fjernadgang, administratorkonti og cloudtjenester? Spørgsmålet kan være delt op, så der skal svares særskilt for hver type adgang.
- Backup. Hvor ofte tages der backup, er en kopi adskilt fra det almindelige netværk, og er gendannelse afprøvet?
- Opdateringer. Hvor hurtigt installeres sikkerhedsopdateringer, og findes der systemer, som leverandøren ikke længere opdaterer?
- Administratorrettigheder. Hvem har dem, og arbejder brugerne til daglig uden?
- Beredskab. Findes der en skriftlig plan for håndtering af hændelser, og er den øvet?
- Medarbejdere. Får medarbejderne undervisning i phishing og sikker adfærd?
- Leverandører. Hvem har fjernadgang, og hvordan er den beskyttet?
- Betalinger. Hvordan kontrolleres ændringer af bankoplysninger og større betalinger?
Ordlyden betyder meget. “Er MFA aktiveret for alle brugere?” er et andet spørgsmål end “Er MFA aktiveret for fjernadgang?”. Et ja til det første kræver, at der ikke findes undtagelser, heller ikke for gamle servicekonti eller en leverandørs adgang.
Hvem kender svarene
I mange mindre virksomheder ligger de tekniske svar hos driftsleverandøren. Direktøren eller økonomichefen udfylder skemaet, ofte sammen med forsikringsmægleren. Ingen af dem har nødvendigvis det fulde billede.
Mægleren kender forsikringen og kan forklare, hvordan et spørgsmål skal forstås, og hvad selskabet lægger vægt på. Mægleren kan derimod sjældent vurdere, om jeres backup faktisk er adskilt fra netværket. Spørg derfor mægleren om ordlyden og leverandørerne om virkeligheden, og lad en person i virksomheden holde de to op mod hinanden.
Tag produktionsvirksomheden med 40 ansatte, hvor tre forskellige leverandører har hånd om IT. Driftsleverandøren styrer servere og mail, en anden leverandør passer ERP-løsningen, og en tredje har fjernadgang til maskinstyringen. Spørgsmålet om flerfaktorgodkendelse ved fjernadgang skal besvares for alle tre. Driftsleverandøren kan svare for sin del, men ikke for maskinleverandørens. Uden en, der ser på tværs, bliver svaret let et ja, der kun gælder to tredjedele af virksomheden. Læs mere om ansvarsfordelingen ved outsourcet drift.
CISO-rollens arbejde med skemaet
En CISO kan tage ejerskab for processen. Det betyder at gennemgå hvert spørgsmål, indhente svar fra de relevante leverandører, kontrollere stikprøver og skrive en kort note om, hvad hvert svar bygger på. Hvor svaret er nej eller delvist, foreslår CISO enten at rette forholdet før indsendelse eller at svare præcist med de forbehold, der passer.
Ledelsen får derefter et kort oplæg: hvad der svares, hvor virksomheden ikke lever op til spørgsmålet, og hvad det vil kræve at rette det. Beslutningen om at underskrive ligger hos ledelsen. Hvis I ønsker en uafhængig gennemgang, bør den, der hjælper, ikke selv have en interesse i forsikringen eller i de sikkerhedsprodukter, der foreslås. Uden partneraftaler og provision kan gennemgangen følge jeres interesser.
Mere om forsikringen som en del af sikkerhedsarbejdet står på temasiden Cyberforsikring og sikkerhedsarbejdet. Hvordan ledelsen kan lade skemaet indgå i et forløb med sikkerhedstest, er beskrevet på sikkerhedstesten.dk.
Brug skemaet til at styre sikkerheden
Forsikringens spørgsmål ligner i høj grad de grundlæggende foranstaltninger, som også NIS2-loven nævner i § 6, blandt andet håndtering af hændelser, backup og multifaktorautentificering. Svarene kan derfor genbruges som en status for ledelsen. Et nej i skemaet er en prioritet i sikkerhedsplanen, se Hvad skal vi gøre først?.
Noterne bag svarene har også værdi, når der sker en skade. Selskabet vil ofte gennemgå, om forholdene svarede til det oplyste, og en mappe med skema, noter og bekræftelser fra leverandørerne gør den gennemgang lettere for begge parter. Gem mappen et sted, der kan nås, selv om jeres egne systemer er nede.
Læg fornyelsen ind i årshjulet for sikkerhedsarbejdet, så svarene kan forberedes i god tid før fristen.
Det skal I lade være med
- At lade én person udfylde skemaet ud fra hukommelsen · svarene skal kunne dokumenteres.
- At svare ja, når svaret er “for det meste” · beskriv undtagelserne, eller ret dem før indsendelse.
- At genbruge sidste års svar uden gennemsyn · leverandører, systemer og adgange ændrer sig.
- At lade driftsleverandøren svare for hele virksomheden · den kender kun sin egen del.
- At gemme skemaet væk efter indsendelse · det er grundlaget for aftalen og skal kunne findes ved en skade.
Det skal I kræve af den eksterne
- ☐ En gennemgang af hvert spørgsmål med en note om, hvad svaret bygger på.
- ☐ Bekræftelse fra de leverandører, der har ansvar for de berørte områder.
- ☐ En liste over de svar, der er nej eller delvise, med forslag til handling.
- ☐ Et oplæg, som ledelsen kan underskrive ud fra.
- ☐ Opbevaring af skema, noter og bilag i jeres egne systemer.
Næste skridt er at finde det seneste skema frem og spørge, hvem der i dag kan stå inde for hvert enkelt svar.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 6, stk. 1, om minimumsområderne for foranstaltninger, herunder håndtering af hændelser, backup og multifaktorautentificering.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Beredskabsplan: ledelsens del af planen · Sikkerhedskrav til jeres IT-leverandør
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
