Hvis de oplysninger, virksomheden har givet ved tegningen af en cyberforsikring, viser sig at være forkerte, kan det få betydning for dækningen, når skaden sker. Forsikringsaftaleloven har regler om urigtige oplysninger, og hvor hårde følgerne er, afhænger blandt andet af, om virksomheden vidste eller burde vide, at oplysningen var forkert. Det mest effektive værn er at kunne vise, hvad hvert svar byggede på, og at rette fejl, så snart de opdages. Teksten her er en praktisk orientering og ikke juridisk rådgivning; den konkrete vurdering hører hjemme hos en advokat eller jeres forsikringsmægler.
Hvordan forkerte svar opstår
De fleste forkerte svar er hverken bevidste eller grove. De opstår, fordi skemaet udfyldes i en fart, fordi den, der svarer, ikke kender alle systemer, eller fordi et spørgsmål læses mere bredt eller smalt, end det er ment. Typiske eksempler:
- Der er svaret ja til flerfaktorgodkendelse for alle brugere, men en ældre servicekonto og en leverandørs fjernadgang er undtaget.
- Der er svaret, at backup er adskilt fra netværket, men kopien ligger på et drev, som kan nås med de samme administratorrettigheder.
- Der er svaret, at gendannelse testes, men den seneste test er flere år gammel.
- Svarene var rigtige ved tegningen, men et systemskifte har siden ændret forholdene.
Tag NIS2-underleverandøren, der leverer komponenter til en større kunde. Direktøren har udfyldt skemaet sammen med mægleren og svaret ud fra det, driftsleverandøren fortalte for to år siden. Ingen har siden kontrolleret, om det stadig passer. I mellemtiden er mailen flyttet til en cloudtjeneste, og den gamle server med backup er taget ud af drift. To af svarene beskriver derfor et IT-miljø, der ikke findes længere.
Hvad forsikringsaftaleloven siger
Forsikringsaftaleloven, lovbekendtgørelse nr. 1237 af 9. november 2015, har et afsnit om urigtige oplysninger ved aftalens afslutning i §§ 4 til 10. Reglerne er graduerede:
- Efter § 4 er aftalen ikke bindende for selskabet, hvis forsikringstageren svigagtigt har givet urigtige oplysninger eller fortiet noget af betydning.
- Efter § 5 hæfter selskabet, som om oplysningen var rigtig, hvis forsikringstageren hverken vidste eller burde vide, at den var forkert. Ved skadesforsikring kan selskabet dog opsige forsikringen med kort varsel.
- Efter § 6 kan selskabet i andre tilfælde være fri for ansvar, hvis det ikke ville have overtaget forsikringen med de rette oplysninger. Ville det have overtaget den på andre vilkår, hæfter det i det omfang, den aftalte præmie svarer til.
- Efter § 7 har det kun betydning, at forsikringstageren har undladt at give en oplysning, hvis undladelsen kan tilregnes som grov uagtsomhed.
Loven har også regler om forhold, der ændrer sig undervejs. Efter § 45 kan det få betydning for selskabets ansvar, hvis en fareomstændighed, der er angivet i policen, bliver ændret med den sikredes vilje, så risikoen øges. Policens egne betingelser kan desuden indeholde krav til sikkerheden, som virksomheden skal leve op til i hele forsikringsperioden.
Hvordan bestemmelserne rammer en bestemt sag, afhænger af policen, skemaets ordlyd og omstændighederne. Det er en vurdering, ledelsen bør få foretaget af en jurist, hvis spørgsmålet bliver aktuelt.
Hvad det betyder for ledelsen
For ledelsen er der tre praktiske konsekvenser. Den første er, at svarene skal kunne dokumenteres, helst med en kort angivelse af, hvem der bekræftede dem, og hvornår. Hvis selskabet efter en skade spørger, hvorfor der blev svaret ja, er en note med kilde og dato langt bedre end en forklaring efter hukommelsen.
Den anden er, at ændringer i IT-miljøet skal holdes op mod policen. Skifter virksomheden driftsleverandør, flytter backup eller lukker en sikkerhedsfunktion, bør nogen spørge, om det ændrer et svar.
Den tredje er, at fejl skal rettes, når de opdages. Finder I ud af, at et svar ikke passede, er det klogt at drøfte med mægleren eller selskabet, hvordan det håndteres, frem for at vente på en skade. Hvordan mægler og IT-ledelse deler opgaverne, er beskrevet på ekstern-it-ledelse.dk.
CISO som vogter af svarene
En CISO kan påtage sig at holde forsikringens svar ved lige. Det indebærer at gemme skemaet med noter, at kontrollere svarene, når der sker ændringer i IT-miljøet, og at gennemgå dem før hver fornyelse. Hvordan skemaet besvares fra starten, står i Cyberforsikring: de spørgsmål, ledelsen skal kunne svare på.
Når et svar ikke længere holder, lægger CISO det frem for ledelsen med to muligheder: at rette forholdet, så svaret igen passer, eller at give selskabet besked gennem mægleren. Risikoen ved at vente bør formuleres tydeligt, og beslutningen dokumenteres som enhver anden risikoaccept.
Status på forsikringens forudsætninger kan med fordel indgå i den faste sikkerhedsrapport til bestyrelsen, så bestyrelsen ved, om grundlaget for dækningen stadig er i orden.
Det skal I lade være med
- At svare optimistisk for at få en bedre præmie · et svar, der ikke holder, kan koste mere end præmien.
- At glemme policens sikkerhedskrav efter underskriften · de gælder hele perioden.
- At lade et kendt fejlsvar ligge til næste fornyelse · tal med mægleren, når fejlen er fundet.
- At lade IT-ændringer ske uden at se på policen · et leverandørskifte kan ændre flere svar på én gang.
- At tolke lovens regler selv i en konkret sag · få en juridisk vurdering.
Det skal I kræve af den eksterne
- ☐ En kopi af skemaet med noter om grundlaget for hvert svar.
- ☐ En liste over policens sikkerhedskrav, som følges op i løbet af året.
- ☐ Besked til ledelsen, når en ændring påvirker et svar.
- ☐ Forberedelse af fornyelsen i god tid før fristen, se årshjul for sikkerhedsarbejdet.
- ☐ Tydelig adskillelse mellem faglig vurdering og juridisk rådgivning.
Næste skridt er at gennemgå det seneste skema med den, der kender IT-miljøet i dag, og markere de svar, der ikke længere passer. Mere om forsikringens plads i sikkerhedsarbejdet står på temasiden Cyberforsikring og sikkerhedsarbejdet.
Kilder
- Forsikringsaftaleloven, LBK nr. 1237 af 9. november 2015 (retsinformation.dk): §§ 4 til 10 om urigtige oplysninger ved aftalens afslutning og § 45 om fareforøgelse.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Hvem må acceptere en risiko? · Nøgletal for sikkerhed, som ledelsen kan følge
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
