Når forsikringsselskabet afviser at forny cyberforsikringen, er det første skridt at få årsagen på skrift. Derefter skal ledelsen sortere de mangler, selskabet peger på, efter hvor meget de betyder for virksomhedens egen risiko, lægge en plan med datoer og samle dokumentation for hvert fremskridt. I mellemtiden skal ledelsen tage stilling til, at virksomheden er uden forsikring, og tilpasse beredskabet, hvis policen indeholdt hjælp ved hændelser. Med den plan i hånden kan forsikringsmægleren eller virksomheden selv gå tilbage til selskabet eller til andre selskaber med et bedre grundlag.
Find årsagen
En afvisning kan have mange årsager, og de kræver forskellige svar. Det kan være svar i spørgeskemaet, der viser, at en bestemt foranstaltning mangler. Det kan være en tidligere skade. Det kan også være forhold, der handler mere om selskabet end om virksomheden, fx at selskabet har ændret sin politik over for en bestemt branche.
Bed derfor om en skriftlig begrundelse, gerne gennem forsikringsmægleren, hvis I har en. Spørg konkret, hvilke svar eller forhold der var afgørende, og om selskabet vil genoverveje sagen, hvis bestemte mangler er udbedret. Svaret afgør, om sikkerhedsarbejdet kan ændre noget, eller om I skal finde et andet selskab. Notér også, hvornår den nuværende police udløber, og hvor lang tid selskabet eller mægleren skal bruge på en ny vurdering. De to datoer bestemmer, hvor meget der realistisk kan nås, før virksomheden står uden dækning. Mæglerens rolle i samspillet med IT-ledelsen er beskrevet i Forsikringsmægleren og IT-ledelsen.
Perioden uden forsikring
Udløber policen, før en ny er på plads, bærer virksomheden selv tabet ved en hændelse. Det er en risiko, som ledelsen bør tage stilling til på et møde og skrive ned. Beslutningen kan være at acceptere risikoen i en kort periode, at prioritere bestemte foranstaltninger højere, eller at søge midlertidig dækning andre steder. Hvem i virksomheden der må acceptere en risiko af den størrelse, er gennemgået under risikoaccept.
Nogle cyberpolicer giver adgang til en hjælpelinje eller til eksperter ved en hændelse. Har beredskabsplanen henvist til forsikringsselskabets hjælpelinje, er den henvisning ikke længere gyldig. Planen skal opdateres med, hvem virksomheden så kontakter, og hvordan den aftale er på plads. Se Beredskabsplan: ledelsens del af planen.
Sorter manglerne
Selskabets mangler er ikke nødvendigvis de vigtigste for jeres virksomhed, og de er heller ikke nødvendigvis uvigtige. Læg dem ved siden af virksomhedens egen risikovurdering. Hver mangel får en af tre vurderinger:
- Mangler, der også er vigtige for jer. De skal udbedres, uanset forsikringen, og de kommer først.
- Mangler, der er vigtige for selskabet, men mindre for jer. De kan udbedres, hvis det er realistisk, fordi de åbner for forsikringen.
- Mangler, I er uenige i. De bør forklares over for selskabet med en begrundelse, fx at risikoen er håndteret på en anden måde.
Sorteringen bliver til en plan med ejer og dato for hvert punkt. Planen forelægges ledelsen, der godkender rækkefølgen og de ressourcer, punkterne kræver. Mægleren kan med fordel få en kopi. Hvordan sikkerhedsarbejdet prioriteres generelt, står i Hvad skal vi gøre først?.
Dokumenter fremskridt
Når forsikringen skal søges igen, vil selskabet se, at manglerne er udbedret. Et ja i spørgeskemaet er svagere end et ja, der kan underbygges. Saml derfor dokumentation, efterhånden som hvert punkt lukkes. Det kan være en rapport fra IT-leverandøren om, at flerfaktorlogin er slået til for alle brugere, et referat af en gennemført genskabelse af backup eller en godkendt beredskabsplan med dato.
Dokumentationen skal vise, at foranstaltningen fungerer i praksis. En politik, der beskriver backup, siger mindre end en afprøvning, der viser, at data kan hentes tilbage. Hvorfor svarene skal kunne holde, også efter en skade, er uddybet i Når svarene til forsikringen ikke holder.
Næste forespørgsel
Når de vigtigste punkter er lukket, kan I gå tilbage. Mægleren eller virksomheden selv kan sende en kort orientering til selskabet om, hvad der er sket siden afvisningen, med dokumentationen vedlagt. Orienteringen bør være kort og konkret, så den, der vurderer sagen, hurtigt kan se forskellen. Spørgeskemaet udfyldes på ny, og svarene gennemgås af den, der leder sikkerhedsarbejdet, før direktionen skriver under.
Søger I hos andre selskaber, skal svarene være de samme. Forskellige selskaber stiller forskellige spørgsmål, men de faktiske forhold er de samme, og svarene bør bygge på samme grundlag. Hvad selskaberne typisk spørger om, er gennemgået under forsikringens typiske spørgsmål.
Tænk på en transportvirksomhed med 55 ansatte, der får afslag på fornyelse. Begrundelsen, som mægleren henter, peger på manglende flerfaktorlogin til fjernadgang og en backup, der kan nås direkte fra de øvrige systemer. Ledelsen vurderer, at begge punkter også er vigtige for virksomheden selv. Den accepterer en periode uden forsikring på op til fire måneder, opdaterer beredskabsplanen og lukker begge punkter med dokumentation fra IT-leverandøren. Efter tre måneder sendes en ny forespørgsel med dokumentationen vedlagt.
Det skal I lade være med
- At søge et nyt selskab med de samme svar uden at have ændret noget · resultatet bliver sandsynligvis det samme.
- At pynte på svarene i næste skema · uriktige oplysninger kan give problemer, når en skade skal behandles.
- At lade perioden uden forsikring gå uden en beslutning · det er en risiko, ledelsen skal tage stilling til.
- At glemme hjælpelinjen i beredskabsplanen · den kan være forsvundet med policen.
- At udbedre det, selskabet nævner, og overse jeres egne største risici · forsikringen dækker ikke alt.
Det skal I kræve af den eksterne
- ☐ En sortering af selskabets mangler mod virksomhedens egen risikovurdering.
- ☐ En plan med ejer og dato for hvert punkt.
- ☐ Dokumentation for hvert lukket punkt, som kan vedlægges en ny forespørgsel.
- ☐ En gennemgang af svarene i det nye spørgeskema, før direktionen skriver under.
- ☐ En opdateret beredskabsplan for perioden uden forsikring.
Samme uge som afslaget
Bed om den skriftlige begrundelse, og sæt perioden uden forsikring på dagsordenen i ledelsen. Ledelsens rolle i forhold til forsikringen er samlet under Cyberforsikring og sikkerhedsarbejdet. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Senest gennemgået: november 2026.
Næste skridt
- Cyberforsikring: de spørgsmål, ledelsen skal kunne svare på
- Risikovurdering, som ledelsen kan træffe beslutninger på
Læs også: Når svarene til forsikringen ikke holder · Backup og reetablering: hvad ledelsen skal vide
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
