En cyberforsikring dækker typisk udgifterne til at få systemer og data tilbage, tab ved driftsstop, erstatningskrav fra andre og hjælp fra specialister, når virksomheden er ramt. Der findes dog ingen fast standard. I de offentliggjorte produktark og betingelser, vi har læst, dækker ét produkt afpresning, et ældre produktark undtager tab fra ransomware, og ét sæt betingelser gør driftstab til et tilvalg. Det er derfor jeres egen police, der tæller. Artiklen viser de typiske dele, de typiske undtagelser, og hvordan ledelsen kan prøve policen af mod sine egne scenarier. Det, selskabet spørger jer om ved tegningen, står i forsikringens spørgsmål til ledelsen.
De typiske dele
Navnene skifter, men disse dele går igen. Forsikringen består ofte af en grunddækning og tilvalg, så tjek, hvad der står i jeres police.
- Genopretning · udgifter til at gendanne data og få IT-systemerne op igen, ofte med eksterne konsulenter og undersøgelse af hændelsen.
- Driftstab · tabt indtjening og meromkostninger, mens driften står stille. Dækningen begynder typisk først efter en karensperiode, altså den tid, I selv bærer, og den er ifølge ét sæt betingelser kun med, hvis den står i policen.
- Ansvar · erstatning, hvis I bliver ansvarlige for andres tab efter hændelsen.
- Juridisk hjælp og underretning · advokat, udgifter til at give berørte besked og i nogle produkter PR-hjælp.
- Afpresning · nogle produkter dækker omkostninger ved afpresning, i ét tilfælde kun med selskabets forudgående skriftlige samtykke. Andre undtager det.
- Svindel · uberettigede overførsler dækkes i nogle produkter og er undtaget i andre.
Det, der ofte står uden for
Løsesummen. Ét nyt sæt betingelser undtager betaling af løsesum uanset form, og genopretningen kan stadig være dækket. Forskellen er vigtig, fordi “ransomware er dækket” kan betyde vidt forskellige ting. Se også skal vi betale løsesummen?.
Krig og statslige angreb. Her bør ledelsen læse ekstra grundigt. Formuleringerne spænder fra fysiske krigshandlinger til et sæt betingelser, der undtager cyberkrig, cyberoperationer, hybridkrig og statsstøttede angreb. Da Styrelsen for Samfundssikkerhed (SAMSIK) har hævet truslen fra destruktive cyberangreb til høj, er spørgsmålet aktuelt. Spørg, hvem der skal bevise, hvem der stod bag.
Bøder. Bøder er ofte undtaget. Et par produkter nævner dog bestemte bøder som dækket, fx fra databeskyttelsesmyndigheder eller kortindustrien, og ét undtager bøder, der efter loven ikke kan forsikres. Forvent ikke, at en bøde efter NIS2-loven er dækket, før I har det på skrift.
Forbedringer. Forsikringen stiller jer typisk, som I var. Udgifter til at rette fejl i procedurer eller gøre systemerne bedre end før er undtaget i flere betingelser.
Andres nedbrud. Svigt hos el- og teleselskaber er ofte undtaget. Se efter, hvad der gælder, når IT-leverandøren bliver ramt, og om data i cloudtjenester er med.
Maskiner og egne produkter. Ét sæt betingelser undtager driftstab fra computerstyret produktionsudstyr, der mister funktion, og ansvar for egne produkter, software og rådgivning. Det er relevant for produktionsvirksomheder og softwarehuse.
Det, I vidste. Forhold, ledelsen kendte ved tegningen, og forsætlige handlinger er typisk undtaget.
Kravene til jer selv
Mange betingelser indeholder sikkerhedskrav, der er en betingelse for dækning. Ét sæt fra 2026 kræver blandt andet backup af alle data mindst hver syvende dag med en kopi adskilt fra det primære IT-miljø, styresystemer med support og nyeste opdateringer, og at standardadgangskoder ikke bruges. Et andet taler bredere om sikkerhed, der lever op til det aktuelle tekniske niveau.
Reglerne har betydning, hvis de er brudt. Efter § 51 i forsikringsaftaleloven har den sikrede, der har forsømt et påbud om forholdsregler, kun krav mod selskabet, når og for så vidt det må anses for godtgjort, at skaden ikke skyldes overtrædelsen. I skal altså kunne vise sammenhængen, hvis en kopi var sprunget over, eller et system manglede opdateringer. Læg kravene ind i kravregistret, så de bliver kontrolleret som alle andre krav, og læs om svar, der ikke holder.
Loven har også regler om anmeldelse. Efter § 21 skal skaden meldes uden ophold, og forsømmelse kan begrænse selskabets ansvar. Betingelser kan være mere præcise, fx straks og senest inden for en uge. Mange af lovens regler kan fraviges ved aftale, jf. § 3, så betingelserne vejer tungt. Spørg en forsikringsmægler eller advokat, hvis ordlyden er uklar. Teksten her er ikke juridisk rådgivning.
Prøv policen af mod tre scenarier
Vores forslag er at give policen en prøve. Tag de tre største scenarier fra risikovurderingen, og gennemgå dem med mægleren. Fx disse:
- Kryptering og afpresning. Hvad dækkes, hvis I ikke betaler? Hvilke udgifter kræver godkendelse?
- Leverandøren er nede i en uge. Dækkes driftstabet, når angrebet ikke ramte jer selv?
- Et angreb, der sletter data, og som peger mod en stat. Gælder undtagelsen for krig, og hvem afgør det?
Find også selvrisiko, karensperiode og forsikringssum i policen for hvert scenarie. Sammenlign dem med, hvor længe I realistisk er nede. Hvad I ikke er dækket for, er en risiko, som ledelsen har accepteret, og det bør stå skrevet, se hvem må acceptere en risiko?.
Tænk på en grossist med 70 ansatte, der mener at have en fuld cyberpolice. Prøven viser, at driftstab ikke er tilvalgt, og at ordresystemet hos leverandøren ikke er med. Ledelsen tilvælger driftstab ved fornyelsen, får svaret om leverandøren på skrift og sætter bedre gendannelse højere på listen. Hvem der står for hvad i dialogen, er beskrevet under forsikringsmægleren og den eksterne IT-leder.
Det skal I lade være med
- At købe på produktnavnet · “cyberforsikring” siger intet om, hvad der er dækket.
- At gå ud fra, at ransomware er dækket · læs både afpresning, løsesum og genopretning.
- At lade policen ligge hos økonomifunktionen alene · sikkerhedskravene skal kendes af dem, der driver IT.
Det skal I kræve af den eksterne
- ☐ En gennemgang af betingelsernes sikkerhedskrav mod virkeligheden.
- ☐ En prøve af policen mod jeres største scenarier, med mægleren ved bordet.
- ☐ En liste over det, der ikke er dækket, til ledelsens beslutning.
- ☐ Rådgivning uden provision fra forsikringsselskaber eller mæglere.
Kilder
- Forsikringsaftaleloven, LBK nr. 1237 af 9. november 2015: §§ 3, 21 og 51.
- Betingelser for en dansk cyberforsikring, juli 2026 (pdf): sikkerhedsforholdsregler, tilvalg og undtagelser.
- Betingelser for en dansk cyberforsikring, 2021 (pdf): cyberafpresning, karenstid og undtagelser.
- Produktark for en cyberforsikring (pdf): dækninger, undtagelser og forpligtelser.
- Ældre produktark for en cyberforsikring (pdf): eksempel på undtagelse af ransomware.
- SAMSIK: Truslen fra destruktive cyberangreb hæves til høj.
Dokumenterne er eksempler. De er ikke en sammenligning af selskaber og kan være ændret.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Forsikringsselskabet vil ikke forny cyberforsikringen · Ransomware forklaret for ledelsen
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
