Bestyrelsesansvarsforsikringen og IT‑sikkerheden: spørgsmål, bestyrelsen bør stille

Når talen falder på IT-sikkerhed i bestyrelsen, siger nogen måske, at ledelsen jo har en ansvarsforsikring. Den bemærkning blander to forskellige forsikringer sammen og flytter fokus fra det, bestyrelsen faktisk kan gøre. Svaret på, hvad bestyrelsen bør vide, hviler på en enkel skelnen: virksomhedens cyberforsikring handler om virksomhedens egne tab ved en hændelse, mens ledelsens ansvarsforsikring handler om krav mod ledelsesmedlemmerne personligt. Hvad den enkelte police dækker, står kun i policen og afklares med mægler og forsikringsselskab. Det, der står her, er hverken juridisk rådgivning eller rådgivning om forsikring.

To forsikringer med hvert sit formål

En cyberforsikring tegnes af virksomheden for at dække visse omkostninger og tab, hvis den rammes af en IT-hændelse. Hvordan ledelsen arbejder med den forsikring, er beskrevet i → Samtalen med forsikringsmægleren om IT-sikkerhed.

En ledelsesansvarsforsikring, også kaldet bestyrelses- og direktionsansvarsforsikring, er en anden type. Den retter sig mod den situation, hvor nogen mener, at et medlem af ledelsen har handlet sådan, at der skal betales erstatning. Selskabsloven § 361 siger, at medlemmer af ledelsen, som under udførelsen af deres hverv forsætligt eller uagtsomt har tilføjet selskabet skade, er pligtige til at erstatte den, og at det samme gælder, når skaden er tilføjet kapitalejere eller tredjemand.

Om en ansvarsforsikring dækker i en sag, der har med IT-sikkerhed at gøre, afhænger af policens vilkår, undtagelser og de konkrete omstændigheder. Det kan bestyrelsen ikke vide på forhånd uden at have læst policen og spurgt.

Hvorfor spørgsmålet hører til i bestyrelsen

Ansvarsforsikringen er bestyrelsens egen sag på en måde, cyberforsikringen ikke er. Den beskytter de personer, der sidder om bordet, og vilkårene kan have betydning for dem personligt. Samtidig er det et emne, hvor misforståelser kan få bestyrelsen til at slappe af på et forkert grundlag.

Bestyrelsen kan derfor med fordel bede direktionen eller den, der har ansvaret for forsikringerne, om en kort gennemgang af, hvilke forsikringer virksomheden har, hvem de dækker, og hvordan de forholder sig til hinanden. Gennemgangen kan ske én gang om året, for eksempel i forbindelse med fornyelsen. Bestyrelsen bør også vide, hvem i virksomheden der har kontakten til mægleren, og hvem der har adgang til de fulde policer. I mindre virksomheder kan det være økonomichefen alene, og så er det nyttigt, at formanden ved, hvor dokumenterne ligger, hvis spørgsmålet bliver aktuelt.

Spørgsmål til mægleren om ansvarsforsikringen

Det er mægleren eller forsikringsselskabet, der kan svare. Bestyrelsen kan bruge spørgsmålene her som udgangspunkt:

Hvem er sikret · alle medlemmer af bestyrelse og direktion, også medarbejdervalgte, suppleanter og tidligere medlemmer?
Sammenhæng med cyberforsikringen · hvordan forholder de to policer sig til hinanden, hvis et krav både handler om virksomhedens tab og om ledelsens handlinger?
Undtagelser · er der vilkår eller undtagelser, der nævner IT-sikkerhed, cyberhændelser eller personoplysninger?
Oplysninger ved tegningen · hvilke oplysninger om IT-sikkerhed blev givet, og hvem gav dem?
Anmeldelse · hvad skal anmeldes, og hvornår, hvis ledelsen får kendskab til forhold, der senere kan føre til et krav?

Svarene bør gives skriftligt, så de kan findes igen, når policen fornyes, eller hvis en sag opstår.

Oplysninger, der gives ved tegningen

Forsikringsaftaleloven indeholder i §§ 4-7 regler om de situationer, hvor der ved tegningen er givet urigtige oplysninger eller undladt at give oplysninger af betydning for selskabet. Hvordan reglerne bruges på en ansvarsforsikring i en konkret sag, er et spørgsmål for mægleren eller en advokat.

For bestyrelsen er det vigtige at vide, om der er spurgt til IT-sikkerhed, hvem der har svaret, og hvad svarene bygger på. Hvis svarene henviser til en sikkerhedstest, bør det være klart, hvad testen omfattede, hvornår den blev gennemført, og hvor langt opfølgningen er. Hvis billedet har ændret sig siden tegningen, fordi en test er blevet ældre, eller fordi nye systemer er kommet til, kan bestyrelsen spørge mægleren, om og hvordan forsikringsselskabet skal have besked. Det samme princip gælder for cyberforsikringens spørgeskema. → Ledelsen underskriver forsikringsskemaet

Forsikringen erstatter ikke beslutningen

En forsikring kan i bedste fald betale for noget, efter det er sket. Den forebygger ikke en hændelse, og den viser ikke, at ledelsen har taget stilling til risikoen. Hvis en ledelse undlader at teste og følge op, fordi den regner med forsikringen, har den truffet en beslutning om risiko på et grundlag, den ikke kender.

Det, bestyrelsen kan gøre, er at sørge for, at der foreligger et spor af overvejelser og beslutninger: at sikkerheden har været drøftet, at der er bestilt uafhængige test, hvor det var relevant, og at der er fulgt op på fundene. Et sådant spor er nyttigt i sig selv, uanset hvad en forsikring dækker. → Har vi gjort, hvad vi kunne? → Forsikring eller sikkerhedstest?

Et tænkt eksempel

En bestyrelse i en logistikvirksomhed drøfter, om der skal afsættes penge til en sikkerhedstest af lagersystemet. Et medlem bemærker, at både virksomheden og ledelsen er forsikret. Formanden beder økonomidirektøren om at indhente svar fra mægleren på, hvordan de to policer forholder sig til hinanden, og hvilke oplysninger om IT der blev givet ved tegningen.

Svaret viser, at ansvarsforsikringen har særlige vilkår om cyberhændelser, og at oplysningerne ved tegningen henviste til en test, der nu er to år gammel. Bestyrelsen beslutter testen, beder om en plan for opfølgning og noterer i protokollen, at forsikringsspørgsmålet er afklaret med mægleren. Hvad vilkårene betyder i en eventuel sag, tager bestyrelsen ikke stilling til.

Det skal I lade være med

At blande cyberforsikringen og ansvarsforsikringen sammen · de har forskellige formål.
At antage, at ansvarsforsikringen dækker · det afhænger af policen og sagen.
At lade forsikringen erstatte en beslutning om test · den forebygger intet.
At få mundtlige svar fra mægleren · bed om dem skriftligt.
At glemme oplysningerne ved tegningen · de skal passe til virkeligheden.

Hvad kan og ikke kan konkluderes

Bestyrelsen kan skaffe sig et klart billede af, hvilke forsikringer der findes, hvem de omfatter, og hvilke spørgsmål der er afklaret med mægleren. Det kan ikke konkluderes, at en forsikring vil dække i en bestemt sag, eller at en test fjerner et personligt ansvar. Begge dele afhænger af vilkår, lovgivning og de faktiske forhold, og konkrete spørgsmål hører til hos mægler og advokat.

Tjekliste til bestyrelsen

☐ Ved vi, hvilken forsikring der dækker virksomheden, og hvilken der dækker ledelsen?
☐ Har vi fået skriftlige svar fra mægleren om sammenhængen mellem dem?
☐ Ved vi, hvilke oplysninger om IT-sikkerhed der blev givet ved tegningen?
☐ Er det aftalt, hvem der holder øje med anmeldelsesvilkårene?
☐ Er beslutningen om test truffet uafhængigt af forsikringen?

Kilder

Selskabsloven, LBK nr. 331 af 20/03/2025: § 361, stk. 1, om ledelsesmedlemmers erstatningspligt for skade, de forsætligt eller uagtsomt har tilføjet selskabet, kapitalejere eller tredjemand.
Forsikringsaftaleloven, LBK nr. 1237 af 09/11/2015: §§ 4-7 om urigtige oplysninger og undladelse af at give oplysninger ved forsikringens tegning.

Senest gennemgået: oktober 2026.