Når budgettet er stramt, kan det se ud, som om ledelsen skal vælge: enten betaler virksomheden for en cyberforsikring, eller den betaler for en sikkerhedstest. Valget er skævt stillet, fordi de to redskaber løser hver sin opgave. En forsikring kan dække en del af de økonomiske følger, når noget er gået galt. En test viser, hvor virksomheden kan blive ramt, så svaghederne kan rettes, før det sker. Den ene erstatter derfor ikke den anden. Hvad en bestemt police dækker og kræver, afgøres af policen og forsikringsselskabet. Teksten er ikke juridisk rådgivning, og den træder ikke i stedet for rådgivning om forsikring.
To måder at håndtere den samme risiko
I risikostyring skelnes der mellem flere måder at reagere på en risiko. Det amerikanske standardiseringsinstitut NIST beskriver i sin ordliste, at en risiko kan accepteres, undgås, mindskes, deles eller overføres. En forsikring hører til de to sidste: en del af den økonomiske byrde flyttes til et forsikringsselskab mod en præmie. En sikkerhedstest hører til forarbejdet for at mindske risikoen: den giver viden om, hvor svaghederne er, og dermed et grundlag for at rette dem.
Pointen for ledelsen er, at de to svar ikke konkurrerer. Virksomheden kan godt både mindske en risiko og overføre det, der er tilbage. Men den kan ikke overføre det hele. Driftsstop, tabte ordrer, ekstra arbejde og kunder, der mister tilliden, bliver i virksomheden, uanset hvad policen udbetaler. → Risikovillighed: hvor meget sikkerhedsrisiko vil ledelsen leve med?
Hvad en forsikring ikke kan
Det britiske NCSC har skrevet en vejledning om cyberforsikring til organisationer. Den siger klart, at en forsikring ikke løser virksomhedens sikkerhedsproblemer og ikke forhindrer et angreb. Vejledningen sammenligner med en husforsikring: også her forventes det, at ejeren har rimelig sikring på plads.
Det betyder i praksis tre ting for ledelsen:
- Forsikringen kommer bagefter · den hjælper, når skaden er sket, men den mindsker ikke sandsynligheden for, at den sker.
- Dækningen har grænser · der kan være undtagelser, selvrisiko og loft, og det er policen, der afgør dem.
- Forsikringen bygger på oplysninger fra jer · selskabet kan spørge til sikkerheden, før det tegner eller fornyr, og NCSC advarer om, at forkerte oplysninger kan bringe en skadesanmeldelse i fare.
Den sidste del binder de to redskaber sammen. Virksomheden skal kunne svare på forsikringens spørgsmål om sin sikkerhed, og det kræver viden om, hvordan det faktisk står til. → Ledelsen underskriver forsikringsskemaet
Hvad en test ikke kan
En sikkerhedstest har sine egne grænser. Den viser, hvad der blev fundet i det, der blev testet, på det tidspunkt, testen fandt sted. Den betaler ikke for gendannelse af data, for juridisk bistand eller for tabt omsætning, hvis der alligevel sker en hændelse. Og den kan ikke love, at der ikke findes svagheder, som testen ikke ramte.
En virksomhed, der kun har testet, står derfor med hele regningen, hvis uheldet sker. En virksomhed, der kun er forsikret, står med en police, men uden viden om, hvor den er sårbar. → Hvad testen kan svare på
Redskaberne styrker hinanden
Selv om de to redskaber er forskellige, hænger de sammen i praksis. En test giver ledelsen et dokumenteret billede af sikkerheden, som kan bruges, når forsikringens spørgsmål skal besvares. Rettelserne efter testen kan ændre de svar, virksomheden giver ved næste fornyelse. Og hvis der sker en hændelse, kan det have betydning, at virksomheden kan vise, hvad den vidste, og hvad den gjorde ved det.
Omvendt kan forsikringen gøre det lettere at bære den risiko, der er tilbage, når de vigtigste fund er rettet. Ingen test fjerner al risiko, og ingen ledelse kan rette alt på én gang. Forsikringen kan dække en del af det, ledelsen bevidst har valgt at leve med.
Når pengene kun rækker til det ene
Nogle ledelser må alligevel prioritere. Spørgsmålet bliver så ikke, hvilket redskab der er bedst, men hvilket hul der er størst lige nu. Tre spørgsmål kan hjælpe:
- Kan virksomheden bære regningen selv? Hvis en alvorlig hændelse vil true likviditeten, vejer en forsikring tungt.
- Ved ledelsen, hvor de største svagheder er? Hvis svaret er nej, er der risiko for at forsikre sig mod noget, der kunne være undgået.
- Kan virksomheden svare ærligt på forsikringens spørgsmål? Hvis svarene bygger på antagelser, kan en test give det grundlag, der mangler.
Svarene peger ikke altid samme vej, og beslutningen er ledelsens. Det vigtige er, at valget bliver truffet bevidst og skrevet ned, så det kan tages op igen, når økonomien tillader det. Hvad der påvirker omfanget af en test, kan I læse om under pris og tilbud. → Sikkerhedstest eller nye sikkerhedsløsninger
Et tænkt eksempel
En familieejet maskinfabrik har fået et tilbud på en cyberforsikring og et tilbud på en sikkerhedstest af de systemer, der styrer ordrer og produktion. Bestyrelsen beder direktøren om at vælge det ene, fordi årets budget er lagt.
Direktøren fremlægger i stedet de to tilbud side om side med en kort beskrivelse af, hvad hvert redskab gør, og hvad det lader stå åbent. Forsikringen vil dække en del af udgifterne ved et angreb, men selskabets skema spørger til forhold, som IT-leverandøren ikke kan dokumentere. Testen vil give det svar, men ikke dække noget, hvis uheldet sker inden. Bestyrelsen beslutter at tegne forsikringen nu og lægge testen ind i første kvartal næste år, med en note i referatet om, at skemaets svar skal opdateres, når testen er gennemført.
Det skal I lade være med
- At se forsikringen som en erstatning for sikkerhed · den dækker en del af følgerne, ikke årsagen.
- At se testen som en forsikring · en test betaler ikke for noget, når skaden er sket.
- At gå ud fra, at policen dækker alt · læs undtagelser og betingelser sammen med mægleren.
- At svare på forsikringens spørgsmål uden at vide, hvordan det står til · svarene skal kunne dokumenteres.
- At lade valget blive truffet i budgettet uden en beslutning i ledelsen · det er en risikobeslutning.
Hvad kan og ikke kan konkluderes
Forsikring og test er to forskellige svar på den samme risiko: det ene flytter en del af regningen, det andet giver viden til at mindske risikoen. Det kan ikke konkluderes generelt, hvilket af dem en bestemt virksomhed bør prioritere, eller hvad en bestemt police kræver. Det afhænger af virksomhedens økonomi, dens systemer og forsikringsselskabets vilkår. → Samtalen med forsikringsmægleren om IT-sikkerhed
Tjekliste til beslutningen
- ☐ Er det klart for ledelsen, hvad forsikringen dækker, og hvad den ikke dækker?
- ☐ Ved ledelsen, hvor de største svagheder i systemerne er?
- ☐ Kan forsikringens spørgsmål besvares med dokumentation?
- ☐ Er det beskrevet, hvilke følger af en hændelse virksomheden selv skal bære?
- ☐ Er valget truffet i ledelsen og skrevet ned med en dato for næste vurdering?
Kilder
- NCSC, Cyber insurance guidance: at en cyberforsikring ikke løser sikkerhedsproblemerne eller forhindrer et angreb, sammenligningen med husforsikring, og at forkerte oplysninger om sikkerheden kan bringe en skadesanmeldelse i fare.
- NIST CSRC, Glossary: risk response: definitionen fra SP 800-39 af risikohåndtering som at acceptere, undgå, mindske, dele eller overføre en risiko.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Hvad risikerer vi ved ikke at teste? · Sikkerhedsrisiko i virksomhedens risikoregister
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
