Skal forsikringen have besked om testens resultat?

En sikkerhedstest kan vise svagheder, som ledelsen ikke kendte, da cyberforsikringen blev tegnet eller fornyet. Så opstår spørgsmålet, om forsikringsselskabet skal have det at vide. Der findes ikke et generelt ja eller nej. Svaret hviler på to forhold: hvad policen og de svar, virksomheden har givet selskabet, siger om netop de forhold, testen handler om, og hvad forsikringsaftaleloven siger om ændringer i risikoen. Begge dele skal ledelsen have afklaret med sin forsikringsmægler eller advokat. Teksten er ikke juridisk rådgivning.

Hvorfor spørgsmålet hører til ledelsen

Forsikringen er en aftale, som ledelsen har indgået på virksomhedens vegne. Testen er bestilt af ledelsen eller med dens godkendelse. Når de to mødes, er det ledelsen, der skal beslutte, hvad der gøres, og ikke IT-afdelingen eller den, der administrerer forsikringerne.

Der er også et tidsmæssigt hensyn. Hvis spørgsmålet først bliver stillet, når der er sket en skade, er det for sent at vælge. Derfor bør det besluttes, mens testens resultat er nyt. → Én test, flere modtagere

Hvad loven siger om ændringer i risikoen

Forsikringsaftaleloven har et afsnit om fareforøgelse. Efter § 45 kan det få betydning for selskabets ansvar, hvis en fareomstændighed, som er bestemt angivet i policen, ændres med den sikredes vilje, så risikoen bliver større end forudsat ved aftalens indgåelse. Efter § 46 gælder det også, hvis den sikrede bliver bekendt med en fareforøgelse, som ikke er sket med vilje, og uden gyldig grund undlader at give selskabet besked.

To ting er værd at bemærke for ledelsen. Bestemmelserne handler om forhold, der er angivet i policen. Og de handler om ændringer. Om et testresultat i et konkret tilfælde viser en ændring af et forhold i policen, eller om det blot viser, at et forhold aldrig var, som det blev beskrevet, er et juridisk spørgsmål. Det sidste kan hænge sammen med reglerne om urigtige oplysninger ved tegningen. → Ledelsen underskriver forsikringsskemaet

Dertil kommer policens egne vilkår. Nogle policer kan indeholde krav om at give besked om bestemte ændringer. Det er derfor policen, der skal læses først.

Det, ledelsen skal have afklaret

Det britiske NCSC anbefaler i sin vejledning om cyberforsikring, at virksomheden finder ud af, hvilke oplysninger om sikkerheden den skal give selskabet ved skade og fornyelse, og hvornår ændringer skal meldes. Det kan omsættes til fem spørgsmål:

Hvad står der i policen? Er de forhold, testen har afdækket, nævnt som betingelser eller som forhold, der skal være på plads?
Hvad svarede virksomheden i skemaet? Passer svarene stadig, når testens resultat er kendt?
Er der en pligt til at give besked? Hvad siger policen, og hvad siger mægleren eller advokaten om lovens regler i jeres tilfælde?
Hvornår rettes fundene? Et fund, der er rettet, stiller sig anderledes end et, der står åbent.
Hvad skal selskabet i givet fald have? En kort beskrivelse kan være nok, og den fulde rapport skal ikke sendes uden overvejelse.

Svarene skrives ned sammen med beslutningen, så det senere kan ses, hvad ledelsen vidste, og hvad den gjorde.

Rettelser ændrer billedet

Den bedste måde at stå over for forsikringen er at rette de alvorlige fund hurtigt. Når ledelsen kan vise, at en svaghed blev opdaget, prioriteret og rettet, er der en anden historie at fortælle end om et fund, der fik lov at ligge. Det er ikke en juridisk vurdering, men det er den del af sagen, ledelsen selv har i hånden, og som den kan handle på i dag.

Hvis rettelserne tager tid, kan ledelsen sørge for, at der er en plan med datoer og en ansvarlig, og at planen bliver fulgt. → Bliver fundene rettet?

Når testen og fornyelsen falder tæt

Spørgsmålet bliver mere konkret, hvis testen ligger kort før en fornyelse. Så skal skemaet udfyldes igen, og svarene skal passe til det, testen viste. Ledelsen kan vælge at lægge testen, så resultatet og de første rettelser er kendt, når skemaet skal udfyldes. Det giver et ærligt grundlag for svarene og mindsker risikoen for, at et svar bliver forkert kort tid efter, det er givet.

Hvis testen ligger lige efter en fornyelse, er situationen den modsatte. Svarene er netop givet, og testen kan vise, at et af dem ikke holder. Netop dér er det vigtigt, at ledelsen ikke venter et helt år med at tage stilling. → Teste nu eller vente?

Endelig er der fortroligheden. Hvis ledelsen beslutter at give selskabet besked, bør det ske på en måde, der passer til modtageren. Forsikringsselskabet har brug for at forstå, hvad der er fundet, og hvad der gøres. Det har ikke nødvendigvis brug for tekniske detaljer om, hvordan en svaghed kan udnyttes. Aftal med mægleren, hvad der skal sendes, og hvem der modtager det. → Hvem i virksomheden skal kende resultatet?

Et tænkt eksempel

En ejendomsadministration har en cyberforsikring, hvor skemaet ved fornyelsen sagde ja til, at alle fjernadgange er beskyttet med totrinslogin. En sikkerhedstest viser, at en ældre fjernadgang, som en servicepartner bruger, ikke er det.

Direktøren beder IT-leverandøren om at lukke eller sikre adgangen med det samme og sender samtidig policen og skemaets svar til virksomhedens mægler med et spørgsmål om, hvad der skal ske. Mægleren læser policen og vender tilbage med en anbefaling. Direktøren noterer i ledelsens referat, hvad testen viste, hvornår adgangen blev sikret, hvad mægleren anbefalede, og hvad der blev besluttet.

Det skal I lade være med

At lade spørgsmålet ligge, til der sker en skade · beslut det, mens resultatet er nyt.
At gå ud fra, at loven eller policen siger det samme i alle tilfælde · få jeres egen situation vurderet.
At sende hele rapporten til selskabet uden overvejelse · aftal, hvad modtageren har brug for.
At lade fund, der berører forsikringens forhold, stå åbne · ret dem først, eller sæt dato på.
At træffe beslutningen uden at skrive den ned · grundlaget skal kunne findes igen.

Hvad kan og ikke kan konkluderes

Et testresultat kan berøre forhold, som forsikringen bygger på, og ledelsen bør derfor tage stilling til det med policen i hånden. Det kan ikke konkluderes generelt, om selskabet skal have besked, eller hvad det betyder for dækningen. Det afgøres af policen, af loven anvendt på jeres situation og af selskabet. → Samtalen med forsikringsmægleren

Tjekliste, når resultatet berører forsikringen

☐ Er policen og skemaets svar læst med testens resultat i hånden?
☐ Er spørgsmålet om besked afklaret med mægler eller advokat?
☐ Er de fund, der berører forsikringens forhold, rettet eller sat på plan?
☐ Er det aftalt, hvad selskabet i givet fald skal modtage?
☐ Er beslutningen og grundlaget skrevet ned?

Kilder

Forsikringsaftaleloven, LBK nr. 1237 af 09/11/2015: § 45 om fareforøgelse ved ændring af en fareomstændighed, der er bestemt angivet i policen, og § 46 om den sikredes underretning ved fareforøgelse, der ikke er sket med vilje.
NCSC, Cyber insurance guidance: spørgsmålet om, hvilke oplysninger om sikkerheden der skal gives ved skade og fornyelse, og hvornår ændringer skal meldes.

Senest gennemgået: oktober 2026.