Et møde med forsikringsmægleren om cyberforsikring kan let blive en gennemgang af produkter og præmier, hvor virksomhedens egen situation kun får en kort plads. Det er omvendt af, hvad mødet bør handle om. Svaret på, hvordan ledelsen får mest ud af samtalen, hviler på to ting: at mægleren får et præcist billede af virksomheden, og at ledelsen kommer med sine egne spørgsmål. Policens dækning og krav fastlægges af forsikringsselskabet i selve policen. Teksten er ikke juridisk rådgivning.
Hvad mægleren skal lægge til grund
EU’s direktiv om forsikringsdistribution stiller krav til den, der sælger eller formidler forsikringer. Efter artikel 20 skal distributøren, før en aftale indgås, fastlægge kundens krav og behov på grundlag af oplysninger fra kunden og give objektive oplysninger om produktet på en forståelig måde. Når der ydes rådgivning, skal der gives en individuel anbefaling, der forklarer, hvorfor et bestemt produkt passer til kundens behov.
For ledelsen betyder det, at kvaliteten af rådgivningen afhænger af kvaliteten af de oplysninger, virksomheden selv giver. En mægler, der ikke ved, hvilke systemer forretningen hviler på, kan ikke vurdere, hvad virksomheden har brug for at være dækket imod. → Kronjuvelerne
Forbered mødet internt
Inden mødet bør ledelsen have samlet et kort overblik. Det behøver ikke være teknisk, men det skal være rigtigt.
- Forretningens afhængighed · hvilke systemer der skal virke, for at virksomheden kan sælge, levere og fakturere.
- Data, I passer på · kundeoplysninger, persondata og forretningshemmeligheder, og hvor de ligger.
- Leverandører · hvem der driver systemerne, og hvad de har ansvaret for.
- Det, I ved om sikkerheden · seneste sikkerhedstest, hvad den dækkede, og hvor langt rettelserne er.
- Det, I ikke ved · områder, der aldrig er testet eller gennemgået.
Det sidste punkt er lige så vigtigt som de andre. Det er bedre, at mægleren kender hullerne fra start, end at de dukker op, når skemaet skal udfyldes. → Hvad står stille, hvis systemerne er nede?
Spørgsmål, ledelsen kan stille
Mødet er også ledelsens mulighed for at forstå, hvad den køber. Disse spørgsmål kan tages med:
- Hvad dækker forsikringen, og hvad dækker den ikke? Bed mægleren pege på undtagelserne i policen.
- Hvilke oplysninger om sikkerheden bygger selskabet på? Og hvad sker der, hvis et svar viser sig ikke at holde?
- Hvad skal vi give besked om i løbet af året? Er der forhold, der skal meldes, hvis de ændrer sig?
- Hvilken hjælp følger med ved en hændelse? Er der adgang til rådgivning eller bistand, og hvem ringer vi til?
- Hvordan hænger forsikringen sammen med vores andre policer? Er noget dækket to steder, eller falder noget mellem dem?
- Hvad vil ændre præmien eller vilkårene ved næste fornyelse? Spørg til, hvad selskabet lægger vægt på, ikke kun til beløbet.
Skriv svarene ned, og bed om de vigtigste på skrift. → Ledelsen underskriver forsikringsskemaet
Når mægleren spørger til sikkerhedstest
Mægleren kan spørge, om virksomheden har fået lavet en penetrationstest, og hvornår. Svar med det, der kan dokumenteres: hvad der blev testet, hvornår, og hvordan fundene er fulgt op. Hvis der ikke er lavet en test, så sig det.
Ledelsen bør være opmærksom på, at en test ikke skal bestilles alene for at kunne svare ja. Hvis mægleren peger på, at en test vil gøre en forskel for forsikringen, kan det være en god anledning. Men testens omfang bør bestemmes ud fra virksomhedens egne systemer og risici, ikke kun ud fra et spørgsmål i et skema. → Forsikring eller sikkerhedstest?
Hvem fra virksomheden skal med
Mødet giver mest, hvis både den, der kender forretningen og økonomien, og den, der kender systemerne, deltager. Det kan være direktøren eller økonomichefen sammen med IT-chefen eller en repræsentant fra driftsleverandøren. Den ene kan svare på, hvad et driftsstop koster forretningen i tabt arbejde og leverancer. Den anden kan svare på, hvad der faktisk er på plads.
Hvis IT ikke deltager, bør spørgsmål om systemerne skrives ned og besvares bagefter, frem for at blive gættet på mødet.
Husk også, hvor mæglerens rolle slutter. Mægleren rådgiver om forsikringen og om, hvad den bør dække. Mægleren er ikke virksomhedens rådgiver om IT-sikkerhed og skal ikke afgøre, hvilke systemer der skal testes, eller hvilke fund der skal rettes først. De beslutninger ligger hos ledelsen, med input fra IT og eventuelt fra en uafhængig tester. Når de to slags rådgivning holdes adskilt, bliver det også lettere at se, hvornår et råd handler om forsikringen, og hvornår det handler om sikkerheden.
Et tænkt eksempel
En grafisk virksomhed med en webshop skal have en cyberforsikring for første gang. Ejeren har lagt mødet med mægleren i kalenderen og beder samme uge IT-leverandøren om en kort oversigt over systemerne, hvem der har adgang til dem, og hvad der blev fundet ved sidste sikkerhedstest af webshoppen.
På mødet fortæller ejeren, at webshoppen er testet, men at regnskabssystemet og kontornettet ikke er. Mægleren noterer det og spørger ind til, hvordan kundernes betalinger håndteres. Ejeren har også sine egne spørgsmål med og får at vide, hvilke forhold der skal meldes i løbet af året. Efter mødet sender mægleren et forslag med en beskrivelse af, hvorfor det passer til virksomhedens behov, og ejeren gennemgår undtagelserne sammen med IT-leverandøren, før aftalen indgås.
Det skal I lade være med
- At møde op uden et overblik over systemer og data · mægleren kan kun rådgive ud fra det, I fortæller.
- At skjule de områder, I ikke ved noget om · huller, der kommer frem senere, er værre.
- At vurdere forsikringen alene på præmien · undtagelser og betingelser betyder lige så meget.
- At gå fra mødet uden svar på skrift · de vigtigste svar skal kunne findes igen.
- At bestille en test kun for at sætte et kryds · omfanget skal passe til jeres risici.
Hvad kan og ikke kan konkluderes
En forberedt ledelse kan give mægleren et bedre grundlag og få svar på de spørgsmål, der betyder noget for virksomheden. Det kan ikke konkluderes, hvilken dækning der er den rette, eller hvordan selskabet vil vurdere jeres sikkerhed. Det afhænger af policen, af selskabet og af mæglerens vurdering af jeres behov. → Skal forsikringen have besked om testens resultat?
Tjekliste før mødet med mægleren
- ☐ Er der et kort overblik over systemer, data og leverandører?
- ☐ Er seneste sikkerhedstest og status på rettelserne med?
- ☐ Er de områder, der ikke er testet, beskrevet?
- ☐ Er ledelsens egne spørgsmål skrevet ned?
- ☐ Deltager en, der kender systemerne, eller er spørgsmål til IT samlet?
- ☐ Er det aftalt, hvilke svar mægleren sender på skrift?
Kilder
- Direktiv (EU) 2016/97 om forsikringsdistribution: artikel 20, stk. 1, om at distributøren før aftalen fastlægger kundens krav og behov på grundlag af oplysninger fra kunden, giver objektive oplysninger om produktet og ved rådgivning giver en individuel anbefaling.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til ledelsen
Læs også: Leverandørrisiko · Én test, flere modtagere
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
