Ledelsen underskriver forsikringsskemaet: hvad skal være dokumenteret?

Spørgeskemaet fra forsikringsselskabet kan blive udfyldt af flere i virksomheden, men når en direktør skriver under, står ledelsen inde for, at svarene er rigtige. Svaret på, hvad der skal være dokumenteret, hviler på et enkelt princip: hvert svar skal kunne føres tilbage til noget, virksomheden faktisk har, og det, der ikke kan dokumenteres, skal ikke besvares med et ja. Hvad forsikringen kræver, og hvad svarene betyder for dækningen, afgøres af policen og forsikringsselskabet. Teksten er ikke juridisk rådgivning og ikke forsikringsrådgivning.

Hvorfor underskriften er ledelsens

Spørgsmålene i et skema om IT-sikkerhed kan se tekniske ud, men svarene er en del af grundlaget for forsikringsaftalen. Forsikringsaftaleloven har regler om, hvad der sker, hvis forsikringstageren ved tegningen af forsikringen har givet urigtige oplysninger.

Ifølge loven afhænger konsekvensen blandt andet af, om oplysningen er givet svigagtigt (§ 4), om forsikringstageren hverken vidste eller burde vide, at den var urigtig (§ 5), og om selskabet ville have overtaget forsikringen eller ville have gjort det på andre vilkår, hvis det rette forhold havde været oplyst (§ 6). For undladelse af at give oplysninger gælder særlige regler (§ 7). Hvordan reglerne bruges i et konkret tilfælde, og hvad policen selv siger, kan ledelsen få belyst af sin forsikringsmægler eller advokat.

For ledelsen er pointen enkel: den, der skriver under, bør vide, hvad svarene bygger på. → Forsikring eller sikkerhedstest?

Hvad der skal ligge bag hvert svar

Et svar i skemaet er et udsagn om et faktisk forhold. Før ledelsen skriver under, bør der til hvert svar være en kilde, som kan findes frem igen.

• Sikkerhedstest · rapport eller erklæring med dato, omfang og udførende part, og en status for opfølgningen.
• Rettelser · hvilke fund der er rettet, og om det er efterprøvet.
• Tiltag i driften · en bekræftelse fra IT eller driftsleverandøren på, hvad der faktisk er på plads, og siden hvornår.
• Beredskab · den plan eller aftale, svaret henviser til, og hvornår den sidst er gennemgået.
• Undtagelser · de steder, hvor et tiltag kun gælder en del af virksomheden.

Den sidste del er vigtig. Et ja, der kun passer for hovedkontoret, men ikke for en afdeling eller et datterselskab, er ikke et præcist svar. Hvordan svarene formuleres i praksis, er beskrevet på penetrationtest.dk.

Hvem gør hvad

Skemaet kan gå på tværs af flere funktioner, og det er ikke sikkert, at nogen af dem kender alle svar. Fordel derfor opgaven bevidst:

1. IT eller driftsleverandøren · besvarer de spørgsmål, der handler om systemer og tiltag, og vedlægger det, svarene bygger på.
2. Den, der har ansvaret for forsikringerne · kender policen og har kontakten til mægleren eller selskabet.
3. Den ansvarlige i ledelsen for sikkerhedstesten · bekræfter, hvad testen dækkede, og hvor langt opfølgningen er.
4. Den, der skriver under · gennemgår svarene og spørger ind til dem, der ikke er dokumenteret.

Hvis IT siger ja til et spørgsmål, men ikke kan vise det, er det et tegn på, at ledelsen bør spørge videre, før der skrives under. → IT siger, at alt er i orden

Når svaret er uklart eller nej

Nogle spørgsmål kan forstås på flere måder. Spørg forsikringen eller mægleren, og gem svaret sammen med skemaet. Det er bedre at beskrive virksomhedens situation med egne ord, hvis skemaet giver plads til det, end at sætte et kryds, der måske ikke passer.

Et nej er ikke nødvendigvis et problem i sig selv. Det er et oplyst forhold, som forsikringen kan tage stilling til. Hvis virksomheden har planlagt en test eller et tiltag, kan det nævnes med tidspunkt. Hvis testen er gennemført, men fundene endnu ikke er rettet, så sig det. Om forsikringen skal have besked om resultatet senere, afhænger af policen. → Skal forsikringen have besked om testens resultat?

Fra fornyelse til fornyelse

Skemaet bliver ikke kun udfyldt én gang. Ved hver fornyelse kan spørgsmålene være formuleret anderledes, og virksomhedens forhold kan have ændret sig. En test, der var ny sidste år, er ældre nu, en driftsleverandør kan være skiftet ud, og en ny afdeling kan være kommet til.

Behandl derfor dokumentationen som noget, der skal holdes ved lige. Giv den en ejer, som sørger for, at den er opdateret, når fornyelsen nærmer sig. Læs også policens vilkår om, hvad virksomheden skal give besked om i forsikringsperioden. Hvis der er sådanne vilkår, er det en god idé at aftale internt, hvem der holder øje med dem, og hvordan ændringer i IT-sikkerheden bliver meldt videre til den, der har kontakten til forsikringen.

Bestyrelsen bør vide, at virksomheden har en cyberforsikring, hvad den i hovedtræk dækker, og at svarene i skemaet er gennemgået af ledelsen. Det er en del af bestyrelsens overblik over, hvordan risikoen håndteres. → Bestyrelsens tilsyn med opfølgningen

Et tænkt eksempel

Et rejsebureau skal forny sin cyberforsikring, og skemaet spørger blandt andet, om der er gennemført en penetrationstest det seneste år, og om alle ansatte bruger totrinslogin.

Økonomichefen sender skemaet til IT-leverandøren, som svarer ja til begge. Direktøren beder om dokumentationen før underskriften. Testen viser sig at have omfattet bookingsystemet, men ikke kontornettet, og totrinslogin er slået til for alle undtagen tre konti i et filialkontor. Svarene bliver præciseret med en kort beskrivelse af testens omfang og af undtagelsen, og en plan for at få de tre konti med. Mægleren bekræfter, hvordan uddybningerne skal sendes. Direktøren skriver under, og dokumentationen gemmes samlet til næste fornyelse. Ledelsen beslutter samtidig, at kontornettet skal med i den næste test, så svaret om test kan gælde hele virksomheden ved næste fornyelse, og at økonomichefen ejer dokumentationen fremover.

Det skal I lade være med

• At skrive under uden at kende kilden til svarene · bed om dokumentationen først.
• At svare ja for hele virksomheden, når det kun gælder en del · nævn undtagelserne.
• At gætte, når et spørgsmål er uklart · spørg forsikringen eller mægleren, og gem svaret.
• At lade IT-leverandøren udfylde og ledelsen skrive under uden gennemgang · underskriften er ledelsens.
• At glemme at gemme grundlaget · det skal kunne findes frem ved næste fornyelse eller en skade.

Hvad kan og ikke kan konkluderes

Når hvert svar er dokumenteret, kan ledelsen skrive under med et klart billede af, hvad den står inde for. Det siger ikke noget om, hvad forsikringen dækker, eller hvordan selskabet vil vurdere svarene. Det afgøres af policen og forsikringsselskabet. → Samtalen med forsikringsmægleren

Tjekliste før underskriften

• ☐ Har hvert svar en kilde, som kan findes frem igen?
• ☐ Er det klart, hvad sikkerhedstesten dækkede, og hvor langt opfølgningen er?
• ☐ Er undtagelser og delvise svar beskrevet?
• ☐ Er uklare spørgsmål afklaret med forsikringen eller mægleren?
• ☐ Er skema, svar og dokumentation gemt samlet?

Kilder

• Forsikringsaftaleloven, LBK nr. 1237 af 09/11/2015: §§ 4-7 om urigtige oplysninger og fortielse ved forsikringens tegning, herunder svig (§ 4), forsikringstagerens gode tro (§ 5), selskabets stilling ved andre urigtige oplysninger (§ 6) og undladelse af at give oplysninger (§ 7).

Senest gennemgået: oktober 2026.

Næste skridt

• Skal forsikringen have besked om testens resultat?
• Én test, flere modtagere

Del af: Artikler til ledelsen

Læs også: Sikkerhedsspørgeskemaet fra kunden · Ledelsens ansvar for IT-sikkerhed

→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT