Før en cyberforsikring tegnes eller fornyes, svarer virksomheden typisk på spørgsmål om sin IT-sikkerhed. Hvert ja bør kunne belægges med noget, der kan vises, og en audit før fornyelsen er en måde at finde ud af, om svarene holder.
Forsikring & Pension, brancheorganisationen for forsikringsselskaberne, skrev i en pressemeddelelse den 9. november 2026, at dækningen på en cyberforsikring ofte er betinget af, at virksomheden lever op til krav om bl.a. MFA, backup, opdaterede systemer og adgangsstyring. Ifølge samme kilde dækker cyberforsikringer typisk håndtering af ransomware, databrud, cyberkriminalitet, genopretning af IT og juridisk bistand. Denne artikel bruger de fire områder som udgangspunkt. Den gengiver ikke noget bestemt selskabs spørgsmål eller vilkår, fordi de varierer og ændres.
Hvem i virksomheden svarer
I den mindre og mellemstore virksomhed bliver skemaet ofte udfyldt af den, der har kontakt med forsikringsmægleren eller selskabet, fx økonomichefen eller ejeren. Den person kender sjældent opsætningen af MFA eller backup i detaljer. Svarene bliver så givet ud fra, hvad man tror, IT-leverandøren har gjort.
Det er her, problemet opstår. Den, der skriver under, står inde for svarene på virksomhedens vegne. En enkel praksis er, at hvert svar har en navngiven person, der har kontrolleret det, og at den person ikke er den samme, som skal sælge eller drive løsningen.
De fire områder, og hvad der bør ligge bag et ja
Nedenfor er de fire områder fra pressemeddelelsen, med det bevis, der typisk kan vise, at svaret holder. Opstillingen er praksis og et forslag.
MFA (to-faktor-login). MFA betyder, at et login kræver mere end en adgangskode, fx en kode fra en app. Det afgørende er, hvor MFA er slået til. Et ja bør kunne belægges med en oversigt over, hvilke konti og systemer der kræver MFA, og hvilke undtagelser der er. Konti til fjernadgang, mail og administration er oplagte at se på først.
Backup. Et ja til backup siger ikke meget alene. Bag svaret bør ligge, hvad der tages backup af, hvor kopien ligger, om den er adskilt fra de systemer, en angriber kan nå, og hvornår der sidst blev prøvet en gendannelse. Datatilsynet bemærker i sit materiale til små virksomheder, at en kopi på en ekstern harddisk ikke er en backup sikret mod cyberangreb.
Opdaterede systemer. Her bør ligge en oversigt over systemer og en rapport, der viser, hvornår de sidst er opdateret. Systemer, der ikke længere kan opdateres, bør stå på listen med en plan.
Adgangsstyring. Hvem har adgang til hvad, og hvornår er det sidst gennemgået? Et ja bør kunne vises med en liste over administratorrettigheder og et spor efter, at fratrådte medarbejdere er lukket ude.
Hvor en audit hjælper før fornyelsen
En audit målt mod de spørgsmål, forsikringen stiller, gør to ting. Den finder de svar, der i dag er et ja uden noget bag, og den samler beviset for de svar, der holder. Den kan også vise områder, der ikke indgår i skemaet, men som en hændelse vil afsløre, fx at ingen ved, hvordan systemerne genetableres i praksis.
Det er en vurdering uden kilde bag, at et forkert svar kan få betydning for dækningen. Hvad der sker i det enkelte tilfælde, afhænger af den konkrete police, og den læses bedst med mægleren eller selskabet. Artiklen giver ikke råd om forsikringsvilkår.
For en mindre virksomhed er en fuld audit ofte mere end nødvendigt. Et IT-sikkerhedstjek af de områder, skemaet spørger til, kan være tilstrækkeligt. Skal svarene belægges med konkrete udtræk fra systemerne, går hvordan tekniske udtræk bruges som bevis videre i detaljen. En større virksomhed, hvor forsikringen indgår i bestyrelsens risikostyring, finder emnet behandlet under sikkerhedsmodenhed og bestyrelsens rapportering.
Tidspunktet
Auditten giver mest, hvis den ligger så tidligt før fornyelsen, at fund kan rettes, inden skemaet udfyldes. Kommer den bagefter, kan den kun bekræfte eller underkende svar, der allerede er givet. Hvor lang tid der skal afsættes, afhænger af, hvor meget der skal rettes.
Hvad det kræver, og hvad det koster at lade være
At belægge svarene kræver, at nogen får læseadgang til de relevante opsætninger og oversigter, og at IT-leverandøren leverer de udtræk, der bliver bedt om. I en mindre virksomhed er det som regel en overskuelig opgave, fordi skemaet kun spørger til få områder.
Uden belæg bliver skemaet udfyldt ud fra antagelser. Ved en hændelse kommer svarene frem igen, og så er det for sent at finde ud af, at MFA kun dækkede en del af kontiene, eller at backuppen lå på samme net som det, der blev krypteret.
Det skal I lade være med
- At lade én person udfylde skemaet ud fra hukommelsen · hvert svar bør have en, der har kontrolleret det.
- At svare ja til backup uden en prøvet gendannelse · en kopi, der ikke er gendannet, er ubevist.
- At lægge auditten efter fornyelsen · så kan den ikke ændre de svar, der er givet.
Det skal auditten kunne vise
- ☐ En oversigt over konti og systemer med MFA og de undtagelser, der findes.
- ☐ Backupens omfang, placering, adskillelse og dato for seneste gendannelsestest.
- ☐ Status på opdateringer pr. system og en plan for dem, der ikke kan opdateres.
- ☐ En aktuel liste over administratorrettigheder og spor efter lukning af fratrådtes adgang.
Kilder
- Forsikring & Pension, pressemeddelelse 9. november 2026, “F&P: Mindre virksomheder undervurderer faren for cyberangreb”, https://via.ritzau.dk/pressemeddelelse/15259952/fandp-mindre-virksomheder-undervurderer-faren-for-cyberangreb?lang=da, læst 12. november 2026.
- Datatilsynet, “GDPR-univers for små virksomheder, Trin 6”, https://www.datatilsynet.dk/regler-og-vejledning/gdpr-univers-for-smaa-virksomheder/trin-6-husk-sikkerheden, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find sidste års skema frem, og skriv ud for hvert ja, hvad I kan vise.
Læs også: IT-sikkerhedstjek eller fuld audit · Bestyrelsen vil have et uafhængigt billede · Når svaret til cyberforsikringen ikke holder
→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT
