Indeholder illustrationer skabt med AI

Et cyberangreb kan lukke mail, økonomisystemer og kundeadgang på få minutter. Derfor søger mange på cyberforsikring små virksomheder, når de vil beskytte økonomien mod hacking, ransomware og databrud.

Forsikringen kan betale for akut eksperthjælp, gendannelse af data, juridisk rådgivning og driftstab. Men den virker kun efter hensigten, hvis virksomheden kender kravene, begrænsningerne og sin egen IT. Her får I en praktisk vej til at blive klar, før noget går galt.

Hvad dækker en cyberforsikring typisk?

En cyberforsikring hjælper med de økonomiske og praktiske følger af en digital hændelse. Dækningen varierer fra selskab til selskab, så policen skal læses som en konkret aftale, ikke som en garanti mod alle IT-problemer.

Akut hjælp og genopretning

Mange produkter giver adgang til specialister, når virksomheden bliver ramt. Det kan være IT-forensikere, jurister eller rådgivere inden for krisekommunikation. De hjælper med at begrænse skaden, finde årsagen og få systemerne tilbage i drift.

Forsikringen kan også dække udgifter til genskabelse af data og ødelagte programmer. Ved ransomware kan det være nødvendigt at geninstallere systemer, rekonstruere filer eller få hjælp til forhandling. I bør dog ikke gå ud fra, at en eventuel løsesum altid er dækket. Det skal stå tydeligt i vilkårene.

Driftstab er et andet vigtigt punkt. Hvis virksomheden ikke kan fakturere, producere eller levere varer under et angreb, kan et driftstab hurtigt blive større end selve IT-skaden. Nogle forsikringer har karenstid, før driftstab dækkes. Gjensidige oplyser for eksempel, at driftstab i deres produkt dækkes 24 timer efter, at angrebet har hindret driften.

Ansvar, databrud og cybersvindel

Et angreb kan også ramme kunder, leverandører og samarbejdspartnere. Hvis persondata lækker, eller et system sender forkerte oplysninger videre, kan virksomheden møde erstatningskrav og udgifter til juridisk hjælp.

Nogle policer dækker cyberansvar, databrud og krisekommunikation. Andre har GDPR-dækning som et tilvalg. Topdanmark viser eksempelvis GDPR-dækning og driftstabsforsikring som særskilte tilvalg, mens netbankforsikring heller ikke nødvendigvis ligger i grundpakken.

Se derfor efter disse områder:

• Udgifter til IT-genopretning og datarekonstruktion.
• Driftstab og ekstraudgifter under et nedbrud.
• Ansvar over for kunder og andre tredjeparter.
• Databrud, juridisk bistand og GDPR-relaterede omkostninger.
• Misbrug af netbank, betalingsløsninger eller medarbejderadgang.

Cyberforsikring små virksomheder: Start med jeres risici

En lille virksomhed har sjældent råd til at miste flere dages arbejde. Samtidig har mange virksomheder en blanding af cloudtjenester, lokale computere, mail, økonomisystemer og netværksudstyr. Det gør det svært at købe en passende forsikring uden først at skabe overblik.

Find det, der skal fungere først

Skriv de vigtigste systemer ned, og noter hvad der sker, hvis hvert system er utilgængeligt i én dag, tre dage eller en uge. For en håndværksvirksomhed kan ordresystemet være vigtigst. For en klinik eller rådgiver kan kalender, dokumenter og personoplysninger være afgørende.

Kortlæg også, hvor data ligger. Er kundedata gemt i Microsoft 365, på en server, i et økonomisystem eller hos en ekstern leverandør? Hvem har administratoradgang? Hvilke systemer kan medarbejderne tilgå hjemmefra?

Dansk Industri anbefaler, at virksomheder afklarer deres udfordringer, behov og risici, før de køber cyberforsikring. Det giver jer et bedre grundlag for at vurdere både forsikringssum og sikkerhedskrav.

Spørg forsikringsselskabet direkte

Bed om klare svar på de spørgsmål, der har betydning for jeres drift. En lav pris kan skyldes en lav forsikringssum, mange undtagelser eller manglende dækning af driftstab.

Spørg blandt andet:

• Er ransomware og afpresning dækket?
• Hvad sker der, hvis en medarbejder klikker på phishing?
• Er databrud og tredjepartskrav omfattet?
• Dækker policen nedbrud hos en cloud- eller IT-leverandør?
• Hvor lang er ventetiden ved driftstab?
• Hvilken selvrisiko gælder ved forskellige skadetyper?
• Skal virksomheden bruge en bestemt alarmcentral eller IT-partner?
• Hvilke sikkerhedsforanstaltninger skal være aktive ved tegning?

Dansk Industris råd om cyberforsikring til SMV’er er en god støtte, når I forbereder spørgsmålene.

Hvilke sikkerhedskrav skal virksomheden opfylde?

Forsikringsselskaber vurderer ikke kun omsætning og branche. De ser også på, om virksomheden har rimelige sikkerhedstiltag. Kravene afhænger af selskabet og produktet, men nogle områder går igen.

Adgang, MFA og opdateringer

Tofaktorgodkendelse, også kaldet MFA, bør være slået til på mail, Microsoft 365, fjernadgang, økonomisystemer og administratorbrugere. Et stærkt kodeord hjælper, men det beskytter ikke alene mod stjålne loginoplysninger.

Begræns samtidig administratorrettigheder. Medarbejdere skal kun have adgang til de systemer og data, de har brug for. Gamle brugere og tidligere medarbejdere skal fjernes hurtigt.

Opdater operativsystemer, programmer, routere, firewalls og sikkerhedsløsninger. Mange angreb udnytter kendte fejl, som allerede har en tilgængelig opdatering. Hvis ingen internt har ansvaret for opdateringerne, bør det stå tydeligt i en IT-serviceaftale.

Backup skal kunne bruges

En synkroniseret mappe er ikke automatisk en backup. Hvis ransomware krypterer en fil, kan ændringen også blive synkroniseret til skyen. Derfor skal mindst én kopi være adskilt fra det normale driftsmiljø.

Test jævnligt, om data faktisk kan gendannes. Notér hvor lang tid en gendannelse tager, og hvem der kan sætte den i gang. En backup, som ingen har prøvet at gendanne, er kun en antagelse om sikkerhed.

Datatilsynets anbefalinger til informationssikkerhed fremhæver blandt andet adgangskontrol, medarbejdertræning, risikovurdering og afprøvning af beredskab. De samme områder passer godt til den dokumentation, et forsikringsselskab ofte vil bede om.

Netværk og ekstern IT-hjælp skal hænge sammen

Virksomhedens WiFi og netværk er en del af sikkerheden. Et netværk med gamle routere, fælles administratoradgang og manglende opdeling gør det lettere for en angriber at bevæge sig fra én enhed til resten af virksomheden.

Gæstenetværk bør være adskilt fra interne computere, printere, servere og backupenheder. Netværksudstyr skal have opdateret firmware, unikke adgangskoder og en dokumenteret opsætning. I bør også vide, hvem der har adgang til firewall, router og trådløse adgangspunkter.

For mange små virksomheder giver det mening at få en ekstern partner til at holde styr på drift og sikkerhed. En aftale bør beskrive, hvem der håndterer backup, patching, MFA, brugeroprettelse, netværk og hændelser.

Se guiden til IT-serviceaftalens indhold, hvis I vil sammenligne ansvar, SLA, backup og sikkerhed i en eksisterende eller ny aftale. Det er vigtigt, at aftalen ikke kun lover “IT-support”, men beskriver hvad der faktisk bliver overvåget og vedligeholdt.

En ekstern IT-partner kan også hjælpe med at samle dokumentationen. Det kan være en oversigt over udstyr, administratorer, backup, netværk, leverandører og kontaktpersoner. Den oversigt gør både den daglige drift og en eventuel skadesag lettere.

Hvad gør I, når angrebet sker?

Når en virksomhed opdager et angreb, tæller de første minutter. Medarbejderne skal vide, hvem de kontakter, og hvad de må gøre. En god plan mindsker risikoen for, at nogen sletter spor eller spreder angrebet yderligere.

De første skridt ved et angreb

Afbryd den berørte computer eller server fra netværket, hvis det kan gøres sikkert. Sluk ikke nødvendigvis udstyret, før en IT-specialist har vurderet situationen. Logfiler og andre spor kan være vigtige.

Kontakt derefter forsikringsselskabets skadeberedskab og jeres IT-partner. Brug telefonnummeret i policen, ikke en tilfældig kontakt fra en gammel mail. Notér tidspunktet, hvem der opdagede hændelsen, hvilke systemer der er ramt, og hvad der allerede er gjort.

En enkel beredskabsplan bør indeholde:

1. Navn og telefonnummer på IT-partner, forsikringsselskab og ledelse.
2. Instruktioner til isolering af computere, servere og netværk.
3. En oversigt over kritiske systemer og backupplaceringer.
4. En plan for kundekommunikation og medarbejderinformation.
5. Krav om dokumentation af hændelsen fra start til genoprettet drift.

Styrelsen for Samfundssikkerhed og politiet har samlet en nødplan for mindre virksomheder, som kan bruges som udgangspunkt for jeres egen procedure.

Husk databrud og 72-timersfristen

Hvis hændelsen omfatter personoplysninger, skal virksomheden vurdere, om bruddet skal anmeldes til Datatilsynet. Den dataansvarlige skal som udgangspunkt anmelde et relevant brud uden unødig forsinkelse og om muligt inden 72 timer.

Fristen starter ikke, når ledelsen har haft tid til at holde et møde. Den regnes fra det tidspunkt, hvor virksomheden bliver bekendt med bruddet. Derfor skal I have en klar proces for hurtig vurdering.

På Datatilsynets side om anmeldelse af sikkerhedsbrud kan I se, hvilke oplysninger en anmeldelse skal indeholde. Forsikringsselskabet kan hjælpe med jurister og håndtering, men ansvaret for at overholde reglerne ligger stadig hos virksomheden.

Sådan vælger I den rigtige cyberforsikring

Prisen afhænger blandt andet af omsætning, branche, antal medarbejdere, datamængde, sikkerhedsniveau og valgt forsikringssum. Derfor kan to virksomheder med samme størrelse få forskellige tilbud.

Sammenlign mere end den månedlige pris

Codan har offentliggjort et eksempel med 367 kroner om måneden, en forsikringssum på 1 million kroner, en selvrisiko på 10.000 kroner og en omsætning på 10 millioner kroner. Det er et priseksempel, ikke en fast markedspris.

Gjensidige oplyser i deres materiale en standardforsikringssum på 1 million kroner for de enkelte dækninger og op til 5 millioner kroner samlet. Topdanmark viser et eksempel med 1 million kroner i dækning og en selvrisiko på 6.793 kroner.

Tallene viser, hvorfor I skal sammenligne hele policen. Se på selvrisiko, ventetid, maksimale beløb, tilvalg og krav til sikkerhed. En billig forsikring kan være utilstrækkelig, hvis et ugeslangt driftstab kun dækkes i få dage.

Vurder skadeberedskabet

En cyberforsikring er mest værdifuld, når hjælpen kommer hurtigt. Find ud af, om der er 24/7-adgang til incident response, og hvem der leder sagen. Spørg også, om I selv må vælge IT-partner, eller om selskabet sender jer videre til en fast leverandør.

For en virksomhed uden egen IT-afdeling kan en kombination af forsikring og fast ekstern IT-support være praktisk. IT-support til virksomheder kan blandt andet omfatte netværk, backup, brugerrettigheder og løbende sikkerhed.

Gennemgå policen én gang om året. Omsætning, medarbejderantal, cloudløsninger og datamængder ændrer sig. Det samme bør forsikringssummen og beredskabsplanen gøre, hvis virksomhedens afhængighed af IT vokser.

Klarhed før krisen giver bedre beskyttelse

En cyberforsikring kan betale for meget af det, der følger efter et angreb, men den kan ikke erstatte en fungerende backup, MFA eller en plan for de første timer. Virksomheden skal kende sine vigtigste systemer, dokumentere sikkerheden og forstå policens undtagelser.

For små virksomheder er den bedste forberedelse konkret: opdater systemerne, begræns adgange, test backup, adskil netværk og aftal, hvem der reagerer. Så bliver cyberforsikring små virksomheder mere end en forsikringsaftale, fordi den indgår i et beredskab, der kan få jer hurtigere tilbage på arbejde.