Cyberforsikringen og red teaming: skal forsikringsselskabet vide, at I øver?

Den, der ejer virksomhedens cyberforsikring, hører om en planlagt red team-øvelse og spørger sig selv, om policen stadig gælder, mens et hold bevidst forsøger at bryde ind. Der findes ikke ét svar, for det afhænger af policens vilkår, og forsikringsaftaleloven er som udgangspunkt fravigelig. Det, svaret hviler på, er en skriftlig afklaring med mægleren eller selskabet, før øvelsen starter, om fire ting: hvad selskabet skal have at vide, om øvelsen ændrer risikoen, hvordan skader fra øvelsen behandles, og hvad selskabet kan bruge resultatet til.

Teksten er ikke juridisk rådgivning. Den samler spørgsmål, som afklares med mægleren og egen rådgiver. Leverandørens ansvar og forsikring er beskrevet for sig. → Ansvar ved red teaming

Lovens udgangspunkt og policens vilkår

Forsikringsaftaleloven (lovbekendtgørelse nr. 1237 af 9. november 2015) gælder efter § 3 kun, hvis ikke andet er aftalt, medmindre en bestemmelse er erklæret ufravigelig. For en erhvervsforsikring er policens vilkår derfor det første sted at kigge. Loven giver alligevel nogle pejlemærker for, hvilke spørgsmål der er værd at stille:

§§ 4-9 · regler om urigtige eller fortiede oplysninger, når forsikringen tegnes.
§§ 45-50 · regler om fareforøgelse, altså når en omstændighed, der er angivet i policen, ændres, så selskabets risiko øges.
§ 51 · regler om sikkerhedsforskrifter, som policen pålægger den sikrede at overholde.
§ 21 · pligten til at give selskabet besked uden ophold, når en forsikringsbegivenhed er indtrådt, hvis der rejses krav.

Hvordan bestemmelserne anvendes på en konkret øvelse og en konkret police, er et juridisk spørgsmål. Nedenfor er de spørgsmål, de giver anledning til.

Spørgsmålene ejes af den, der har ansvaret for forsikringen, ikke af sikkerhedsfunktionen. Sikkerhedsfunktionen kender øvelsen, men ikke nødvendigvis policens vilkår, og forsikringsejeren kender vilkårene, men ikke planen. Sæt de to sammen tidligt, og lad forsikringsejeren stå på den korte liste over dem, der kender til øvelsen. → Ledelsens godkendelse

Skal selskabet have besked før øvelsen?

Fareforøgelse efter § 45 handler om en fareomstændighed, der er bestemt angivet i policen. Spørg mægleren, om policen nævner noget, som en øvelse kan ændre, og om selskabet ønsker at blive orienteret. Et kort skriftligt svar er bedre end en antagelse.

Se også på det, I allerede har oplyst. Hvis forsikringsskemaet ved tegningen spurgte til planlagte eller gennemførte sikkerhedstest, skulle svaret være korrekt. §§ 4-9 regulerer følgerne af urigtige eller fortiede oplysninger, når forsikringen tegnes. Om reglerne også får betydning ved en fornyelse, afhænger af aftalen og er et spørgsmål til rådgiveren.

Hvis selskabet skal orienteres, så hold orienteringen på det nødvendige niveau: at der gennemføres en godkendt øvelse i en periode, ikke detaljer om scenarier og tidspunkt. Jo færre der kender detaljerne, jo mindre er risikoen for, at øvelsen bliver kendt. → Fortrolighed om øvelsen

Sikkerhedsforskrifter under øvelsen

Hvis policen stiller krav til bestemte kontroller, fx flerfaktorgodkendelse eller backup, er det værd at se på, hvordan øvelsen forholder sig til dem. En øvelse kan kræve midlertidige undtagelser: en testkonto, en hjælp til holdet, når det sidder fast, eller et område, der er fredet. Spørg, om en midlertidig, dokumenteret undtagelse godkendt af white team kan påvirke dækningen efter policens sikkerhedsforskrifter, hvis noget går galt i perioden. → Leg-up

Undtagelserne bør være så få og så kortvarige som muligt. Før dem i en liste med dato, formål og den person i white team, der godkendte dem, så det bagefter kan dokumenteres, hvornår de blev fjernet igen, og at forsvaret var helt på plads, da øvelsen sluttede.

Skader, der skyldes øvelsen

En cyberforsikring er tegnet mod hændelser, organisationen ikke selv har valgt. En øvelse er planlagt og bestilt. Hvis øvelsen forstyrrer driften, kan det derfor være uklart, om forstyrrelsen er en forsikringsbegivenhed. Loven har i § 18 regler om forsætlig og groft uagtsom fremkaldelse af forsikringsbegivenheden. Om de har betydning for en skade, der opstår under en godkendt øvelse, kan ikke besvares generelt. Spørg mægleren direkte, og læs svaret sammen med de aftaler, I har med leverandøren.

Den mest effektive beskyttelse ligger i planlægningen: stopregler, fredede områder og et white team, der kan gribe ind. → Stopregler

Policens beredskab og en ægte hændelse

Hvis policen giver adgang til en beredskabstjeneste, kan forsvaret, der ikke kender til øvelsen, finde på at ringe til den. Så bliver forsikringsselskabet involveret i en hændelse, der ikke er ægte, og der kan opstå omkostninger. TIBER-EU-rammen beder kontrolteamet fastlægge eskaleringsprocedurer, så handlinger, der ville være påkrævede ved en ægte hændelse, ikke sættes i gang under testen, fx kontakt til eksterne parter. Sørg for, at en anmeldelse til forsikringsselskabet går via en person, der kender til øvelsen. → Eskalering

Det omvendte kan også ske: en ægte hændelse midt i øvelsen. Så gælder policens og lovens regler om at give besked uden ophold, og øvelsen må ikke forsinke anmeldelsen. → Reel hændelse under øvelsen

Hvad selskabet kan bruge resultatet til

Efter øvelsen kan selskabet spørge til resultatet, fx ved fornyelsen. Afklar på forhånd, hvad I er villige til at dele. Et resumé med de vigtigste forbedringer og en plan for opfølgning kan være nok. Den fulde rapport viser vejen ind og hører til blandt organisationens mest følsomme dokumenter. → Deling af resultater

Overvej også, hvordan I besvarer spørgsmål om kendte svagheder ved fornyelsen. Reglerne om urigtige og fortiede oplysninger gør det vigtigt at svare korrekt. Hvordan fund, der endnu ikke er rettet, skal beskrives, er et spørgsmål til mægleren og egen rådgiver. Spørgsmålene i forsikringsskemaet til en almindelig penetrationstest er beskrevet på sikkerhedstesten.dk.

Det skal I lade være med

At gå ud fra, at policen er ligeglad · vilkårene kan indeholde krav, øvelsen berører.
At sende scenarier og tidspunkt til selskabet · en kort orientering er nok, hvis der skal orienteres.
At lade undtagelser fra kontroller blive stående · de kan påvirke dækningen.
At lade forsvaret anmelde øvelsen som en hændelse · anmeldelser skal gå via en, der kender til øvelsen.
At dele den fulde rapport uden at overveje et resumé · den er mere følsom, end selskabet har brug for.

Hvad kan og ikke kan konkluderes

En skriftlig afklaring med mægleren før øvelsen viser, at spørgsmålene er stillet, og hvad selskabet har svaret. Den giver ikke sikkerhed for, hvordan en konkret skade vil blive behandlet, og den kan ikke erstatte en juridisk vurdering af policens vilkår.

Tjekliste før øvelsen

☐ Har mægleren svaret skriftligt på, om selskabet skal orienteres?
☐ Er det afklaret, om policens sikkerhedsforskrifter berøres af undtagelser i øvelsen?
☐ Er det spurgt, hvordan en driftsforstyrrelse fra øvelsen behandles?
☐ Går en anmeldelse til selskabet via en person, der kender til øvelsen?
☐ Er det besluttet, hvad selskabet kan få at se efter øvelsen?

Kilder

Forsikringsaftaleloven (LBK nr. 1237 af 09/11/2015): § 3 om lovens fravigelighed, §§ 4-9 om urigtige oplysninger ved tegning, § 18 om fremkaldelse af forsikringsbegivenheden, § 21 om meddelelse til selskabet, §§ 45-50 om fareforøgelse og § 51 om sikkerhedsforholdsregler.
ECB, TIBER-EU Framework (2025): afsnit 4.1.5 om eskaleringsprocedurer, der forhindrer handlinger, som ville være påkrævede ved en ægte hændelse.

Senest gennemgået: oktober 2026.