Cyberforsikring for bedrifter: dekning, krav og varslingsplikt

Hva er cyberforsikring?

Cyberforsikring er en forsikring som skal gi bedriften økonomisk hjelp når data og IT-systemer rammes av angrep, innbrudd eller driftsstans. Tanken er den samme som ved annen forsikring: Bedriften betaler en premie, og forsikringsselskapet overtar en del av den økonomiske risikoen. Hva som faktisk er dekket, står i forsikringsavtalen, og den omfatter alt som er avtalt mellom partene, inkludert vilkårene, slik Forbrukerrådet forklarer det i sin forsikringsordliste.

Altinn opplyser at de fleste forsikringer er frivillige, og nevner forsikring mot datakriminalitet blant de frivillige forsikringene som kan være aktuelle for virksomheter. Altinn anbefaler å kontakte ulike forsikringsselskaper og be om tilbud.

Cyberforsikring skiller seg fra vanlig sakforsikring ved at skaden ofte ikke er en ødelagt gjenstand, men tapt tilgang til data, stans i driften og krav fra andre. Samtidig hører den inn under de samme grunnreglene. Finanstilsynet peker på at skadeforsikring omfatter både forsikring mot skade på eller tap av noe og forsikring mot erstatningsansvar eller kostnader. En cyberpolise kan derfor kombinere flere typer dekning i én avtale.

Avtalen følger norske regler uavhengig av om selskapet er norsk eller utenlandsk. Finanstilsynet opplyser at forsikringsavtaleloven gjelder både for norske og utenlandske forsikringsselskaper.

Slik er en cyberforsikring bygd opp

En cyberpolise består som regel av flere deler, og navn og inndeling varierer mellom selskapene. Vanlige elementer er dekning for bedriftens egne tap, dekning for erstatningsansvar overfor andre og tilgang til hjelp når hendelsen skjer. Polisen, som i dag som regel kalles forsikringsbevis, er ifølge Forbrukerrådet den skriftlige bekreftelsen på avtalen og skal vise til hvilke vilkår som gjelder.

Forsikringssummen setter taket for hva selskapet betaler. Forbrukerrådet beskriver ved førsterisikoforsikring at utbetalingen alltid er begrenset til summen som står i avtalen, selv om verdien av det som er forsikret har økt i mellomtiden. For en cyberforsikring betyr det at summen må vurderes mot en realistisk kostnad ved et alvorlig angrep, ikke bare mot hva premien blir.

Egenandel og forsikringstid er de andre sentrale punktene. Egenandelen er beløpet bedriften selv dekker ved hver skade, og et høyt beløp kan senke premien men gjøre mindre hendelser uaktuelle å melde. Det er også verdt å sjekke om dekningen gjelder for skader som oppstår i forsikringstiden eller for krav som fremmes i den, og hvor lenge hjelp ved en hendelse er tilgjengelig.

Mange virksomheter har fra før en pakke med andre bedriftsforsikringer. Slik Forbrukerrådet forklarer det, gir dobbeltforsikring ingen dobbel utbetaling ved skadeforsikringer, så det er unødvendig å betale for begge hvis de dekker det samme. Før en cyberpolise tegnes, bør det derfor sjekkes hva eksisterende ansvars- og avbruddsforsikring faktisk omfatter. Mer om samspillet mellom bedriftens forsikringer finnes i Forsikring: Fra startup til stor bedrift.

Egne tap: driftsavbrudd, gjenoppretting og krisehåndtering

Egendekningen gjelder kostnader og tap bedriften selv får etter en hendelse. Typiske poster er tapt inntekt mens systemene ligger nede, kostnader til å gjenopprette data og systemer, teknisk og juridisk bistand og kommunikasjon med kunder og media. Hvilke poster som er med, og på hvilke vilkår, varierer, så vilkårene må leses linje for linje.

Tap ved driftsavbrudd bør vurderes særskilt når dekningen velges, fordi avbruddsdekning ofte er en egen del av bedriftens forsikringer. Altinn nevner avbruddsforsikring som en egen frivillig forsikring, og det er verdt å sjekke om avbruddsdekningen i den vanlige bedriftsforsikringen krever en fysisk skade. Hvis den gjør det, dekkes ikke et angrep som bare stanser systemene, og da må cyberpolisen fylle hullet.

Se også på hvor lenge dekningen for tapt inntekt gjelder, og om det er en karensperiode før den starter. Mange vilkår setter en tidsgrense for hvor lenge avbruddet dekkes, og en typisk feil er å regne med full dekning av en langvarig stans uten å ha lest dette punktet.

Hjelp ved hendelse er en praktisk del av avtalen. Noen selskaper har et beredskapsnummer og knytter til seg teknisk og juridisk hjelp, men det må avtales og kontrolleres på forhånd hva som er inkludert, og om bedriften må bruke bestemte leverandører. Å få vite dette midt i et angrep er for sent.

Erstatningsansvar overfor andre

Ansvarsdelen er ment å dekke krav fra andre som rammes av en hendelse hos bedriften, for eksempel kunder hvis opplysninger er kommet på avveie eller samarbeidspartnere som lider tap. Slik dekning hører til gruppen forsikring mot erstatningsansvar, som Finanstilsynet trekker fram som en type skadeforsikring.

Vanlig ansvarsforsikring er ikke nødvendigvis skrevet for digitale tap. Hvis for eksempel kundens eiendeler skades mens arbeidet pågår, peker Altinn på ansvarsforsikring som løsning. Det bør derfor spørres konkret om en ren økonomisk skade, uten skade på person eller ting, er dekket.

Ved ansvarsdekning er forsvar av kravet normalt en egen del av avtalen. Det innebærer at selskapet kan vurdere om kravet er berettiget, og kjempe imot det om det ikke er det. Sjekk hvem som styrer en slik sak, om bedriften må få samtykke før et oppgjør, og om advokatkostnader går inn under forsikringssummen eller kommer i tillegg.

Vanlige unntak og begrensninger

Unntakene er minst like viktige som selve dekningen. Typiske eksempler i cyberpoliser er bøter og sanksjoner, kostnader til å forbedre sikkerheten etter hendelsen, krig og handlinger fra stater og tap som skyldes at kravene til sikkerhet i avtalen ikke er fulgt. Poenget er å lese vilkårene og få skriftlig svar på tvilsspørsmål, ikke å anta at noe er dekket.

Bøter er et eget spørsmål for personvernbrudd. Hvordan reglene i personvernforordningen virker, er forklart i GDPR for norske bedrifter. Om forsikringen dekker en eventuell bot, må avgjøres ut fra vilkårene, og svaret bør hentes skriftlig fra selskapet før avtalen tegnes.

Forsikringsavtaleloven åpner for at selskapet tar forbehold om sikkerhetskrav. Etter forsikringsavtaleloven § 4-8 kan selskapet ta forbehold om å være helt eller delvis uten ansvar dersom en sikkerhetsforskrift er overtrådt. Slikt forbehold kan ikke gjøres gjeldende dersom det ikke er noe eller bare lite å legge sikrede til last.

Forsikringsavtaleloven § 4-6 lar selskapet ta forbehold om å være helt eller delvis uten ansvar dersom et bestemt angitt forhold av vesentlig betydning for risikoen endres. Forbeholdet kan ikke brukes dersom sikrede verken visste eller burde vite at forholdet ble endret, eller dersom forsikringstilfellet ikke skyldes det endrede forholdet.

Sikkerhetskrav fra forsikringsselskapene

Selskapene kan stille krav til sikkerhetsnivået i bedriften, enten som vilkår for å få tilbud eller som krav i polisen. Vanlige krav er flerfaktorautentisering, sikkerhetskopier som er beskyttet mot sletting og som er testet, jevnlige oppdateringer og opplæring av ansatte. Kravene varierer, og de som står i tilbudet og vilkårene er de som gjelder.

Hvorfor kravene er juridisk viktige, følger av reglene om sikkerhetsforskrifter og forbehold. Etter forsikringsavtaleloven § 4-8 kan forbeholdet ikke gjøres gjeldende dersom det ikke er noe eller bare lite å legge sikrede til last. Konsekvensen er at krav som ikke er fulgt opp i praksis kan koste dekning når en skade først har inntruffet.

Som utgangspunkt for å vurdere og dokumentere egen sikkerhet finnes det anerkjente rammeverk, blant annet grunnprinsipper for IKT-sikkerhet fra Nasjonal sikkerhetsmyndighet. En praktisk gjennomgang for mindre virksomheter finnes i Cybersikkerhet for SMB.

Phishing er en vanlig inngang for angrep. Datatilsynet beskriver phishing (nettfiske) som en av de mest effektive måtene å angripe virksomheter på, fordi angriperne utnytter menneskelige sårbarheter. Det er et godt argument for jevnlig opplæring, og for å kunne vise at opplæringen er gjennomført.

Opplysningsplikt og risikoendring etter forsikringsavtaleloven

Før avtalen inngås eller fornyes kan selskapet stille spørsmål om forhold som har betydning for risikovurderingen. Etter forsikringsavtaleloven § 4-1 skal forsikringstakeren gi riktige og fullstendige svar, og av eget tiltak opplyse om særlige forhold som må forstås å være av vesentlig betydning. Blir forsikringstakeren klar over at opplysninger var uriktige eller ufullstendige, skal selskapet underrettes uten ugrunnet opphold.

I et cyberskjema betyr dette at spørsmål om flerfaktorautentisering, sikkerhetskopier, tidligere hendelser og oppdateringsrutiner må besvares etter hvordan det faktisk er, ikke slik det er planlagt.

Konsekvensene av feil kan være store. Hvis forsikringstakeren svikaktig har forsømt opplysningsplikten og forsikringstilfelle er inntruffet, er selskapet uten ansvar etter forsikringsavtaleloven § 4-2. Ved annen forsømmelse som ikke bare er lite å legge forsikringstakeren til last, kan ansvaret settes ned eller falle bort, og det skal tas hensyn til betydningen for risikovurderingen, skyldgraden og skadeforløpet.

Selskapet kan også si opp avtalen. Ifølge forsikringsavtaleloven § 4-3 kan selskapet si opp forsikringen med 14 dagers varsel når opplysningene er uriktige eller ufullstendige på noe vesentlig punkt, og ved svik med øyeblikkelig virkning. Selskapet kan likevel ikke påberope seg mangelfulle opplysninger det kjente eller burde ha kjent til da det fikk dem, jf. forsikringsavtaleloven § 4-4.

Etter at skaden har skjedd, gjelder en egen plikt. Ved oppgjør skal sikrede ifølge forsikringsavtaleloven § 8-1 gi de opplysningene og dokumentene som er tilgjengelige og som selskapet trenger for å beregne ansvaret. Gir sikrede bevisst uriktige eller ufullstendige opplysninger, kan retten til erstatning gå tapt, og selskapet kan si opp avtalene med en ukes varsel.

Varslingsplikt ved personvernbrudd

Personvernreglene gjelder uavhengig av forsikringen. Etter personopplysningsloven § 2 gjelder loven og personvernforordningen ved helt eller delvis automatisert behandling av personopplysninger, og forordningen går foran annen lov ved konflikt. Et angrep som gir uvedkommende tilgang til kunde- eller ansattopplysninger kan derfor utløse plikter selv om forsikringen dekker kostnadene.

Et brudd på personopplysningssikkerheten omtales også som avvik. Datatilsynet opplyser at et slikt brudd som hovedregel skal meldes til tilsynet så snart som mulig. Meldingen er en formell prosess som virksomheten gjennomfører, ikke enkeltpersoner.

Før virksomheten kan avgjøre om en sikkerhetshendelse er et brudd på personopplysningssikkerheten, må den vurdere risikoen hendelsen medfører, slik Datatilsynet beskriver det. Datatilsynet nevner også varsling til de berørte ved høy risiko og at det kan gjelde unntak fra meldeplikten. Fristen står i personvernforordningen artikkel 33: bruddet skal meldes uten ugrunnet opphold og om mulig senest 72 timer etter at virksomheten ble kjent med det, og en senere melding må begrunnes. Samme artikkel krever at virksomheten dokumenterer alle brudd, også dem som ikke meldes.

Forsikring og meldeplikt henger sammen i praksis. Selskapet vil ha opplysninger om hendelsen for å beregne ansvaret, og samtidig må virksomheten selv vurdere meldingen til Datatilsynet. Avklar internt hvem som tar vurderingen, og sørg for at informasjon som gis til selskapet og til tilsynet er konsistent.

Hva gjør du når hendelsen er et faktum?

Rekkefølgen i en krisesituasjon bør være avklart før noe skjer. Det første er å stanse angrepet og begrense skaden, for eksempel ved å koble berørte maskiner fra nettverket og sperre kontoer. Deretter kontaktes forsikringsselskapet, siden mange polisetilbud har egne hjelpetjenester og vilkår om hvordan skade skal meldes.

Når du melder en skade, tar forsikringsselskapet ifølge Forbrukerrådet over ansvaret og gjør opp i et skadeoppgjør. Underveis gjelder opplysningsplikten i forsikringsavtaleloven § 8-1, så dokumentasjon er viktig. Før logg over hva som skjedde, når det ble oppdaget og hvilke tiltak som ble gjort.

Vurder deretter om hendelsen er et brudd på personopplysningssikkerheten som skal meldes. Datatilsynet legger til grunn at slike brudd som hovedregel meldes så snart som mulig. Hendelser som angår kriminalitet kan i tillegg anmeldes til politiet.

• Stans angrepet og begrens skaden.
• Ring forsikringsselskapet og bruk eventuell beredskapstjeneste.
• Dokumenter hendelsen med tidspunkter og tiltak.
• Vurder om hendelsen er et brudd på personopplysningssikkerheten.
• Meld avviket til Datatilsynet så snart som mulig hvis vilkårene er oppfylt.
• Vurder anmeldelse til politiet.
• Gi selskapet de opplysningene og dokumentene det ber om.

Slik vurderer du behovet og gjør valget

Start med å kartlegge hva et angrep faktisk ville koste. Se på hvilke systemer virksomheten ikke kan klare seg uten, hvor lenge den tåler stans, hvilke personopplysninger den behandler og hvilke avtaler som gir kunder krav ved brudd. Svarene gir et grunnlag for å vurdere forsikringssum, egenandel og hvor lenge avbruddsdekningen må vare.

Be om tilbud fra flere selskaper, slik Altinn anbefaler for frivillige forsikringer. Sammenlign vilkårene punkt for punkt, ikke bare premien. Bruk eventuelt en forsikringsmegler, som ifølge Finanstilsynet er et bindeledd mellom forsikringsselskap og kunde.

Dersom du er uenig i hvordan vilkårene tolkes eller i et skadeoppgjør, kan du sende en klage til Finansklagenemnda, slik Finanstilsynet beskriver det. Finanstilsynet opplyser at klager som gjelder selve forsikringsavtalen, for eksempel tolking av vilkår eller skadeoppgjør, skal sendes til Finansklagenemnda, både når forsikringen er formidlet av en megler og av en agent. Sammenhengen med bedriftens øvrige forsikringer er forklart i Bedriftsforsikring vs. privatforsikring.

Avslutt med en sjekkliste før du signerer.

• Er forsikringssum og egenandel tilpasset et realistisk tap?
• Dekker avbruddsdekningen stans uten fysisk skade, og hvor lenge?
• Er erstatningsansvar for rene formuestap og forsvar av krav inkludert?
• Hvilke unntak gjelder for bøter, forbedringer, krig og statlige handlinger?
• Hvilke sikkerhetskrav må være oppfylt, og kan det dokumenteres?
• Er alle svar i søknadsskjemaet riktige og fullstendige?
• Overlapper polisen med eksisterende forsikringer?
• Hvem skal melde skade og vurdere meldeplikt til Datatilsynet?