kunde spørger, om vi er forsikret mod cyberskade

Cyberforsikring i sig selv er ikke en NIS2-foranstaltning

En cyberforsikring er ikke blandt de foranstaltninger, der er anført i artikel 21, stk. 2 i NIS2-direktivet. De ti foranstaltninger fra denne artikel handler om risikovurdering, hændelseshåndtering, forretningskontinuitet, supply chain-sikkerhed, adgangskontrol og lignende — en forsikringspolice er ikke en sikkerhedsforanstaltning, men en måde at dække økonomisk restskade på. Alligevel dukker spørgsmålet ofte op i spørgeskemaer fra kunder og forsikringsselskaber selv, fordi en police siger noget om, hvor modent et firma håndterer risiko. Ved ISO/IEC 27001 ser du det samme: Bilag A indeholder ingen kontrolforanstaltning "forsikring", men risikohåndtering — hvoraf forsikring er en anerkendt form ved siden af reduktion, undgåelse og accept — hører til det ledelsessystem.

Om du skal være forsikret, afhænger således ikke af de ti foranstaltninger i sig selv, men af hvad din kunde praktisk talt ønsker at vide om det: har du økonomisk dækning, hvis noget går galt, eller er det primært grundlaget, der skal være i orden? Disse to spørgsmål stilles i de fleste lister uafhængigt af hinanden. Genkend mønsteret: hvis spørgsmålet står i et afsnit om risikostyring, bliver man ofte spurgt om begrundelsen for politikken for risikovurdering og sikkerhed af informationssystemer. Hvis spørgsmålet står alene som en særskilt linje om økonomisk modstandskraft, er et faktisk svar om policen selv tilstrækkeligt — hvis du ikke har en, er "nej" det rigtige svar, selvom det føles som en mangel.

Hvor dette kommer fra: artikel 21, stk. 2 og Bilag A

Artikel 21, stk. 2 i NIS2-direktivet angiver de ti obligatoriske foranstaltninger udtømmende; en forsikring er ikke blandt dem, heller ikke implicit under kontinuitet — det handler om sikkerhedskopier og nødforanstaltninger til at genoprette tjenesteyderingen, ikke om økonomisk erstatning efterfølgende. I Bilag A til ISO/IEC 27001 er risikohåndtering en eksplicit del af ledelsessystemet, og forsikring er inden for dette område en anerkendt behandlingsmulighed ved siden af tekniske og organisatoriske foranstaltninger. Cybersikkerhedsloven, som implementerer NIS2 i Danmark og træder i kraft den 15. august 2026, gentager de ti foranstaltninger fra direktivet uden at tilføje en forsikringspligt.