Brevet fra forsikringsselskabet er kort: Kravet er afvist, fordi et vilkår ikke var opfyldt, fordi hændelsen ikke er dækket, eller fordi oplysningerne i spørgeskemaet ikke var rigtige. Det er ikke nødvendigvis slutningen. Et afslag bygger på en bestemt forståelse af, hvad der skete, og den forståelse kan udfordres, hvis I kan dokumentere noget andet. Første skridt er at finde ud af, præcis hvad afslaget bygger på. Andet skridt er at samle jeres egen dokumentation, før mere forsvinder.
Artiklen handler om virksomhedens praktiske arbejde. Den juridiske side af en tvist med et forsikringsselskab hører hjemme hos jeres advokat. → Forsikringen afviser med henvisning til svig
Typiske grunde til afslag
Afslag på cyberskader handler ofte om en af disse ting:
- Sikkerhedskrav. Selskabet mener, at totrinslogin, backup, opdateringer eller andet ikke var på plads, som policen kræver.
- Urigtige oplysninger. Svarene i spørgeskemaet passede ikke med virkeligheden. → Cyberforsikringens spørgeskema
- Undtagelser i policen. Hændelsen falder under en undtagelse, for eksempel en bestemt type angreb eller et tab, der ikke er dækket.
- For sen besked. Selskabet fik besked senere end policen kræver.
- Manglende dokumentation. Selskabet mener ikke, at tabet eller forløbet er godtgjort.
Hvert af punkterne handler om fakta. Og fakta om IT kan i mange tilfælde dokumenteres.
Hvad gør I nu, i rækkefølge
- Læs afslaget nøje, og skriv begrundelsen op i én sætning. Hvilket vilkår, hvilken undtagelse, hvilken oplysning? Er det uklart, så bed skriftligt om en uddybning.
- Bed om selskabets grundlag. Har selskabet fået en teknisk rapport fra sin egen leverandør, så bed om en kopi. I kan ikke svare på en konklusion, I ikke har set.
- Saml jeres egen dokumentation. Logbogen fra hændelsen, sikrede kopier, logs, backuprapporter, spørgeskemaet og al korrespondance med selskabet.
- Sikr det, der stadig findes. Er de ramte systemer stadig til stede, eller er der kopier, så sørg for, at de ikke slettes. Bed IT-leverandøren om det samme skriftligt.
- Kontakt jeres advokat. Der kan være frister for at klage eller anlægge sag. Spørg også, om jeres retshjælpsforsikring kan dække en tvist. → Retshjælpsdækning i erhvervsforsikringen
- Overvej en uvildig teknisk vurdering. Er afslaget bygget på tekniske påstande, kan en uvildig IT-sagkyndig vurdere, om de holder.
Hvad I kan dokumentere
Det afhænger af begrundelsen. Her er nogle eksempler på, hvad der typisk kan bruges:
- Totrinslogin var ikke slået til · Konfigurationsrapporter, loginlog med totrinslogin, ændringshistorik
- Backup var ikke adskilt eller testet · Backuprapporter, testreferater, leverandørens dokumentation
- For sen besked · Logbog, opkaldslister og mails med tidspunkter
- Angrebet skete på en bestemt måde · Uvildig undersøgelse af de sikrede systemer
- Tabet er ikke dokumenteret · Omkostningsregnskab, timeregistrering, sammenligning med normal drift
Det er ikke sikkert, at dokumentationen ændrer selskabets vurdering. Men uden dokumentation har I intet at stille op med.
Når selskabets tekniske rapport tager fejl
Det sker, at selskabets leverandør når frem til en konklusion, der bygger på et ufuldstændigt grundlag. Måske har leverandøren kun set en del af systemerne, eller måske er der lagt vægt på en indstilling, der først blev ændret efter angrebet. Det kan være svært for en ledelse at vurdere.
En uvildig IT-sagkyndig kan gennemgå rapporten og jeres egne data og svare på konkrete spørgsmål: Er konklusionen begrundet? Er der data, rapporten ikke har set? Kan forløbet forklares anderledes? Det er en second opinion, ikke et partsindlæg. → Second opinion for virksomheder
Byg en tidslinje
Det mest nyttige dokument i en tvist om dækning er ofte en enkel tidslinje. Den samler det, der ligger spredt i logs, mails, opkald og notater, i én oversigt. Lav den som en tabel med tre kolonner: tidspunkt, hvad skete der, og hvor kommer oplysningen fra.
Start med de tidspunkter, I er sikre på: hvornår angrebet blev opdaget, hvornår selskabet fik besked, hvornår systemerne blev isoleret. Tilføj derefter det, logs og rapporter viser om tiden før. Marker tydeligt, hvor I er usikre. En tidslinje med ærlige huller er mere troværdig end en, der ser perfekt ud.
Tidslinjen gør to ting. Den viser jeres advokat, hvor sagen er stærk og svag. Og den gør det let at se, om selskabets egen fremstilling passer med det, data viser. Uoverensstemmelser er ofte netop det sted, hvor et afslag kan udfordres.
Gem alle de kilder, tidslinjen bygger på, uændret. Tidslinjen er et overblik, ikke beviset selv. Skriv også, hvilken tidszone tidspunkterne står i, fordi logs ofte bruger en anden tid end jeres ure.
Hvem gør hvad
- Direktøren ejer sagen og beslutter, om afslaget skal udfordres.
- Økonomi samler opgørelsen af tabet og korrespondancen med selskabet.
- IT eller IT-leverandøren finder konfiguration, logs og rapporter frem og sikrer, at intet slettes.
- Advokaten vurderer policen, fristerne og vejen frem.
- Den IT-sagkyndige vurderer de tekniske spørgsmål uvildigt.
Det skal I lade være med
- Ryd ikke op i systemerne nu. Hvis der er gamle servere, kopier eller logs fra hændelsen, så lad dem ligge, til sagen er afgjort.
- Send ikke nye oplysninger til selskabet uden at tænke over dem. Alt, I skriver, kan indgå i vurderingen. Lad advokaten se med.
- Skriv ikke ændrede datoer eller tal. Hvis I opdager en fejl i det, I tidligere har oplyst, så ret den åbent og forklar hvorfor.
- Lad ikke IT-leverandøren alene forklare forløbet. Leverandøren kan have en egen interesse, hvis afslaget handler om forhold, leverandøren havde ansvaret for.
Når afslaget peger på IT-leverandøren
Afslag begrundet med manglende backup eller totrinslogin kan rejse et nyt spørgsmål: Var det leverandørens opgave at sørge for det? Så kan sagen få to spor, et mod forsikringen og et mod leverandøren. Dokumentationen er i vid udstrækning den samme, og det er vigtigt, at den sikres uafhængigt af leverandøren. → Forsikringssager efter cyberangreb
Klage eller sag
Der kan være mulighed for at klage over et afslag, før en egentlig retssag bliver aktuel. Jeres advokat kan vurdere, hvilken vej der passer, og hvilke frister der gælder. Uanset vejen skal den tekniske dokumentation være i orden. Den skal kunne læses af en, der ikke kender jeres IT, og den skal skelne klart mellem det, der er fundet, og det, der er vurderet.
Hvornår skal I have hjælp udefra?
Når afslaget bygger på tekniske påstande, som I ikke selv kan efterprøve. Når selskabets rapport ikke passer med det, I selv oplevede. Og når der er et stort beløb på spil, og I skal beslutte, om det er værd at gå videre. En tidlig vurdering kan spare jer for en lang sag, hvis den viser, at afslaget holder, eller give jer et grundlag, hvis den viser, at det ikke gør.
Læs også: Cyberforsikringens spørgeskema: kan I dokumentere det, I har svaret? · Dækker forsikringen bevissikring og en IT-undersøgelse?
→ Hacket eller snydt? Hjælp til virksomheden · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
