En forsikringsgiver, der tilbyder cyberforsikring, anmoder normalt om en kombination af dokumenter: et overblik over, hvilke personoplysninger du behandler og til hvilket formål, en beskrivelse af dine tekniske og organisatoriske sikkerhedsforanstaltninger, bevis for, at du har aftaler med leverandører, som behandler data på dine vegne, og en protokol for tilfælde af fejl. Nogle forsikringsgivere anmoder om dette separat, andre behandler det i ét digitalt spørgeskema.
Der findes ingen lovforskrevet liste over dokumenter til en cyberforsikring. GDPR selv pålægger en ansvarlighedsforpligtelse: en organisation skal kunne vise, at den overvejer beskyttelsen af personoplysninger og har det i orden. Hvordan denne dokumentation ser ud, bestemmes af forsikringsgiveren selv, ikke af loven. Det er netop den detalje, der oftest overses ved dette købetidspunkt: iværksættere søger efter det formularer eller det certifikat, der er tilstrækkeligt, mens forsikringsgivere i praksis primært ønsker at se, at der foreligger en sammenhængende helhed.
Hvad en forsikringsgiver typisk ønsker at se
Kernen i de fleste spørgeskemaer er et behandlingsregister: et overblik over, hvilke personoplysninger du behandler, med hvilket formål, hvor længe du opbevarer dem, og hvem der har adgang til dem. Desuden spørges ofte om behandleraftaler med parter, som behandler data på dine vegne, såsom dine regnskabsprogrammer, dit HR-system eller et marketingværktøj. En tredje tilbagevendende del er protokollen for databrud: hvordan identificerer du en hændelse, hvem informerer du i din organisation, og hvordan vurderer du, om en indberetning til Datatilsynet er nødvendig. Den, der er i tvivl om, et forløb falder herunder, kan se det i et par spørgsmål se hvor en situation nogenlunde står.
Forsikringsgivere ser derudover ofte længere end blot GDPR. Spørgsmål om sikkerhedskopier, adgangskodelivigtighed, totrins-verifikation og hvem inden for virksomheden, der har adgang til hvilke systemer, hører til informationssikkerhed i bredere forstand. Det overlapper med databeskyttelse, men er ikke det samme: en virksomhed kan have et ordentligt behandlingsregister og samtidig have svag teknisk sikkerhed, eller omvendt. Et overblik over de foranstaltninger, som du faktisk har gennemført, hjælper med at forbinde disse to; se også hvordan det ses ved vurderingen af data og databeskyttelse.
Hvorfor dokumentation er noget andet end en certifikat
Et hyppigt stilet spørgsmål er, om et ISO-certifikat eller anden certifikat erstattet beviset, som en forsikringsgiver søger. Et certifikat kan tælle med, men erstatter sjældent spørgsmålet om din egen situation: hvilke personoplysninger behandler netop denne virksomhed, hvilke leverandører arbejder den sammen med, og hvad sker der, hvis noget går galt. Tilsynsmyndigheder og forsikringsgivere ser på dette punkt efter sammenlignelige ting, men med et forskelligt formål: tilsynsmyndigheden vurderer lovoverholdelses, forsikringsgiveren estimerer en risiko før han udsteder en police. Denne forskel forklarer, hvorfor to forsikringsgivere nogle gange anmoder om lidt forskellige dokumenter, mens det underliggende grundlag — registret, aftalerne, protokollen — altid er det samme.
Hvad du kan forberede på forhånd
Det er fornuftigt at begynde med det, der allerede er der: hvilken software og leverandører bruger din virksomhed, og er der en behandleraftale med det. Derefter handler det om at fastlægge, hvad der rent faktisk sker: hvilke personoplysninger der er hvor, hvem der kan få adgang til dem, og hvor længe de opbevares. For virksomheder, der kortlægger dette for første gang, er et struktureret overblik over hyppigt stillede spørgsmål et godt udgangspunkt; se svar på spørgsmål, der oftere kommer op i denne type anmodninger.
Hvis du hellere først vil forstå, hvordan sådan en dokumentliste er opbygget, og hvor informationerne er baseret, kan du læse om det i vidensbasen. Der er et kort svar pr. emne med kildehenvisning i den officielle tekst, så du selv kan tjekke, hvor et krav kommer fra; se f.eks. i vidensbasen med forklaringer pr. emne før du taler med et forsikringsselskab.
Fra løse dokumenter til et løbende register
Det vanskeligste ved denne købesituation er ikke at udarbejde ét dokument, men at holde det opdateret. Et register over databehandlingsaktiviteter, der blev oprettet for et år siden og ikke er blevet opdateret siden, stemmer ofte ikke længere overens med de værktøjer, som en virksomhed nu bruger. Et system, der lader registeret vokse sammen med den faktisk anvendte software og holder styr på, hvilke databehandleraftaler der stadig mangler, sparer tid i det øjeblik, hvor et forsikringsselskab pludselig spørger efter det.
Om dette spiller en rolle for din virksomhed på dette tidspunkt, og hvilke dokumenter du konkret har brug for, er noget, du bedst diskuterer med forsikringsselskabet selv eller med en rådgiver; denne artikel giver vejledning, ikke juridisk rådgivning om din specifikke police.
Vil du først selv se, hvor din virksomhed omtrent står? Det gratis quick-scan giver med nogle få spørgsmål en indikation, og i vidensbasen finder du pr. emne det korte svar med kildehenvisning. Vil du derefter vedligeholde registeret og overvågningen strukturelt, kan du læse på hvad systemet omkring det koster hvad der skal til.