En försäkringsgivare som erbjuder cyberförsäkring brukar begära en kombination av dokument: en översikt över vilka personuppgifter du behandlar och för vilket ändamål, en beskrivning av dina tekniska och organisatoriska säkerhetsmätningar, bevis på att du har avtal med leverantörer som behandlar data på dina vägnar, och ett protokoll för om något går fel. Vissa försäkringsgivare begär detta separat, andra behandlar det i en digital enkät.
Det finns ingen lagstadgad lista med dokument för cyberförsäkring. GDPR själv ställer ett ansvar för att kunna visa: en organisation måste kunna visa att den tänker på skyddet av personuppgifter och har ordning på det. Hur denna eftervisning ser ut avgör försäkringsgivaren själv, inte lagen. Det är just denna detalj som ofta förbises vid detta köptillfälle: företagare söker efter formuläret eller certifikatet som räcker, medan försäkringsgivare i praktiken framför allt vill se att det finns ett sammanhängande helhet.
Vad en försäkringsgivare vanligtvis vill se
Kärnan i de flesta enkäter är ett behandlingsregister: en översikt över vilka personuppgifter du behandlar, för vilket ändamål, hur länge du behåller dem och vem som har tillgång. Dessutom brukar man fråga om databehandlingsavtal med parter som behandlar data på dina vägnar, såsom ditt bokföringsprogram, ditt HR-system eller ett marknadsföringsverktyg. En tredje återkommande del är protokollet för dataintrång: hur identifierar du en incident, vem informerar du inom din organisation och hur bedömer du om en anmälan till Datainspektionen är nödvändig. Den som är osäker på om ett förhållande omfattas kan se det i ett par frågor se ungefär var en situation står.
Försäkringsgivare tittar dessutom ofta längre än bara på GDPR. Frågor om säkerhetskopior, lösenordspolicy, tvåfaktorsautentisering och vem inom företaget som har tillgång till vilka system hör till informationssäkerhet i bredare mening. Det överlappar med integritet, men är inte detsamma: ett företag kan ha ett ordentligt behandlingsregister och samtidigt svag teknisk säkerhet, eller tvärtom. En översikt över de mätningar du faktiskt har genomfört hjälper till att koppla ihop dessa två; se också hur det ses vid bedömningen av data och integritet.
Varför dokumentation är något annat än en certifiering
En ofta hörd fråga är om ett ISO-certifikat eller annan certifiering ersätter det bevis som en försäkringsgivare söker. Ett certifikat kan väga in, men ersätter sällan frågan om din egen situation: vilka personuppgifter behandlar just detta företag, vilka leverantörer arbetar det med, och vad händer om något går fel. Tillsynsmyndigheter och försäkringsgivare tittar på liknande saker vid denna punkt, men med ett annat syfte: tillsynsmyndigheten bedömer regelefterlevnad, försäkringsgivaren uppskattar en risk innan han utfärdar en försäkring. Denna skillnad förklarar varför två försäkringsgivare ibland begär något olika dokument, medan den underliggande grund — registret, avtalen, protokollet — alltid är densamma.
Vad du kan förbereda redan nu
Det är klokt att börja med vad som redan finns: vilken programvara och leverantörer använder ditt företag, och finns det ett databehandlingsavtal till det. Sedan handlar det om att dokumentera vad som faktiskt händer: vilka data som ligger var, vem som kan komma åt dem och hur länge de bevaras. För företag som kartlägger detta för första gången är en strukturerad översikt över vanliga frågor en bra utgångspunkt; se svar på frågor som oftare förekommer vid denna typ av förfrågningar.
Om du hellre först vill förstå hur en sådan dokumentlista är uppbyggd och vad informationen är baserad på, kan du läsa om det i kunskapsbanken. Där finns ett kort svar per ämne med källan i den officiella texten, så att du själv kan kontrollera var ett krav kommer från; se till exempel i kunskapsbasen med förklaringar per ämne innan du samtalar med en försäkringsgivare.
Från lösa dokument till ett löpande register
Det svåraste med detta köptillfälle är inte att upprätta ett dokument, utan att hålla det aktuellt. Ett register över behandlingsaktiviteter som skapades för ett år sedan och inte har uppdaterats sedan dess överensstämmer ofta inte längre med de verktyg som ett företag använder för närvarande. Ett system som låter registret växa tillsammans med den faktiska programvara som används, och som spårar vilka behandlingsbiträdesavtal som fortfarande saknas, sparar tid när en försäkringsgivare plötsligt frågar efter det.
Huruvida detta gäller för ditt företag för närvarande och vilka dokument du konkret behöver är något som du bäst diskuterar med försäkringsgivaren själv eller med en rådgivare; denna artikel ger vägledning, ingen juridisk rådgivning om din specifika försäkring.
Vill du först själv se ungefär var ditt företag står? Den kostnadsfria snabbkontrollen ger en indikation på några frågor, och i kunskapsbanken hittar du kort svar per ämne tillsammans med källan. Om du sedan vill underhålla registret och övervakningen strukturerat läser du på vad systemet runt omkring kostar vad som ingår.