Ansvarsforsikringen og kundernes krav om test

Et softwarehus kan møde sikkerhedstest to steder i samme uge: i en kundekontrakt, der kræver både en årlig pentest og en ansvarsforsikring, og i et skema fra forsikringen, der spørger, om produktet bliver testet. De to hænger sammen, fordi begge handler om, hvem der bærer følgerne, hvis noget går galt. Svaret hviler på to ting: at I læser kundens krav og forsikringens betingelser hver for sig, og at det, I fortæller forsikringen og kunderne om jeres test, er det samme. Teksten er ikke juridisk eller forsikringsfaglig rådgivning.

Hvor forsikring og kundekrav mødes

Kunden vil vide, at I tester produktet, og at der er dækning, hvis en fejl i produktet påfører kunden et tab. Forsikringen vil vide, hvor stor risikoen er, før den dækker den. Begge spørger derfor til de samme forhold: tester I, hvor ofte, hvad dækker testen, og hvad gør I med fundene?

Forskellen er, hvem der læser svaret, og hvad det bruges til. Kunden bruger det i sin leverandørvurdering. Forsikringen bruger det til at vurdere og eventuelt prissætte risikoen, og svarene kan indgå i grundlaget for policen. Et svar, der er rigtigt nok til et salg, kan derfor være for upræcist til en forsikring, og omvendt. Skriv svarene, så de holder i begge sammenhænge, og gem en kopi af det, I har sendt forsikringen, med dato. Hvordan virksomheder generelt bør læse og besvare forsikringens spørgsmål om sikkerhedstest, er beskrevet på penetrationtest.dk.

Kundens krav om forsikring i kontrakten

En kundekontrakt kan kræve, at leverandøren har en ansvarsforsikring med en bestemt dækning, og at kunden kan få dokumentation for den. Læs kravet sammen med de øvrige sikkerhedsbestemmelser. Kræver kontrakten også en årlig test, rettefrister og underretning om sårbarheder, er det en samlet pakke af løfter, og forsikringen dækker måske kun en del af følgerne, hvis løfterne ikke holdes. → Rettefrister i kontrakten · → Underretning om sårbarheder

Spørg jeres forsikring eller mægler, før I accepterer et krav, I er i tvivl om. Spørgsmålet er ikke kun, om I har en forsikring, men om den dækker det, kontrakten gør jer ansvarlige for. Det kan kun forsikringen svare på ud fra jeres police.

Kunden kan også bede om dokumentation for forsikringen sammen med pentestrapporten, fx i en leverandørvurdering. Læg en kort bekræftelse fra forsikringen i den samme mappe som resuméet af testen, så begge kan sendes, når kunden beder om dem, uden at nogen skal lede. Notér udløbsdatoen, så I ikke sender en udløbet bekræftelse. → Sikkerhedspakken

Forsikringens spørgsmål om test

Forsikringens skema kan spørge kort: bliver jeres systemer penetrationstestet? Et softwarehus har mindst to svar på det spørgsmål, fordi produktet og kontornettet er to forskellige opgaver. Spørg forsikringen, hvad spørgsmålet dækker, og svar for hver del for sig. → Kontornettet og produktet

Svar ud fra det, I kan dokumentere: dato for seneste test, hvad den omfattede, og status for fundene. Har I ingen test af kontornettet, så skriv det. Et for bredt ja kan være et problem, hvis forsikringen senere sammenligner svaret med det, der faktisk var testet. → Svar, I ikke kan dokumentere

Hold svarene ens

Det, I skriver til forsikringen, og det, I skriver i kundernes skemaer, bør kunne lægges ved siden af hinanden uden at modsige hinanden. Brug det samme grundlag: den samme rapport, de samme datoer og de samme formuleringer om omfang og rettelser. Den, der svarer forsikringen, er måske økonomichefen eller direktøren og ikke den, der svarer kunderne. Derfor skal grundlaget ligge et sted, hvor begge kan finde det. Et svarbibliotek, som også bruges til forsikringen, gør det let. → Svarbibliotek

Opdater forsikringen, hvis jeres svar ændrer sig væsentligt i løbet af året, fx hvis en planlagt test bliver udskudt. Det samme gælder, hvis et alvorligt fund står åbent længere end planlagt, eller hvis produktet har haft en hændelse. Hvad policen kræver om det, står i policen. Spørg, hvis det ikke er klart.

Et tænkt eksempel: Et softwarehus med en løsning til kommunikation mellem skoler og forældre skal forny sin ansvarsforsikring. Skemaet spørger, om virksomheden bliver penetrationstestet. Den sikkerhedsansvarlige svarer, at produktet blev testet af en uafhængig tester i marts med webapplikation, API og administration i omfanget, at høje fund er rettet og efterprøvet, og at kontornettet ikke har været testet. Samme formulering står i svarbiblioteket, som sælgerne bruger over for kommunerne.

Når kunden tester, eller I tester

Forsikringen kan også være relevant, når en test skal i gang. Vil en kunde teste jeres produkt, kan testen påvirke driften for andre kunder, og spørgsmålet om ansvar bør være aftalt på forhånd. Det samme gælder jeres egen test: hvem bærer følgerne, hvis testen forstyrrer driften? Ansvaret ved kundens test er beskrevet for sig, og det giver mening at tjekke det med forsikringen, før I skriver jeres testpolitik for kunder. → Ansvar ved kundens test

Spørgsmål til forsikringen eller mægleren

Tag spørgsmålene med til næste samtale:

Dækning · dækker policen tab hos kunder, der skyldes en sårbarhed i produktet?
Betingelser · stiller policen krav om bestemte sikkerhedstiltag, fx test, og hvad sker der, hvis de ikke er opfyldt?
Oplysningspligt · hvilke ændringer skal I oplyse i løbet af året?
Kontraktkrav · dækker policen de ansvar, I påtager jer i kundekontrakterne?
Dokumentation · hvilken dokumentation for dækningen kan I give kunderne?

Det skal I lade være med

Svare bredere til forsikringen end til kunderne · brug det samme grundlag.
Acceptere kontraktansvar uden at spørge forsikringen · dækningen er ikke givet.
Svare ja for hele virksomheden, når kun produktet er testet · skeln mellem de to.
Glemme at opdatere forsikringen · hvis en planlagt test udskydes.
Tro, at forsikringen erstatter test · den overfører en del af risikoen, men mindsker den ikke.

Hvad kan og ikke kan konkluderes

En ensartet beskrivelse af jeres test over for kunder og forsikring mindsker risikoen for, at et svar senere modsiges. Den siger ikke, om forsikringen dækker et bestemt tab, og den siger ikke, om I lever op til kontraktens krav. Det afgøres af policen og kontrakten. En forsikring kan heller ikke bruges som svar på et krav om test. Kunden spørger, om produktet er testet, fordi kunden vil vide noget om risikoen. At følgerne er forsikret, besvarer et andet spørgsmål.

Tjekliste til forsikring og kundekrav

☐ Er kundens krav om forsikring læst sammen med kontraktens sikkerhedsbestemmelser?
☐ Har forsikringen svaret på, om policen dækker kontraktens ansvar?
☐ Er forsikringens spørgsmål om test besvaret for produkt og kontor hver for sig?
☐ Bygger svarene til forsikring og kunder på det samme grundlag?
☐ Er det klart, hvilke ændringer forsikringen skal have besked om?
☐ Er ansvaret ved test afklaret med forsikringen?

Senest gennemgået: oktober 2026.