Ansøger du om cyberforsikring, fornyer du en police, eller udfylder du den IT-sikkerhedsdel, som professionelle ansvarsforsikringer nu i stigende grad også indeholder? Spørgsmålene er tekniske: multifaktorgodkendelse, backups, slutpunktsbeskyttelse, patching, administratorkonti, e-mailsikkerhed og hændelseshåndtering. Cyber Insurance Express hjælper dig med at forberede hvert svar ud fra det, der faktisk er konfigureret i din Microsoft 365-lejer (tenant), og fortæller klart, hvilke spørgsmål Microsoft 365 ikke kan besvare.
Sikkerhedsspørgeskemaet er blevet en central del af købet eller fornyelsen af cyberdækning, og det er sjældent let at besvare korrekt.
Er multifaktorgodkendelse håndhævet for enhver fjernadgang og for enhver administrator? Opbevares backups offline eller uforanderligt, og er en gendannelse blevet testet? Kører alle slutpunkter et værktøj til detektion og respons? Er ældre godkendelse slået fra? En virksomhedsejer, en økonomidirektør eller selv en travl IT-generalist har sjældent disse svar klar, med dokumentation.
Spørgeskemaet er en del af den måde, forsikringsselskabet forstår den risiko, det accepterer. Et svar, der viser sig at være unøjagtigt, kan blive et diskussionspunkt med forsikringsselskabet, især efter en hændelse. De præcise konsekvenser afhænger af din kontrakt og den lov, der gælder for den: tjek dem hos din mægler eller dit forsikringsselskab. Det, du kan styre, er nøjagtigheden af det, du angiver.
At kontrollere politikker for betinget adgang, tildelinger af administratorroller, postkasseprotokoller, DNS-poster til e-mailgodkendelse, enhedsoverholdelse og overvågningslogning én for én, spørgsmål for spørgsmål, er timers arbejde i flere administrationsportaler. I en lille eller mellemstor virksomhed konkurrerer det arbejde med alt andet, IT-teamet skal lave.
Ny ansøgning, årlig fornyelse, skift af mægler eller forsikringsselskab, udbud fra en stor kunde, der spørger til din dækning: de samme spørgsmål vender tilbage, ofte formuleret anderledes. Uden en struktureret dokumentationsfil starter hver runde forfra, og tidligere arbejde går tabt.
Hvert forsikringsselskab skriver sit eget spørgeskema, og formuleringerne ændrer sig fra formular til formular og fra år til år. Temaerne nedenfor er dem, der går igen ofte. De beskrives her som tilbagevendende temaer, ikke som et citat fra et bestemt forsikringsselskabs formular.
For hvert tema forklarer vi, hvad spørgsmålet typisk forsøger at fastslå, hvad din Microsoft 365-lejer kan vise som dokumentation, og hvad der ligger uden for Microsoft 365 og skal dokumenteres på anden vis. Links peger på Microsofts egen offentlige dokumentation for den pågældende funktion.
Hvad der typisk spørges om: er MFA påkrævet for e-mail, fjernadgang, cloudapplikationer og hver administratorkonto, med eller uden undtagelser?
Hvad Microsoft 365 kan vise: om sikkerhedsstandarder er aktiveret, eller hvilke politikker for betinget adgang der kræver MFA, hvem de gælder for, og hvem der er undtaget; de godkendelsesmetoder, brugerne har registreret; og om ældre godkendelsesprotokoller, som ikke kan bære MFA, er blokeret.
Uden for M365: en VPN, en gateway til fjernskrivebord eller en forretningsapplikation, der ikke logger ind via Microsoft Entra ID, skal dokumenteres separat.
Hvad der typisk spørges om: er kritiske systemer og data sikkerhedskopieret, er mindst én kopi isoleret fra netværket eller beskyttet mod ændring, hvor ofte sker det, og hvornår blev en gendannelse sidst testet?
Hvad Microsoft 365 kan vise: næsten intet, der besvarer dette spørgsmål. Opbevaringsindstillinger i Microsoft 365 er ikke en backup, der er isoleret fra dine egne administratorkonti, og vi vil ikke præsentere dem som sådan.
Uden for M365: din backupløsning, isoleringen af dens kopier og dine rapporter fra gendannelsestests. Den vejledte workshop beder dig beskrive dem og vedhæfte din egen dokumentation, og dokumentet markerer dette svar som erklæret, ikke målt.
Hvad der typisk spørges om: er alle arbejdsstationer og servere beskyttet af et værktøj til detektion og respons på slutpunkter, overvåges det, og er enhederne krypteret?
Hvad Microsoft 365 kan vise: når enheder administreres med Microsoft Intune og beskyttes med Microsoft Defender: enhedsbeholdningen, resultaterne af overholdelsespolitikker (for eksempel kryptering og minimumsversion af operativsystemet) og de sikkerhedsanbefalinger, der rapporteres i Microsoft Secure Score.
Uden for M365: en EDR fra tredjepart, ikke-administrerede enheder og lokale servere, der ikke er tilmeldt Microsofts værktøjer. De markeres, de gættes ikke.
Hvad der typisk spørges om: hvor hurtigt sikkerhedsopdateringer installeres, er der stadig i brug operativsystemer uden support, og følges kritiske sårbarheder på systemer, der vender mod internettet?
Hvad Microsoft 365 kan vise: for enheder administreret med Intune: overholdelsesregler for minimumsversioner af operativsystemer og hvilke enheder, der fejler dem; hvor det er licenseret, Defender-anbefalinger.
Uden for M365: netværksudstyr, firewalls, forretningskritiske servere og applikationer samt selve din patch-procedure. Workshoppen hjælper dig med at beskrive den i et almindeligt sprog.
Hvad der typisk spørges om: hvor mange personer har administratorrettigheder, bruger administratorer separate konti til det daglige arbejde, kræves MFA for dem, og er privilegeret adgang tidsbegrænset eller godkendt?
Hvad Microsoft 365 kan vise: hvem der har hvilken Microsoft Entra-administratorrolle, om tildelingerne er permanente eller berettigede via Privileged Identity Management (hvor licenseret), og om MFA gælder for disse roller.
Uden for M365: lokale administratorkonti på servere og arbejdsstationer, domæneadministratorer i et lokalt Active Directory og administratoradgang til systemer fra tredjepart.
Hvad der typisk spørges om: er SPF, DKIM og DMARC på plads, filtreres phishing og skadelige vedhæftede filer, er ældre postkasseprotokoller deaktiveret, og er automatisk videresendelse til eksterne adresser kontrolleret?
Hvad der kan vises: de offentliggjorte SPF- og DMARC-poster for dine domæner (offentlige DNS-data), konfigurationen af DKIM-signering, beskyttelsespolitikker i Exchange Online og Defender for Office 365 samt de protokoller, der er tilladt på postkasserne.
Uden for M365: en e-mailgateway fra tredjepart placeret foran Microsoft 365, og brugerbevidsthedstræning, som du selv dokumenterer.
Hvad der typisk spørges om: findes der en skriftlig hændelsesplan, hvem kontaktes først, er den blevet øvet, og gemmes sikkerhedslogs længe nok til at undersøge en hændelse?
Hvad Microsoft 365 kan vise: om den samlede overvågningslog er aktiv og kan søges i, og hvilken opbevaringsperiode der gælder for den. Microsoft dokumenterer, at Audit (Standard) er aktiveret som standard for organisationer med det rette abonnement, og at den gemmer poster i 180 dage.
Uden for M365: selve planen. Workshoppen producerer et første udkast til en kort responsplan, herunder, for organisationer i Frankrig, at man husker at indgive politianmeldelse inden for 72 timer (se nedenfor).
Spørgeskemaer spørger også ofte til antallet af medarbejdere og mængden af lagrede data, tidligere hændelser, brugen af serviceudbydere med adgang til dine systemer, datakryptering og sikkerhedstræning. Nogle af disse er fakta, som kun du kan erklære. Andre, såsom eksterne delingsindstillinger eller gæstekonti i Microsoft 365, kan måles.
Microsoft Secure Score angiver selv, at den ikke er et absolut mål for, hvor sandsynligt det er, at du bliver hacket. Vi bruger målte indstillinger som dokumentation for specifikke svar, aldrig som en garanti.
Hvor hvert svar kommer fra, og hvordan det vil være markeret i dit dokument.
| Tema | Hvor dokumentationen kommer fra | Markering i dit dokument |
|---|---|---|
| MFA | Microsoft Entra ID: sikkerhedsstandarder, politikker for betinget adgang, registrerede godkendelsesmetoder, status for ældre godkendelse | Målt, med undtagelser opført efter navnet på politik eller gruppe |
| Backups | Dit backupværktøj og rapporter fra gendannelsestests | Erklæret af dig, med dine vedhæftede filer |
| Slutpunktsbeskyttelse | Intune og Defender, når de bruges; ellers din EDR-konsol | Målt for administrerede enheder; erklæret for resten |
| Patching | Resultater af Intune-overholdelse; din procedure for servere og netværksudstyr | Delvist målt, delvist erklæret |
| Privilegerede konti | Tildelinger af Microsoft Entra-roller, Privileged Identity Management hvor licenseret | Målt for Microsoft 365; erklæret for lokale systemer |
| E-mailsikkerhed | Offentlig DNS (SPF, DMARC), DKIM-konfiguration, politikker i Exchange Online og Defender for Office 365 | Målt |
| Hændelsesrespons og logs | Status for den samlede overvågningslog; din skriftlige plan | Logs målt; plan udarbejdet i workshoppen, valideret af dig |
Grundregel: intet i dokumentet præsenteres som målt, medmindre det er målt. Et spørgsmål, som Microsoft 365 ikke kan besvare, forbliver tydeligt markeret som sådan, så det er dig og ikke et værktøj, der afgør, hvad du erklærer over for dit forsikringsselskab.
En selvbetjeningsvej i fire trin. Du har kontrollen fra det første spørgsmål til det endelige dokument.
En kort online test: søger du om cyberdækning, fornyer du den, eller besvarer du IT-sikkerhedsdelen i en ansvars- eller anden police? Ligger din virksomhed i Frankrig, hvor reglen om politianmeldelse inden for 72 timer gælder? Hvilke dele af din IT kører på Microsoft 365? Resultatet fortæller dig, hvilke temaer der gælder for dig, og hvad du skal samle.
En online workshop fører dig gennem hvert tema. Du svarer frit, i dit eget tempo, med forklaringer på, hvad hvert spørgsmål betyder, og hvorfor forsikringsselskaber stiller det. Hvor Microsoft 365 kan levere dokumentation, placeres det målte resultat ved siden af dit svar, så eventuelle forskelle mellem det, du tror, og det der er konfigureret, bliver synlige, før du erklærer noget.
Du modtager et struktureret dokument i din virksomheds navn: svar tema for tema, dokumentationen knyttet til hvert svar, punkter uden for rammen markeret og et første udkast til et hændelsesrespons-ark. Det er et arbejdsgrundlag, som din egen rådgiver, mægler eller advokat skal gennemgå og validere, før det bruges.
Hvis du ønsker et ekstra sæt øjne, kan en partnerkonsulent gennemgå dokumentet sammen med dig, hjælpe med at lukke huller før fornyelsen eller hjælpe med at dokumentere de punkter, der ligger uden for Microsoft 365. Dette trin er valgfrit; de første tre trin er designet til at kunne gennemføres selv.
Vigtigt: dokumentet er et arbejdsgrundlag og udgør ikke juridisk rådgivning. Det erstatter ikke dit forsikringsselskabs spørgeskema, som du selv udfylder og underskriver, og det forpligter ikke et forsikringsselskab til at dække dig. Ansvaret for nøjagtigheden af din endelige erklæring ligger fortsat hos dig.
Én dokumentationsfil, ærlig om hvad der er målt, og hvad der ikke er, som du kan genbruge ved hver fornyelse.
Et klart svar for hvert tilbagevendende tema, klart til at overføre til dit forsikringsselskabs egen formular.
De indstillinger, der understøtter hvert svar, som de fandtes i din lejer på målingsdatoen.
Hvor dit svar og den målte konfiguration er uenige, vises det her først.
Et kort første udkast, som du udfylder med dine egne kontakter og validerer internt.
Hver juridiske eller regulatoriske udtalelse i dokumentet peger på sin officielle kilde.
Næste år måler du igen og sammenligner i stedet for at starte forfra.
To minutter til at skille det, der er en juridisk regel, fra det, der er god praksis, med den officielle kilde hver gang.
Siden 24. april 2023 gør artikel L12-10-1 i den franske forsikringskodeks (Code des assurances) enhver forsikringsudbetaling, der dækker tab og skader forårsaget af et angreb på et automatiseret databehandlingssystem, betinget af, at offeret indgiver en politianmeldelse til de kompetente myndigheder senest 72 timer efter at være blevet bekendt med angrebet. Fristen begynder, når du bliver bekendt med angrebet, ikke når det startede.
Artiklen blev indført ved artikel 5 i lov nr. 2023-22 af 24. januar 2023 (kendt som LOPMI). Den pålægger ingen at købe cyberforsikring: den fastsætter en betingelse for at blive udbetalt, når en kontrakt allerede dækker cyberangreb.
Et informationsark fra indenrigsministeriet, udsendt via Cybermalveillance.gouv.fr, den franske statslige platform for cyberofre, minder erhvervsofre om, at loven fra 2023 kræver, at de indgiver en politianmeldelse for at bevare deres ret til erstatning i henhold til deres forsikringskontrakt, inden for 72 timer efter at være blevet bekendt med angrebet. Det nævner også aktivering af forsikringens erstatningsproces blandt grundene til at indgive en politianmeldelse.
Den Europæiske Unions Agentur for Cybersikkerhed (ENISA) offentliggjorde "Cyber Insurance - Models and methods and the use of AI" den 21. februar 2024. Det angivne formål er at introducere cyberrisiko og cyberforsikring, give et overblik over eksisterende forskning og modelleringsmetoder og identificere huller til fremtidig forskning. Det er nyttig baggrundsviden om, hvorfor forsikringsselskaber forsøger at vurdere sikkerhedsniveauet hos de virksomheder, de dækker.
For enheder inden for dets anvendelsesområde nævner artikel 21 i direktiv (EU) 2022/2555 (NIS2) foranstaltninger til styring af cybersikkerhedsrisici, herunder håndtering af hændelser, forretningskontinuitet såsom backupstyring og katastrofegendannelse, grundlæggende cyberhygiejne og træning, adgangskontrol og brug af multifaktorgodkendelse. Selv uden for NIS2 betyder overlappet med forsikringsselskabernes temaer, at den dokumentation, du samler til det ene, også tjener det andet.
ANSSI, Frankrigs nationale cybersikkerhedsagentur, og AMRAE, den franske forening for risiko- og forsikringsansvarlige, har udgivet en guide til ledere, "Controlling the digital risk - the trust advantage", tilgængelig på engelsk og fransk. Den præsenterer styring af digital risiko som en trinvis tilgang for organisationer i alle størrelser, og det er i den ramme, et forsikringsselskabs spørgeskema bør læses.
Artikel 32 i GDPR kræver passende tekniske og organisatoriske foranstaltninger, herunder hvor det er relevant evnen til rettidigt at genoprette tilgængeligheden af personoplysninger efter en hændelse og en proces til regelmæssig test og evaluering af foranstaltningernes effektivitet. Backup, gendannelsestests og adgangskontrol betyder derfor langt mere end din forsikringsfil.
Uden for Frankrig: 72-timers politianmeldelsesreglen ovenfor er fransk ret. Andre lande har deres egne regler om forsikring og om politianmeldelse af cyberkriminalitet, og din kontrakt kan fastsætte egne frister for underretning. Tjek dem hos din mægler, dit forsikringsselskab eller din juridiske rådgiver. Denne side er information, ikke juridisk rådgivning.
Hvad hver mulighed indeholder. Tilgængelighed og vilkår offentliggøres, når tjenesten åbner.
Du ansøger om cyberdækning, eller du besvarer en IT-sikkerhedsdel for første gang.
Spørgeskemaet vender tilbage med din fornyelse, og din IT er ændret siden sidste år.
En ny formular, formuleret anderledes, men som spørger til de samme kontroller.
Korte svar, med den officielle kilde, hvor en regel er involveret.
Konsulteret den 13. oktober 2026. Hvor en tekst er på fransk, er oversættelsen på denne side vores egen og uofficielle.
Microsoft, Microsoft 365, Microsoft Entra, Intune, Defender og Purview er varemærker tilhørende Microsoft. De nævnes kun for at navngive de funktioner, som dokumentation læses fra. SYAGA Consulting er ikke tilknyttet Microsoft, ENISA, ANSSI eller noget forsikringsselskab.
Selvbetjeningsvejen er under forberedelse. Spørgsmål i mellemtiden: contact@syaga.eu
Et arbejdsgrundlag, ikke juridisk rådgivning. Den endelige erklæring over for dit forsikringsselskab og dens nøjagtighed forbliver dit ansvar.