Når forsikringsselskabet har betalt erstatning efter et cyberangreb, er sagen ikke nødvendigvis slut. Mener selskabet, at virksomhedens IT-leverandør er ansvarlig for skaden, kan det rejse et regreskrav. Erstatningsansvarslovens § 22 bestemmer, at et forsikringsselskab, der har betalt erstatning under en skadesforsikring, indtræder i skadelidtes ret mod den erstatningsansvarlige i det omfang, det har betalt (erstatningsansvarsloven, LBK nr. 1080 af 30/08/2025).
Advokaten kan stå på flere sider af sådan en sag: for forsikringsselskabet, for leverandøren og dennes ansvarsforsikring, eller for virksomheden, der har et udækket tab ved siden af regreskravet. Den tekniske udfordring er den samme for alle: Dokumentationen fra skadesagen blev lavet for at afgøre dækning, ikke ansvar. Hvordan selve tvisten mellem kunde og leverandør bevises, er beskrevet i Cyberangreb: tvisten med IT-leverandøren. Her handler det om det, der er særligt, når kravet kommer via forsikringen.
Den juridiske ramme kort
Erstatningsansvarslovens § 19, stk. 1, fastslår, at der ikke er erstatningsansvar i det omfang, en skade er dækket af en tingsforsikring eller en driftstabsforsikring. Efter § 19, stk. 2, nr. 2, gælder det ikke, når skaden er forvoldt ved udøvelse af erhvervsmæssig virksomhed. Hvordan reglerne anvendes på en cyberforsikring og på en IT-leverandørs ydelser, og hvilken betydning aftalens ansvarsbegrænsninger har, er spørgsmål for advokaten.
Set fra IT-siden er det vigtigste, at regreskravet afhænger af det samme som en almindelig leverandørtvist: hvad leverandøren skulle gøre, hvad leverandøren gjorde, og om forskellen havde betydning for skaden.
Hvorfor skadesagens dokumentation sjældent er nok
Skadesagen bygger typisk på en IR-rapport, forsikringstagerens oplysninger og en teknisk vurdering bestilt af forsikringsselskabet. Tre forhold gør materialet sårbart i en regressag:
- Leverandøren deltog ikke. Sikring og analyse er sket uden, at leverandøren kunne overvære eller kommentere den. Leverandøren vil derfor efterprøve alt fra bunden og kan stille spørgsmål ved, hvad der er udvalgt.
- Spørgsmålene var andre. Til dækningen var det vigtigt, hvornår angrebet begyndte, og om policens sikkerhedskrav var opfyldt. I regressagen er det vigtigt, hvilke opgaver der lå hos leverandøren, og om netop de havde betydning for indgangen, spredningen eller genopretningen.
- IR-leverandøren kan være driftsleverandøren. Har den samme leverandør håndteret hændelsen og rapporten, er rapporten skrevet af den part, kravet retter sig mod. → Second opinion på en IT-erklæring
Det betyder ikke, at materialet er ubrugeligt. Men det skal suppleres, og det skal kunne efterprøves af leverandørens egen sagkyndige. → Modpartens IT-sagkyndige
Leverandørens andel skal deles op
Et angreb har typisk tre faser, og leverandørens ansvar kan være forskelligt i hver:
- Indgangen · Kom angriberen ind ad en vej, leverandøren havde ansvaret for at sikre?
- Spredningen · Kunne overvågning eller adskillelse, som leverandøren skulle levere, have begrænset omfanget?
- Genopretningen · Var backup og gendannelse sat op og testet som aftalt?
En leverandør kan have ansvaret for backup, men ikke for den fjernadgang, angriberen brugte. Så kan det være genopretningstiden, ikke selve angrebet, der er bevistemaet. Opdelingen gør det også lettere at koble skadesopgørelsens poster til de enkelte faser. → Skadesopgørelse efter et cyberangreb
Den tekniske metode til at fastlægge leverandørens andel er beskrevet i Regres: teknisk dokumentation af leverandørens andel i et angreb på digitalforensics.dk.
Tilstanden før angrebet
I en regressag er det ikke nok at vise, hvordan systemerne så ud efter angrebet. Leverandørens udførelse skal dokumenteres for perioden før, og her er tiden den største fjende. Logs roterer, overvågningshistorik aggregeres, og efter angrebet er opsætningen typisk strammet op. En konstatering af, at flerfaktorgodkendelse “ikke var slået til”, kan bygge på en eksport fra efter genopretningen, hvor ændringer allerede er sket.
Spørg derfor til hver teknisk påstand i kravet: Fra hvilken dato stammer de data, den bygger på? Er de sikret med hashværdi fra sikringstidspunktet? Og er der forskel på den konfigurerede politik og det, der faktisk skete på de enkelte systemer? En politik for opdateringer siger ikke noget om de maskiner, der var undtaget. → Sikkerhedsniveauet før hændelsen på digitalforensics.dk
Har forsikringsselskabet allerede vurderet sikkerhedsniveauet i dækningssagen, fx fordi policens krav var i spil, kan den vurdering genbruges. Men den er lavet med et andet formål, og leverandøren har ikke haft lejlighed til at kommentere den.
Leverandørens egne data
Meget af det, der kan belyse leverandørens arbejde, ligger hos leverandøren: værktøjet til fjernadministration, ticketsystemet, rapporter om opdateringer og backup, og leverandørens egne administratorkonti. Har kunden skiftet leverandør efter angrebet, er adgangen til de data måske allerede lukket.
Send derfor tidligt en meddelelse om bevarelse til leverandøren, også selv om regreskravet først rejses senere. → Skabelon: meddelelse om bevarelse af data · Bevarelsespligt og litigation hold
Repræsenterer advokaten leverandøren, gælder det omvendte: leverandørens egne data skal sikres i uændret form, før nogen begynder at udvælge til forsvaret. → Når klienten er IT-leverandøren
Kontradiktion og skøn
Er der usikkerhed om de tekniske fakta, kan et syn og skøn give et grundlag, begge parter har haft indflydelse på. Det kræver, at rådata fra skadesagen stadig findes, og at skønsspørgsmålene holder sig til det målbare, fx hvornår en bestemt opdatering blev installeret, eller om backup blev testet i en given periode. Spørgsmålet om, hvorvidt leverandøren handlede ansvarspådragende, hører ikke hjemme i skønstemaet. → Skabelon til skønstema
Er der aftalt voldgift i leverandøraftalen, gælder voldgiftsrettens regler for bevisførelsen. → Digitale beviser i voldgiftssager · IT-tvister ved Voldgiftsinstituttet
Har leverandøren selv en ansvarsforsikring, kan der være to forsikringsselskaber med hver deres tekniske rådgiver. En fælles sagkyndig kan i nogle sager spare en dobbelt gennemgang. → Fælles IT-sagkyndig
Hvad en IT-sagkyndig kan undersøge, og hvad der ikke kan konkluderes
En IT-sagkyndig kan holde aftalens sikkerhedsydelser op mod logs og systemdata, fastlægge indgangsvej og spredning med det evidensniveau, data tillader, og vurdere, om backup og gendannelse fungerede som beskrevet. Den sagkyndige kan også efterprøve skadesagens rapporter og pege på, hvor de ikke kan bære en konklusion om leverandørens andel.
Den sagkyndige kan ikke afgøre, hvordan aftalen skal fortolkes, om leverandøren er ansvarlig, eller hvor stor en del af tabet leverandøren skal bære. Er logs fra perioden før angrebet slettet, kan leverandørens udførelse kun dokumenteres i det omfang, andre kilder findes.
Spørgsmål til klienten
- Hvilken aftale gjaldt med leverandøren, og hvilke sikkerhedsydelser var omfattet?
- Har leverandøren håndteret hændelsen eller skrevet rapporten?
- Findes rådata fra skadesagen, og hvem har dem?
- Er samarbejdet med leverandøren ophørt, og er leverandørens data bevaret?
- Har kunden selv et udækket tab, fx selvrisiko eller poster uden for policen?
Typiske fejl
- Regreskravet bygges alene på IR-rapportens konklusion om indgangsvejen.
- Leverandøren bliver først bedt om at bevare data, når kravet rejses.
- Leverandørens andel beskrives samlet i stedet for fase for fase.
- Rådata fra skadesagen slettes, når forsikringssagen er afsluttet.
Tjekliste
- ☐ Leverandøraftale, bilag, til- og fravalg samlet
- ☐ Meddelelse om bevarelse sendt til leverandøren
- ☐ Rådata fra skadesagen bevaret med hashværdier
- ☐ Leverandørens andel vurderet for indgang, spredning og genopretning
- ☐ Skadesagens rapporter efterprøvet med henblik på ansvar, ikke kun dækning
- ☐ Tvistløsningsklausul og eventuel voldgift afklaret
→ Send en sag · Tlf. 70 13 63 23 · IT-sagkyndig bistand til advokater hos Nielco IT
