Et forsikringsselskab med 12 millioner kunder og 150 års historie. 97 gigabyte interne data i hænderne på en hackergruppe. Og blandt de lækkede dokumenter: finansielle bilag, skattenotater og data, der ikke kun vedrører selskabet selv, men potentielt også deres kunder og partnere.
Det er virkeligheden for tyske HanseMerkur, en af Europas største forsikringskoncerner med næsten 3 milliarder euro i årlig præmieindtægt. I starten af februar 2026 offentliggjorde hackergruppen Dragonforce, at de sad på koncernens data. Den samme gruppe, der tidligere har ramt britiske Marks & Spencer.
Når din leverandør bliver angrebet, er det også dine data
Sagen er relevant for danske virksomheder af en enkel grund. Et forsikringsselskab sidder på noget af det mest følsomme data, en virksomhed overhovedet afgiver. Skadeshistorik, omsætningstal, risikovurderinger, personoplysninger. Det er præcis den type information, der gør forsikringsbranchen til et højværdimål for cyberkriminelle.
Og forsikringsselskabet er bare ét eksempel. Tænk på din revisor, din advokat, dit lønbureau, din IT-leverandør. De sidder alle med data, der kan gøre ondt, hvis de havner i de forkerte hænder.
Danske virksomheder er dybt afhængige af deres digitale leverandørkæde
Dansk Erhvervs medlemsundersøgelse fra januar 2026 viser, at 55% af danske virksomheder vil opleve markant driftsstop, hvis deres IT-systemer forsvinder. Kun 5% kan i høj grad opretholde kerneopgaver uden IT. Vi er dybt afhængige af vores digitale leverandørkæde, og alligevel viser en rapport fra Syddansk Universitet, at danske produktions-SMV’er kun scorer 2,01 ud af 5 på at stille cybersikkerhedskrav til deres leverandører. De fleste har simpelthen aldrig gjort det.
Forsikringsselskaberne stiller krav til din sikkerhed, før de vil forsikre dig. Det er fornuftigt. Men den samme logik bør gælde den anden vej.
Tre ting, du kan sætte i gang nu
Kortlæg dine dataleverandører. Lav en liste over alle leverandører, der opbevarer eller behandler jeres følsomme data. Forsikringsselskab, revisor, lønbureau, IT-leverandør, cloud-udbyder. Spørg dem konkret: Hvordan er vores data segmenteret fra andre kunders? Hvem har adgang? Hvornår testede I sidst jeres beredskab?
Tilføj en notifikationsklausul i jeres leverandørkontrakter. Hvis leverandøren bliver ramt af et sikkerhedsbrud, skal I orienteres inden for et aftalt antal timer. Ikke dage, ikke uger. Timer. Uden den klausul risikerer I at læse om jeres eget databrud i medierne.
Lav en plan for leverandørkompromittering. Definér hvad I gør, hvis en kritisk leverandør bliver ramt. Hvem kontakter I? Hvilke data er eksponeret? Kan I skifte leverandør, eller er I låst? Det behøver ikke være et 50-siders dokument. Det skal bare eksistere, og det skal være afprøvet.
Dit ansvar forsvinder ikke, fordi data ligger hos en anden
HanseMerkur-sagen handler ikke om, at forsikringsselskaber er dårlige til sikkerhed. Den handler om, at ingen virksomhed er immun. Og at den data, du afgiver til en leverandør, stadig er dit ansvar.
En leverandøraudit giver dig overblik over, hvordan dine kritiske leverandører reelt beskytter de data, du har betroet dem. Ikke hvad de fortæller dig i et salgsmøde, men hvad en uvildig gennemgang faktisk afslører.
Hvornår fik du sidst foretaget en uvildig gennemgang af, hvordan dine kritiske leverandører beskytter de data, du har betroet dem?
Har du brug for en uvildig vurdering af din leverandørsikkerhed? Kontakt Nielco IT på telefon 70 13 63 23 eller via kontaktformularen.
