Ansvar

Ansvar og forsikring

Glippen har ikke ansvarsforsikring. Det står først, fordi det er det viktigste på siden, og fordi den slags opplysning ikke skal ligge nederst.

En større leverandør kan vise fram et forsikringsbevis. Er det et krav hos dere, er vi feil leverandør, og det er bedre å vite det nå enn etter at scope-dokumentet er signert.

Resten av siden handler om hva som faktisk gjelder i stedet: hva ansvarsbegrensningen sier, hva et forsikringsbevis er verdt og ikke verdt, hva vi gjør for at det ikke skal bli aktuelt, og hvilke kriterier som bør sende dere til noen andre.

Oppdatert 2026-08-16 · kildene kontrollert 2026-08-16 · skrevet av Erik Nilsen

Hva som ikke finnes

Det finnes ingen ansvarsforsikring, ingen profesjonsansvarsforsikring og ingen cyberforsikring bak dette foretaket. Det står ikke noe forsikringsselskap klart til å betale hvis noe går galt hos dere.

Nilsen Konsult er et enkeltpersonforetak. Innehaveren hefter personlig for forpliktelsene i foretaket, og det står ikke et selskap med egenkapital mellom dere og et krav. Det er en opplysning som skjærer begge veier, og den hører hjemme i en leverandørvurdering.

Vi har heller ingen sertifisering eller offentlig godkjenning for sikkerhetstesting, og vi kjenner ikke til noen norsk ordning som gir en. Det er ikke et forsvar. Det er bare hva som er tilfelle.

Hva ansvarsbegrensningen faktisk sier

Hele ansvarsbegrensningen står i scope-dokumentet dere signerer, og dere får det før dere signerer, ikke etterpå. Dette er hva den går ut på, med vanlige ord.

Sikkerhetstesting har en iboende risiko. Vi gjør alt vi kan for at ingenting skal gå ned, og vi reverserer det som lar seg reversere, men vi kan ikke garantere at ingenting ryker.
Glippen er ikke ansvarlig for driftsavbrudd, ustabilitet, tap av data eller annet tap som oppstår under eller etter testen.
Dere er ansvarlige for å ha ferske og verifiserte sikkerhetskopier før testvinduet åpner.
Dere er ansvarlige for å si fra til driftsleverandøren om at testen pågår.
Dere bekrefter ved bestilling at dere har vurdert at det er lovlig for oss å teste systemene som er oppgitt. Viser opplysningene om eierskap, fullmakt eller leverandørvilkår seg å ikke stemme, er ikke Glippen ansvarlig for det.
Begrensningen gjelder så langt loven tillater. Norsk rett tillater ingen å fraskrive seg ansvar for forsett eller grov uaktsomhet, og det forsøker vi ikke på.

Dette er en beskrivelse av avtalen, ikke avtalen. Det som gjelder er teksten i scope-dokumentet.

Legg merke til at dette ikke er et takbeløp

Mange leverandører begrenser ansvaret til et tall, gjerne honoraret for oppdraget eller et fast beløp per skade. Vår tekst gjør noe annet: den utelukker ansvaret for denne typen tap i stedet for å sette et tall på det.

Det er en strengere klausul enn det som er vanlig i bransjen, og dere bør lese den som det den er. Vi skriver det her fordi det er den slags forskjell som er lett å overse i et vedlegg, og fordi en side om ansvar som utelater den ikke ville vært verdt å publisere.

Hvor langt en slik klausul faktisk holder, er ikke opp til oss. Avtalefriheten mellom to næringsdrivende er stor i Norge, men avtaleloven § 36 gir en domstol adgang til helt eller delvis å sette til side eller endre et avtalevilkår som det ville virke urimelig å gjøre gjeldende. Vi kan altså ikke love at klausulen står seg i en tvist, og vi later ikke som noe annet.

Hva et forsikringsbevis er, og hva det ikke er

Et forsikringsbevis fra en større leverandør er et reelt gode, og det skal ikke snakkes ned. Det viser at leverandøren har en polise, hos hvem, på hvilken sum og for hvilken periode. Har dere valget, er det en fordel.

Det er likevel verdt å vite hva et bevis ikke sier. Beviset er ikke polisen, og det er polisen som avgjør hva som dekkes. Summen er som regel en grense per skade eller per år, ikke et beløp som utbetales. Det er en egenandel. Det er unntak, og de er ofte lange.

Det viktigste kommer til slutt: en ansvarsforsikring dekker et ansvar leverandøren faktisk har. Har leverandøren en ansvarsbegrensning i sin egen avtale som utelukker akkurat det tapet dere sitter med, hjelper ikke polisen. Et forsikringsbevis sammen med en stram ansvarsbegrensning kan være verdt vesentlig mindre enn det ser ut som.

En forsikring gjenoppretter heller ikke data, hindrer ikke nedetid og kjøper ikke tilbake tiden. Den er en mekanisme for å kunne betale et krav som først må vinnes fram.

Skal dere vurdere forsikringen til en leverandør, er dette spørsmålene som gir svar: hva slags dekning er det, hvilken sum, per skade eller per år, hvilken egenandel, hvilke unntak, og hvordan står den mot ansvarsbegrensningen i leverandørens egen avtale. Be om begge dokumentene, ikke bare beviset.

Hva vi gjør i stedet

Vi kan ikke tilby en polise. Vi kan tilby at det er færre måter dette kan gå galt på, og at dere vet om det med en gang hvis det likevel skjer.

Skriftlig omfang før noe kjøres. Dere vet hva som skal testes, når det skjer, og hvilken IP-adresse trafikken kommer fra. Ingenting kjøres før scope og skriftlig autorisasjon er signert.
Ingen destruktive tester. Tjenestenektangrep gjøres aldri, uansett hva som bestilles, og produksjonsdata slettes eller endres ikke bevisst.
Reversering av det som lar seg reversere. Rader vi oppretter, kontoer vi lager og spor vi ikke får fjernet selv, står dokumentert i rapporten, slik at dere kan rydde resten.
Beskjed samme dag hvis noe går ned, ikke i rapporten fem dager senere.
Beskjed samme dag hvis vi finner noe kritisk, med nok informasjon til at dere kan stenge det med en gang.
Minst mulig data underveis. Nok til å bevise funnet og bekrefte det en gang til, aldri et fullt uttrekk. Rå dokumentasjon slettes 90 dager etter levering.
Ferske og verifiserte sikkerhetskopier før testvinduet åpner. Det er deres ansvar, og det er den billigste forsikringen som finnes i denne sammenhengen.

Ett menneske som kjenner hele oppdraget er også et tiltak. Det er ingen overlevering mellom konsulenter der noe kan falle ut, og det er én person å ringe.

Når dere bør velge en større leverandør

Dette er ikke en høflighetsfrase. Det finnes situasjoner der vi er feil valg, og de er lette å kjenne igjen på forhånd. Kjenner dere igjen ett av punktene under, er svaret sannsynligvis gitt.

Kravspesifikasjonen eller anbudet krever forsikringsbevis. Da er saken avgjort, uansett hvor god rapporten hadde blitt.
En av kundene deres krever i avtale at underleverandørene deres er ansvarsforsikret. Kravet følger med til oss, og vi oppfyller det ikke.
Kravet nevner en bestemt sertifisering ved navn. Vi har ingen, og en side som forklarer hvorfor er ikke det samme som å ha den.
Systemet er underlagt sikkerhetsloven, eller skal behandle skjermingsverdig informasjon. Da kreves klarering vi ikke har.
Dere trenger flere testere samtidig i et kort og fast vindu. Én kalender skalerer ikke, og det er ærligere å si det enn å strekke tidsplanen.
Dere trenger vaktordning og hendelseshåndtering døgnet rundt. Vi tester. Skal noen håndtere et angrep som pågår, bør de være godkjent for nettopp det, og det er en annen ordning enn testing.
Dere trenger fysisk inntrengning eller arbeid på stedet. Alt vårt arbeid gjøres eksternt.
Konsekvensen av at noe går galt er større enn ett lite foretak kan svare for. Kan en feil koste millioner, bør motparten være noen som kan bære det.

Er dere i tvil, send oss kravteksten. Dere får svar samme dag, og svaret er noen ganger at dere bør spørre noen andre.

Når vi er riktig leverandør

Står det ingen forsikringskrav i papirene, er det andre ting som avgjør. Om omfanget dekker det dere faktisk lurte på. Om rapporten kan brukes av en utvikler uten oversettelse. Om prisen står skriftlig før dere sier ja. Om noen svarer når dere spør etterpå.

Det er de tingene disse sidene er bygget rundt, og de er lettere å kontrollere enn en polise. Prisene står på nett, scope-dokumentet får dere før dere signerer, og eksempelrapporten ligger ute, slik at dere kan se hva dere kjøper før dere kjøper det.

Uavklart

Det som ikke er avklart

En side om ansvar som bare inneholder det vi er sikre på, ville vært en salgsside. Dette er de fire tingene vi ikke kan svare på.

Hvor langt ansvarsbegrensningen holder i en tvist. Avtaleloven § 36 gir en domstol adgang til å sette til side vilkår som det ville virke urimelig å gjøre gjeldende, og vi kjenner ikke til norsk rettspraksis om ansvarsbegrensninger i avtaler om penetrasjonstesting som avklarer spørsmålet. Ingen leverandør kan love dere hvordan det faller ut.
Personlig ansvar er ikke det samme som betalingsevne. Innehaveren hefter personlig, men et lite foretak kan ikke gjøre opp for en skade av hvilken som helst størrelse. Det er den nøkterne grunnen til at større kjøpere stiller forsikringskrav, og vi skal ikke pynte på den.
Om og når det tegnes ansvarsforsikring, er ikke bestemt. Blir det aktuelt, oppdateres denne siden med hva den faktisk dekker. Fram til det gjelder det som står her.
Hva som skjer hvis noe går galt og partene er uenige om årsaken. Var det testen, eller var det utrullingen som gikk samtidig. Vi logger hva som ble gjort og når, og det hjelper i en slik samtale, men det avgjør ikke spørsmålet alene.

Kilder

Hvor dette er hentet fra

Primærkilder, slik at dere kan kontrollere hvert punkt uten å spørre oss.

Avtaleloven § 36, urimelige avtalevilkår (Lovdata)

Videre

Les videre

Se også

Andre steder på nettstedet