Списъкът пита дали компанията е сключила кибербезопасна застраховка

Киберзастраховката не е замяна на десетте мерки

Киберзастраховката е финансова провизия срещу щетите от инцидент, не доказателство за ниво на сигурност. Въпросът за киберзастраховката обикновено е отделен от въпросите относно десетте мерки от член 21 алинея 2 на NIS2 — те засягат анализ на риска, управление на инцидентите, непрекъснатост и достъп. Клиент, който задава този въпрос, principalmente иска да знае дали финансовата щета при инцидент е покрита, а не дали сигурността е в ред. Това разграничение е важно за отговора: "не" на този въпрос не казва нищо относно отговора на въпроса дали съществува процедура за инциденти в сигурността или на въпроса относно резервни копия и нужди при извънредни ситуации.

Ако предприятието няма киберзастраховка, то "не" е фактически правилният отговор — няма причина да се променя на "частично" или "в процес на разглеждане". Някои полици покриват само определени видове щети (например прекъсване на бизнеса, но не репутационна щета или наказания); ако това е уместно за въпросника, обикновено се намира в отделен уточняващ въпрос и не в самия да/не въпрос. Обърнете внимание, че полицата е издадена на името на правилния субект: застраховка на материнската компания не покрива автоматично дъщерното дружество, което попълва въпросника.

Защо това е отделено от мерките на NIS2

Десетте мерки на член 21 алинея 2 на NIS2 директивата не споменават задължение за застраховка; те описват технически и организационни мерки като управление на риска, криптография и контрол на достъпа. Annex A на ISO/IEC 27001 също няма управленска мярка, която да налага застраховка. Киберзастраховката може да бъде полезна като допълнение към мерките, които са установени в политиката за анализ на риска но юридически и нормативно са две отделни области.