Моят киберасигурител изпраща разширен списък с въпроси, какво трябва да попълня

Киберзастрахователи питат същите десет мерки като NIS2

Подробна анкета за сигурност от киберзастраховател има значително съответствие с десетте мерки на член 21, параграф 2 на Директива NIS2: анализ на риска, управление на инциденти, приемственост на дейност, сигурност на веригата, управление на уязвимостите, криптографска политика, контрол на достъпа и MFA. Застрахователите не използват това разделение, защото трябва да докладват в съответствие с директивата, а защото е полезен показател на риска за премията и покритието. Ако разпознаеш това разделение в анкетата, можеш до голяма степен да се върнеш на това, което вече си отбелязал за други клиенти.

Където това става по-трудно: застрахователите често питат малко по-конкретно от клиент, който иска само да знае "имате ли процедура за инциденти". Те искат например да знаят дали съществува процедура за управление на инциденти в сигурността включително сроковете за докладване и пътищата на ескалация, или питат по-нататък за ефективността на мерките за сигурност — не само дали политиката съществува, но дали е тестирана някога. Ако нямаш документ, отговори честно: "още не е формализирано" или "в разработка" е по-добре от да и ако не можеш да го обоснова при претенция.

ISO 27001 като по-кратък път през анкетата

Ако имаш ISO 27001 сертификат, това покрива голяма част от анкетата сразу, защото мерките в Приложение A почти един-по-един съответстват на това, което застрахователите питат. Посочи сертификата изрично, където се пита дали предприятието е сертифицирано по ISO 27001 и насочи застрахователя към свързаното одитно доклад за основните мерки, ако той го поиска — това често спестява отделно обяснение на всеки въпрос.

Откъде произтича това: член 21, параграф 2 и Приложение A

Десетте категории мерки са в член 21, параграф 2 на Директива (EU) 2022/2555 (NIS2); холландската транспозиция се провежда чрез Закона за киберсигурност, който влиза в сила на 15 август 2026 г. Сравнимото разделение на контролни мерки е в Приложение A на ISO/IEC 27001. Застрахователите не са свързани с никоя от тях — анкетата е собствен инструмент за риск — но съвпадението в разделението не е случайност: и двата източника описват какво се счита на практика за базова сигурност.