клиентът пита дали сме застраховани срещу кибератаки

Киберзастраховката сама по себе не е мярка на NIS2

Киберзастраховката не фигурира в списъка на член 21, параграф 2 на Директива NIS2. Десетте мерки от този член се отнасят до анализ на риска, управление на инциденти, непрекъснатост на дейността, киберсигурност в веригата, политика за достъп и подобни мерки — застраховката не е мярка за киберсигурност, а начин за покриване на финансовите остатъчни щети. Въпреки това въпросът често се повтаря в списъци от клиенти и застрахователи, тъй като полицата показва как зрелост се отнася дадено предприятие към управлението на риска. При ISO/IEC 27001 виждате същото: Приложение A не съдържа управленска мярка "застраховка", но управление на риска — от което застраховката е признат начин наред с намаляването, избягването и приемането — е включено в системата за управление.

Дали трябва да бъдете застраховани, не зависи от самите десет мерки, а от това, което клиентът ви практически иска да знае: имате ли финансово покритие, ако нещо се случи, или главно имате ли основата подредена? Тези два въпроса в повечето списъци се задават отделно един от друг. Разпознайте модела: ако въпросът е в блок за управление на риска, често се пита за обосновката на политика за анализ на риска и защита на информационните системи. Ако въпросът е отделно, като отделен ред за финансова устойчивост, тогава е достатъчен фактически отговор за самата полица — ако нямате такава, тогава "не" е правилния отговор, дори че това се усеща като липса.

Откъде идва това: член 21, параграф 2 и Приложение А

Член 21, параграф 2 на Директива NIS2 изброява десетте задължителни мерки de lege lata; застраховката не фигурира там, дори не косвено под непрекъснатост — това се отнася до резервни копия и аварийни мерки за възстановяване на обслужването, не за финансова компенсация впоследствие. В Приложение A на ISO/IEC 27001 управлението на риска е изричен компонент на системата за управление, и застраховката е признат вариант на лечение наред с техническите и организационните мерки. Законът за киберсигурност, който преноси NIS2 в Нидерландия и влиза в сила на 15 август 2026 г., повтаря десетте мерки от директивата без да добавя задължение за застраховка.