dotazník se ptá, zda náš podnik uzavřel pojistku proti kybernetickým hrozbám

Pojištění kybernetické bezpečnosti není náhradou za deset opatření

Pojištění kybernetické bezpečnosti je finanční ochrana proti škodám vznikajícím při incidentu, nikoli důkazem úrovně zabezpečení. Otázka na pojištění kybernetické bezpečnosti obvykle nesouvisí s otázkami týkajícími se deseti opatření z čl. 21 odst. 2 NIS2 — ta se týkají analýzy rizik, řešení incidentů, kontinuity a přístupu. Zákazník, který tuto otázku pokládá, chce především vědět, zda je finanční škoda při incidentu pojištěna, nikoli zda je zabezpečení v pořádku. Toto rozlišení je pro odpověď důležité: "ne" na tuto otázku nic nevypovídá o odpovědi na otázku, zda existuje postup pro incidenty v oblasti kybernetické bezpečnosti nebo na otázku na zálohování a nouzové opatření.

Pokud podnik nemá pojištění kybernetické bezpečnosti, je "ne" fakticky správná odpověď — není důvod tuto odpověď měnit na "částečně" nebo "v přípravě". Některé pojistné smlouvy kryjí pouze určité typy škod (například výpadek provozu, ale ne poškození reputace nebo pokuty); je-li to pro seznam otázek relevantní, obvykle to vychází v samostatné doplňující otázce, nikoli v samotné otázce ano/ne. Dbejte na to, aby byla pojistná smlouva sepsána na jméno správné entity: pojištění mateřské společnosti automaticky nekryje dceřinou společnost, která seznam otázek vyplňuje.

Proč to stojí mimo opatření NIS2

Deset opatření čl. 21 odst. 2 směrnice NIS2 nezmínění povinnost pojistit se; popisují technická a organizační opatření jako řízení rizik, kryptografie a řízení přístupu. Příloha A normy ISO/IEC 27001 také nezná opatření kontroly, které by pojištění vyžadovalo. Pojištění kybernetické bezpečnosti může být užitečným doplňkem opatření popsaných v zásadách pro analýzu rizik , ale právně a normativně se jedná o dva oddělené předměty.