můj poskytovatel kybernetického pojištění posílá rozsáhlý dotazník, co musím vyplnit

Pojišťovny se zabývající se kybernetickými riziky ptají se na stejných deset opatření jako NIS2

Rozsáhlý seznam otázek o zabezpečení od pojišťovny se zabývající se kybernetickými riziky se do velké míry překrývá s deseti opatřeními uvedenými v čl. 21 odst. 2 Směrnice NIS2: analýza rizik, řešení incidentů, kontinuita provozu, bezpečnost řetězce, správa zranitelností, zásady šifrování, řízení přístupu a MFA. Pojišťovny toto třídění nepoužívají proto, že musí podle směrnice hlásit, ale proto, že se jedná o užitečný indikátor rizika pro pojistné a krytí. Pokud si v seznamu otázek toto třídění uvědomíš, můžeš do značné míry využít to, co jsi již zaznamenal(a) pro ostatní subjekty.

Tam, kde se to stává obtížnějším: pojišťovny se často ptají poněkud konkrétněji, než si přeje klient, který chce pouze vědět, zda máte "postup pro řešení incidentů". Chtějí například vědět, zda existuje postup pro řešení bezpečnostních incidentů včetně termínů hlášení a eskalačních postupů, nebo se dále ptají na účinnost bezpečnostních opatření — tedy ne pouze na to, zda tyto zásady existují, ale zda byly někdy testovány. Pokud nemáš doklad, odpověz fakticky: "zatím není formalizováno" nebo "je ve vývoji" je lépe než ano, které nemůžeš v případě pojistné události podložit.

ISO 27001 jako kratší cesta seznamem

Pokud máš certifikát ISO 27001, ten pokryje značnou část seznamu otázek najednou, protože opatření v Příloze A se prakticky jedna ku jedné shodují s tím, co pojišťovny zjišťují. Zmíni certifikát výslovně tam, kde je dotazováno, zda je podnik certifikován podle ISO 27001 a pro podstupující opatření odkazuj na příslušnou zprávu z auditu, pokud si ji pojišťovna vyžádá — to často ušetří samostatné vysvětlení na každou otázku.

Odkud to vyplývá: článek 21 odstavec 2 a Příloha A

Deset kategorií opatření je uvedeno v čl. 21 odst. 2 Směrnice (EU) 2022/2555 (NIS2); transpozice v Nizozemsku probíhá prostřednictvím Zákona o kybernetické bezpečnosti, který vstupuje v platnost 15. srpna 2026. Srovnatelné třídění kontrolních opatření je obsaženo v Příloze A normy ISO/IEC 27001. Pojišťovny nejsou vázány ani jedním z těchto dokumentů — seznam otázek je vlastním nástrojem pro posouzení rizika — ale překrytí v třídění není náhoda: obě zdroje popisují to, co se v praxi považuje za základní bezpečnost.