Náš pojišťovatel chce vyplnit dotazník o kybernetické bezpečnosti pro pojistku

Dotazník kybernetické pojistky se často zabývá stejnými deseti body

Dotazník pojišťovny se z velké části překrývá s deseti opatřeními z čl. 21 odst. 2 NIS2: analýza rizik, řešení incidentů, kontinuita, řetězec, správa zranitelností, testování, povědomí, kryptografie, zásady přístupu a MFA. Pojišťovny se to neptat proto, že se podnik řadí pod NIS2 — to často není případ — ale protože těchto deset bodů se mezitím stalo běžným měřítkem pro kybernetické riziko. Rozpoznání té struktury zrychluje vyplňování: každou otázku lze vysledovat na jeden z deseti bodů, i když pojišťovna používá vlastní formulace.

Pokud jde o důkazní materiál: otázka o kontrole přístupu obvykle vyžaduje odpověď na zásad přístupu a správy podnikových prostředkůbez ohledu na to, zda je také vícefaktorové ověřování nastaveno — pojišťovny se na tyto dva body často dotazují odděleně, i když je odpověď v praxi propojená. Pokud chybí součást, pak je "ne, ještě ne" platnou odpovědí na seznam; pojišťovny to zohledňují při pojistném, nikoli při akceptaci jako takové. Certifikát ISO 27001 výrazně zrychluje vyplňování, protože opatření Přílohy A se z velké části překrývají s těmito deseti body — kdo je certifikován, může u každé otázky odkazovat na příslušné číslo kontroly místo psaní nového vysvětlení.

Původ deseti opatření a překryv s ISO 27001

Deset opatření je uvedeno v čl. 21 odst. 2 Směrnice (EU) 2022/2555; nizozemský zákon o kybernetické bezpečnosti tuto směrnici transponuje a má podle očekávání vstoupit v platnost dne 15. srpna 2026, ale samotná opatření již pojišťovny používají jako referenční rámec před tímto datem. ISO/IEC 27001 Příloha A dále rozpracovává stejná témata v konkrétní bezpečnostní opatření, což vysvětluje, proč certifikát často ihned odpovědi na více otázek v seznamu.