zákazník se ptá, zda jsme pojištěni proti kybernetickým škodám

Kybernetické pojištění samo o sobě není opatřením podle NIS2

Kybernetické pojištění není zařazeno mezi seznam opatření podle článku 21 odst. 2 směrnice NIS2. Deset opatření z tohoto článku se týkají analýzy rizik, řešení incidentů, kontinuity podnikání, bezpečnosti dodavatelského řetězce, zásad přístupu a podobně — pojistná smlouva není bezpečnostním opatřením, ale způsobem, jak krýt finanční zbytková škoda. Přesto se otázka často objevuje v dotaznících od zákazníků a samotných pojišťoven, protože pojistka vypovídá o tom, jak vyspěle se podnik staví k rizikům. U normy ISO/IEC 27001 vidíte totéž: Příloha A neobsahuje prvek řízení „pojištění

`ale řízení rizik — jehož formou je pojištění vedle snižování, vyhnování se a přijetí — je součástí systému řízení.` zásad analýzy rizik a bezpečnosti informačních systémůZda musíš být pojištěn, tedy nezávisí na samotných deseti opatřeních, ale na tom, co chce tvůj zákazník v praxi vědět: máš finanční krytí, když se něco pokazí, nebo máš především základy v pořádku? Tyto dvě otázky se ve většině seznamů pokládají nezávisle na sobě. Poznej vzor: je-li otázka v bloku o řízení rizik, je často požadováno odůvodnění. Je-li otázka samostatná, jako oddělený řádek o finanční odolnosti, stačí faktická odpověď o samotné pojistce — nemáš-li ji, je "ne" správná odpověď, i když se to cítí jako nedostatek.

Odkud to pochází: článek 21 odst. 2 a příloha A

Článek 21 odst. 2 směrnice NIS2 uvádí deset povinných opatření taxativně; pojištění zde není, ani implicitně pod kontinuitou — to se týká zálohy a nouzová opatření pro obnovení služby, nikoli o finanční kompenzaci zpětně. V příloze A normy ISO/IEC 27001 je řízení rizik explicitní součástí systému řízení a pojištění je v tomto kontextu признáno možností řešení vedle technických a organizačních opatření. Zákon o kybernetické bezpečnosti, který převádí NIS2 v Nizozemsku a nabývá účinnosti 15. srpna 2026, opakuje deset opatření ze směrnice bez přidání povinnosti pojištění.