min forsikringsgiver ønsker et cybersikkerhedsspørgeskema, hvordan udfylder jeg det

Forsikringsselskabets liste dækker ofte de ti foranstaltninger i NIS2

Spørgeskemaet fra en forsikringsselskab er normalt bredere end et format fra en kunde, der selv falder under loven om cybersikkerhed, men dækker dog de samme emner. Forsikringsselskaber bruger deres eget spørgeskema, fordi præmie og dækning afhænger af risikoen, og disse spørgsmål bygger stærkt på de ti foranstaltninger i artikel 21, stk. 2 i NIS2: risikovurdering, hændelseshåndtering, kontinuitet, kæde, sårbarheder, test, bevidsthed, kryptering, adgangskontrol og MFA. Hvis du genkender dette mønster, kan du normalt genbruge de svar, der allerede er i kedjedokumentet en-til-en, selv hvis forsikringsselskabet bruger andre ord end listen før.

To spørgsmål kommer oftere for hos forsikringsselskaber end i almindelige kundesøgeskemaer: om der er øvet hændelsesrespons (ikke kun om der er en procedure for sikkerhedshændelser, men om den også er testet) og om der findes en konkret genopretningsplan med genoprettelsestid ved siden af det almindelige spørgsmål om sikkerhedskopier og nødforanstaltninger. Hvis du ikke har denne øvelse eller denne konkrete plan, så er "nej" det rigtige svar — en forsikringsselskab spørger om praksis, ikke om intentioner. Hvis et ISO 27001-certifikat mangler, er det ikke et problem i sig selv: mange forsikringsselskaber accepterer også de enkelte foranstaltninger uden certificering.

Hvor de ti foranstaltninger kommer fra

Inddelingen i ti foranstaltninger findes i artikel 21, stk. 2 i direktiv (EU) 2022/2555 og kan også findes i bilag A til ISO/IEC 27001, som udarbejder de samme kontrolforanstaltninger i større detalje. Forsikringsselskaber formulerer deres spørgsmål ofte mere løst end direktiv-teksten, men den underliggende struktur er de samme ti emner — derfor går udfyldningen hurtigere, hvis du ved, hvilket spørgsmål der hører til hvilken foranstaltning.