min cyberforsikringsgiver sender et omfattende spørgeskema, hvad skal jeg udfylde

Cyberforsikringsselskaber spørger efter de samme ti foranstaltninger som NIS2

Et omfattende sikkerhedsspørgeskema fra et cyberforsikringsselskab overlapper i høj grad med de ti foranstaltninger i artikel 21, stk. 2 i NIS2-direktivet: risikovurdering, hændelseshåndtering, forretningskontinuitet, kædesikkerhed, sårbarhedsstyring, krypteringspolitik, adgangskontrol og MFA. Forsikringsselskaber anvender ikke denne inddeling, fordi de skal rapportere i henhold til direktivet, men fordi det er en brugbar risikoindicator for præmie og dækning. Genkender du denne inddeling i spørgeskemaet, kan du i høj grad gøre brug af det, du allerede har dokumenteret for andre kunder.

Det bliver mere kompliceret her: forsikringsselskaber spørger ofte lidt mere konkret end en kunde, der kun vil vide "har I en hændelsesprocedure". De vil for eksempel vide, om der findes en procedure for håndtering af sikkerhedshændelser herunder meldepligtterminer og eskalationsveje, eller de spørger videre om effektiviteten af sikkerhedsforanstaltninger — altså ikke kun om politikken findes, men om den nogensinde er blevet testet. Hvis du ikke har et bevisstykke, skal du svare faktisk: "endnu ikke formaliseret" eller "under udvikling" er bedre end et ja, som du ikke kan underbygge ved et krav.

ISO 27001 som kortere vej gennem listen

Hvis du har et ISO 27001-certifikat, dækker det en stor del af spørgeskemaet på én gang, fordi Annex A-foranstaltningerne i høj grad svarer til det, som forsikringsselskaber spørger efter. Nævn certifikatet eksplicit, hvor der spørges, om virksomheden er ISO 27001-certificeret og henvis til det tilhørende revisionsrapport, hvis forsikringsselskabet spørger efter det — det sparer ofte en særskilt forklaring pr. spørgsmål.

Hvor dette følger fra: artikel 21, stk. 2 og Annex A

De ti kategorier af foranstaltninger findes i artikel 21, stk. 2 i Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 (NIS2); den danske gennemførelse sker via cybersikkerhedsloven, som træder i kraft den 15. august 2026. Den sammenlignelige inddeling af kontrolforanstaltninger findes i Annex A i ISO/IEC 27001. Forsikringsselskaber er ikke bundet af nogen af delene — spørgeskemaet er deres eget risikoredskab — men overlappen i inddelingen er ikke tilfældig: begge kilder beskriver, hvad der i praksis betragtes som basissikkerhed.