vores forsikringsgiver vil udfylde et cyberspørgeskema for policen

Cyberforsikringsselskaber spørger til de ti foranstaltninger fra NIS2, ikke mærket

Cyberspørgeskemaet fra en forsikringsselskab følger som regel samme struktur som de ti foranstaltninger i artikel 21, stk. 2, i NIS2-direktivet: risikovurdering, hændelseshåndtering, kontinuitet, kædesikkerhed, sårbarhedsstyring, test, bevidsthed, kryptering, adgangskontrol og MFA. Forsikringsselskaber bruger denne inddeling, fordi det er blevet de facto-standard til sondring mellem "grundlæggende orden" og "risici uden kontrol" — ikke fordi policen påkræver en juridisk NIS2-forpligtelse. Hvorvidt virksomheden selv er omfattet af direktivet eller Cybersikkerhedsloven fald dermed uden for, er derfor et separat spørgsmål fra, om forsikringsselskabet spørger derom.

For hver af disse ti punkter ønsker forsikringsselskabet et konkret svar, ingen intention. Ved risikovurdering tæller et dateret risikoregister tungere end et politikdokument uden gennemførelse. Ved MFA stiller listen ofte specifikt spørgsmål om e-mail, VPN og administratorkonti hver for sig — "ja" for hele virksomheden er da for uspecifikt. Hvis en foranstaltning mangler, er "endnu ikke implementeret, planlagt til [dato]" et mere brugbart svar end en uærlighederlig "ja" eller et tomt felt: forsikringsselskaber prissætter oftere på grundlag af transparente mangler end på grundlag af en perfekt udfyldt liste, der viser sig ikke at stemme ved en skadessag.

Begrundelse: artikel 21, stk. 2, NIS2 og Annex A i ISO 27001

De ti foranstaltninger i artikel 21, stk. 2, NIS2 danner rammen, som næsten alle cyberforsikringsselskaber bygger deres spørgeskema på, og den, der allerede er ISO/IEC 27001-certificeret, genkender samme kategorier i Annex A i denne standard — med den forskel, at et ISO-certifikat tilføjer en uafhængig vurdering af gennemførelsen, mens forsikringsselskabet selv ikke vurderer noget og stolter på selvrapporteringen i spørgeskemaet.