spørgeskemaet spørger, om vi er sikret mod cyberincidenter

Cyberforsikring er ikke en erstatning for foranstaltninger, men et separat spørgsmål

En cyberforsikring står uden for de ti foranstaltninger i artikel 21, stk. 2 i NIS2 og uden for Annex A i ISO/IEC 27001. Spørgsmålet om, hvorvidt du er sikret mod cyberangreb, handler om økonomisk dækning efter en hændelse, ikke om kvaliteten af din beskyttelse på forhånd. Nogle kunder stiller dette som et selvstændigt spørgsmål, andre bruger det som en indirekte test: et forsikringsselskab accepterer typisk ikke en police uden, at der er implementeret minimumsforanstaltninger, så "ja, sikret" bliver nogle gange læst som implicit bevis for en vis modenhed. Det er en antagelse fra den spurgende part, ikke en norm fra de citerede kilder.

Har du en police, kan svaret "ja" underbygges, så snart du har policen eller forsikringscertifikatet som dokumentation. Har du ingen police, er "nej" det faktisk rigtige svar — et opfølgende spørgsmål om kompenserende foranstaltninger stilles typisk separat, for eksempel om proceduren for håndtering af sikkerhedshændelser eller om sikkerhedskopier og beredskabsforanstaltninger til gendannelse. Er du usikker på, om spørgsmålet vedrører selve policen eller den underliggende dækning (for eksempel dækning ved ransomware versus forretningsafbrydelse), skal du læse spørgsmålet ordret: "sikret mod cyberangreb" er bredere end "cyberforsikring indgået", og kæden-dossier skal dække svaret på det stillede spørgsmål, ikke på et relateret spørgsmål.

Ingen af de tre kilder pålægger en cyberforsikring

Hverken NIS2 artikel 21, stk. 2, Annex A i ISO/IEC 27001 eller Cybersikkerhedsloven nævner en forsikringspligt. De ti foranstaltninger i NIS2 handler om risikostyring, håndtering af hændelser, forretningskontinuitet og lignende — en forsikring indgår ikke heri. Annex A indeholder heller ingen kontrolforanstaltning, der specifikt kræver en forsikring. En kunde, der spørger om forsikring, gør det altså på eget initiativ, uden for denne regelgivning; svaret forbliver derfor et faktisk ja/nej-spørgsmål med en police som dokumentation, ikke et compliance-spørgsmål med en lovfastsat minimumsstandard.