ο ασφαλιστής μας θέλει να συμπληρώσει ένα ερωτηματολόγιο ασφάλειας για τα ασφαλιστικά

Οι κυβερασφαλιστές ζητούν τα δέκα μέτρα της NIS2, όχι την ετικέτα

Ο κατάλογος κινδύνων κιβερνοασφάλειας ενός ασφαλιστή ακολουθεί συνήθως την ίδια δομή με τα δέκα μέτρα του άρθρου 21 παράγραφος 2 της Οδηγίας NIS2: ανάλυση κινδύνου, αντιμετώπιση περιστατικών, συνέχεια, ασφάλεια αλυσίδας, διαχείριση ευπαθειών, δοκιμή, ενημέρωση, κρυπτογραφία, πολιτική πρόσβασης και MFA. Οι ασφαλιστές χρησιμοποιούν αυτή την κατηγοριοποίηση επειδή έχει γίνει πρακτικό πρότυπο για τη διάκριση μεταξύ «βάσης σε τάξη» και «κίνδυνος χωρίς επίβλεψη» — όχι επειδή η πολιτική επιβάλλει νομική υποχρέωση NIS2. Το ερώτημα αν η επιχείρηση υπόκειται στην Οδηγία ή τον Κανονισμό Κιβερνοασφάλειας είναι επομένως ένα ξεχωριστό ερώτημα από το ερώτημα αν ο ασφαλιστής ζητά γι' αυτό.

Για καθένα από αυτά τα δέκα σημεία, ο ασφαλιστής θέλει ένα συγκεκριμένο απάντημα, όχι πρόθεση. Στο ανάλυση κινδύνου ένα ημερολογιακό μητρώο κινδύνου μετράει περισσότερο από ένα έγγραφο πολιτικής χωρίς εκτέλεση. Στο MFA ο κατάλογος συχνά ζητά συγκεκριμένα email, VPN και λογαριασμούς διαχείρισης χωριστά — «ναι» για ολόκληρη την επιχείρηση είναι τότε πολύ αδρό. Αν λείπει ένα μέτρο, τότε «δεν έχει ακόμη εισαχθεί, σχεδιασμένο για [ημερομηνία]» είναι μια πιο χρήσιμη απάντηση από ένα ανέντιμο «ναι» ή ένα κενό πεδίο: οι ασφαλιστές τιμολογούν συχνότερα με βάση τα διαφανή κενά παρά με βάση μια τέλεια συμπληρωμένη λίστα που σε περίπτωση αξίωσης αποδεικνύεται ότι δεν ταιριάζει.

Αιτιολόγηση: άρθρο 21 παράγραφος 2 NIS2 και Παράρτημα A του ISO 27001

Τα δέκα μέτρα του άρθρου 21 παράγραφος 2 NIS2 αποτελούν το πλαίσιο στο οποίο σχεδόν κάθε κυβερασφαλιστής εμφυτεύει τον κατάλογό του, και όποιος είναι ήδη πιστοποιημένος ISO/IEC 27001 αναγνωρίζει τις ίδιες κατηγορίες στο Παράρτημα A αυτού του προτύπου — με τη διαφορά ότι ένα πιστοποιητικό ISO προσθέτει μια ανεξάρτητη δοκιμή της εκτέλεσης, ενώ ο ασφαλιστής δεν δοκιμάζει τίποτα και βασίζεται στην αυτοαναφορά στον κατάλογο.