el cuestionario pregunta si nuestra empresa ha contratado un seguro de ciberriesgos

El seguro cibernético no es un sustituto de las diez medidas

Un seguro cibernético es una provisión financiera contra el daño de un incidente, no una prueba del nivel de seguridad. La pregunta sobre un seguro cibernético generalmente está separada de las preguntas sobre las diez medidas del artículo 21, apartado 2 de NIS2 — que tratan sobre análisis de riesgos, tratamiento de incidentes, continuidad y acceso. Un cliente que hace esta pregunta desea saber principalmente si el daño financiero en caso de incidente está cubierto, no si la seguridad es adecuada. Esta distinción es importante para la respuesta: "no" a esta pregunta no dice nada sobre la respuesta a la pregunta sobre si existe un procedimiento para incidentes de seguridad o a la pregunta sobre copias de seguridad y medidas de emergencia.

Si la empresa no tiene seguro cibernético, entonces "no" es la respuesta objetivamente correcta — no hay razón para cambiarla a "parcialmente" o "en trámite". Algunas pólizas cubren solo ciertos tipos de daño (por ejemplo, interrupción de negocio, pero no daño a la reputación o multas); si es relevante para la lista de preguntas, generalmente aparece en una pregunta de aclaración separada y no en la pregunta de sí/no en sí. Tenga en cuenta que la póliza está a nombre de la entidad correcta: un seguro de la empresa matriz no cubre automáticamente a la filial que completa la lista de preguntas.

Por qué esto está separado de las medidas de NIS2

Las diez medidas del artículo 21, apartado 2 de la Directiva NIS2 no mencionan ninguna obligación de aseguramiento; describen medidas técnicas y organizativas como gestión de riesgos, criptografía y control de acceso. El Anexo A de ISO/IEC 27001 tampoco contiene una medida de control que requiera un seguro. Un seguro cibernético puede ser útil como complemento de las medidas establecidas en la política de análisis de riesgos pero jurídica y normativamente son dos materias separadas.