la aseguradora solicita un cuestionario de seguridad para el seguro cibernético qué debo hacer

Las aseguradoras preguntan las mismas diez medidas, pero quieren pruebas

Una aseguradora de ciberseguro plantea preguntas que se superponen en gran medida con el artículo 21, apartado 2 de NIS2: respuesta ante incidentes, copias de seguridad, MFA, política de parches, gestión de proveedores. La diferencia con un cuestionario NIS2 de un cliente es que la aseguradora quiere pruebas concretas, no intención de política. Donde un socio de cadena está satisfecho con "sí, tenemos un procedimiento", la aseguradora a menudo quiere saber si existe un procedimiento para el tratamiento de incidentes de seguridad incluido el tiempo de recuperación, y si autenticación multifactor es obligatorio para todos los accesos externos o solo para cuentas de administrador. Esa diferencia de granularidad es donde surge la mayoría de las dudas: una respuesta que es suficiente en un cuestionario puede ser demasiado vaga en otro.

Si una medida existe pero no se aplica de forma coherente en todas partes — por ejemplo, MFA en el entorno en la nube pero no en la VPN — la respuesta habitual es "parcialmente" con una breve explicación, no un "sí" que podría poner en tela de juicio la cobertura posteriormente. Para las preguntas sobre copias de seguridad y provisiones de emergencia y sobre requisitos de seguridad para proveedores propios se aplica lo mismo: la aseguradora a menudo realiza una validación posterior, durante un siniestro, para verificar si la respuesta fue correcta. Un certificado ISO 27001 acelera considerablemente este proceso, porque el certificado ya permite validar independientemente las medidas del Anexo A — sin certificado, debe proporcionar la prueba por cada pregunta.

Por qué las aseguradoras preguntan algo más que las diez medidas de NIS2

Las diez medidas del artículo 21, apartado 2 de NIS2 forman el núcleo de prácticamente cualquier cuestionario de seguridad, incluidas las aseguradoras de ciberseguro, pero las aseguradoras a menudo lo complementan con preguntas específicas para la evaluación de riesgos en un siniestro — como el alcance de MFA o el tiempo de recuperación después de un incidente. ISO/IEC 27001 Anexo A proporciona para cada medida las medidas de control con las que puede fundamentar una respuesta, lo que es especialmente relevante porque las aseguradoras solicitan más a menudo documentación de apoyo que otros clientes.