nuestro asegurador quiere rellenar una lista de preguntas de ciberseguridad para la póliza

Los aseguradores de ciberseguridad solicitan las diez medidas de NIS2, no la etiqueta

El cuestionario de ciberseguridad de un asegurador generalmente sigue la misma estructura que las diez medidas del artículo 21, apartado 2, de la Directiva NIS2: análisis de riesgos, gestión de incidentes, continuidad, seguridad de la cadena, gestión de vulnerabilidades, pruebas, concienciación, cifrado, política de acceso y MFA. Los aseguradores utilizan esta clasificación porque se ha convertido de facto en el estándar para distinguir entre "lo básico en orden" y "riesgos sin supervisar" — no porque la póliza imponga una obligación legal de NIS2. Si la empresa cae bajo la directiva o la Ley de Ciberseguridad es, por lo tanto, una pregunta separada de si el asegurador pregunta al respecto.

Para cada uno de esos diez puntos, el asegurador quiere una respuesta concreta, no una intención. En análisis de riesgos cuenta un registro de riesgos fechado más que un documento de política sin ejecución. En MFA la lista a menudo pregunta específicamente por correo electrónico, VPN y cuentas administrativas por separado — un "sí" para toda la empresa es entonces demasiado general. Si falta una medida, entonces "aún no implementada, programada para [fecha]" es una respuesta más útil que un "sí" deshonesto o un campo vacío: los aseguradores suelen fijar precios sobre la base de lagunas transparentes que sobre la base de una lista perfectamente completada que en caso de siniestro resulta no ser cierta.

Fundamento: artículo 21, apartado 2, NIS2 y Anexo A de ISO 27001

Las diez medidas del artículo 21, apartado 2, NIS2 forman el marco sobre el que prácticamente todos los aseguradores de ciberseguridad basan su cuestionario, y quien ya está certificado en ISO/IEC 27001 reconoce las mismas categorías en el Anexo A de esa norma — con la diferencia de que un certificado ISO añade una evaluación independiente de la ejecución, mientras que el asegurador no evalúa nada en sí mismo y confía en la autorreportación en la lista.