el cuestionario pregunta si estamos asegurados contra incidentes cibernéticos

El seguro cibernético no es un sustituto de las medidas, sino una pregunta separada

Un seguro cibernético está separado de las diez medidas del artículo 21 apartado 2 de NIS2 y del Anexo A de ISO/IEC 27001. La pregunta de si está asegurado contra incidentes cibernéticos se refiere a la cobertura financiera después de un incidente, no a la calidad de su seguridad previa. Algunos clientes formulan esta pregunta como una cuestión independiente, otros la utilizan como prueba indirecta: un asegurador generalmente no acepta una póliza sin que haya medidas básicas mínimas, por lo que «sí, asegurado» a veces se interpreta como prueba implícita de una cierta madurez. Se trata de una suposición de la parte que pregunta, no de una norma de las fuentes citadas.

Si tiene una póliza, la respuesta puede fundamentarse con «sí» en cuanto tenga la póliza o el certificado de seguro como prueba. Si no tiene póliza, «no» es la respuesta fácticamente correcta — una pregunta de seguimiento sobre medidas compensatorias generalmente se formula por separado, por ejemplo sobre el procedimiento para el tratamiento de incidentes de seguridad o sobre copias de seguridad y disposiciones de emergencia para la recuperación. Si tiene dudas sobre si la pregunta se refiere a la póliza en sí o a la cobertura subyacente (por ejemplo, cobertura en caso de ransomware frente a interrupción del negocio), lea el texto de la pregunta literalmente: «asegurado contra incidentes cibernéticos» es más amplio que «póliza de seguro cibernético contratada», y el expediente de la cadena debe cubrir la respuesta a la pregunta formulada, no a una pregunta relacionada.

Ninguna de las tres fuentes obliga a tener un seguro cibernético

Ni el artículo 21 apartado 2 de NIS2, ni el Anexo A de ISO/IEC 27001, ni la Ley de Ciberseguridad mencionan una obligación de seguro. Las diez medidas de NIS2 se refieren a la gestión del riesgo, la respuesta a incidentes, la continuidad empresarial y similares — un seguro no aparece en ellas. El Anexo A tampoco incluye una medida de control que requiera específicamente un seguro. Un cliente que pregunta sobre seguro, por lo tanto, lo hace por iniciativa propia, independientemente de esta normativa; la respuesta sigue siendo por tanto una pregunta fáctica de sí/no con una póliza como prueba, no una pregunta de cumplimiento con un umbral legal.