nuestro asegurador quiere rellenar un cuestionario de ciberseguridad para la póliza

El cuestionario de ciberpoliza suele cubrir los mismos diez puntos

El cuestionario de una aseguradora se superpone en gran medida con las diez medidas del artículo 21 apartado 2 de NIS2: análisis de riesgos, gestión de incidentes, continuidad, cadena, gestión de vulnerabilidades, auditoría, concienciación, criptografía, política de acceso y MFA. Las aseguradoras no preguntan esto porque la empresa esté sujeta a NIS2 —en muchos casos no es así— sino porque estos diez puntos se han convertido entretanto en el estándar habitual para el riesgo cibernético. El reconocimiento de esa estructura agiliza la cumplimentación: cada pregunta se puede remontar a uno de los diez, incluso si la aseguradora utiliza formulaciones propias.

Para la documentación justificativa se aplica lo siguiente: una pregunta sobre control de acceso suele esperar una respuesta sobre la política de acceso y la gestión de activos, independientemente de si también autenticación multifactor se ha implementado — las aseguradoras suelen preguntar estos dos puntos por separado, aunque la respuesta en la práctica esté relacionada. Si falta una parte, entonces "no, aún no" es una respuesta válida en el cuestionario; las aseguradoras lo tienen en cuenta en la prima, no en la aceptación en sí. Un certificado ISO 27001 agiliza considerablemente la cumplimentación, porque las medidas del Anexo A se superponen en gran medida con estos diez puntos — quien esté certificado puede remitirse por cada pregunta al número de control correspondiente en lugar de escribir un nuevo comentario.

Origen de las diez medidas y la superposición con ISO 27001

Las diez medidas se enumeran en el artículo 21 apartado 2 de la Directiva (UE) 2022/2555; la Ley holandesa de ciberseguridad transpone esa directiva y se espera que entre en vigor el 15 de agosto de 2026, pero las medidas en sí ya están siendo utilizadas por las aseguradoras como marco de referencia antes de esa fecha. ISO/IEC 27001 Anexo A desarrolla los mismos temas en medidas de control concretas, lo que explica por qué un certificado a menudo responde inmediatamente a varias preguntas de la lista.