küsimustik küsib, kas meie ettevõttel on küberjulgeoleku kindlustus sõlmitud

Küberkahjustuskindlustus ei asenda kümmet meetmet

Küberkahjustuskindlustus on finantsiline vahend intsidendi kahjude vastu, mitte turvalisuse taseme tõend. Küberkahjustuskindlustuse järele küsimine on tavaliselt eraldi NIS2 artikli 21 lõike 2 kümnest meetmest — need käsitlevad riskianalüüsi, intsidentide käsitlemist, järjepidevust ja juurdepääsu. Klient, kes seda küsib, soovib teada eelkõige, kas finantsiline kahju intsidendi korral on kaetud, mitte seda, kas turvalisus on korras. See eristus on vastuse seisukohalt oluline: "ei" sellele küsimusele ei ütle midagi vastuse kohta millega seotud on protseduur turvalisusincidentidega tegelemiseks või küsimused varukoopiaid ja hädaabituse meetmete kohta.

Kui ettevõttel puudub küberkahjustuskindlustus, siis on "ei" faktiliselt õige vastus — pole põhjust seda "osaliselt" või "käsitluse all olevaks" muuta. Mõned poliisid katavad ainult teatud kahjutüübid (näiteks ärivaheaegade, kuid mitte mainekahjud või karistused); kui see on relevantsele küsimustikule, siis on see tavaliselt eraldi selgitavas küsimuses, mitte ise jah/ei-küsimuses. Pange tähele, et poliis on õigete subjektide nimel: emaettevõtte kindlustus ei kata automaatselt tütarettevõtet, kes küsimustikule vastab.

Miks see on eraldi NIS2-meetmetest

NIS2-direktiivi artikli 21 lõike 2 kümme meetmet ei maini kindlustusplaani; need kirjeldavad tehnilisi ja organisatsioonilisi meetmeid, nagu riskijuhtimine, krüptimine ja juurdepääsukontroll. Samuti ISO/IEC 27001 lisa A ei sisalda juhtimismeedet, mis kindlustust nõuaks. Küberkahjustuskindlustus võib olla kasulik täiendus meetmetele, mis on määratletud riskianalüüsi poliitikale kuid juriidiliselt ja normatiivselt on need kaks eraldatud valdkonda.