meie kindlustusandja tahab küberküsimustikku kindlustusepoliitika jaoks täitma

Küberkindlustajad küsivad NIS2 kümmet meetmet, mitte märki

Kindlustaja küberjärelevalvamise küsimustik järgib tavaliselt sama struktuuri kui kümme meetmet artikli 21 lõike 2 NIS2 direktiivides: riskianalüüs, intsidendijuhtus, ärikontinuiteet, tarneahela turvalisus, haavatavuste haldus, testimine, teadlikkus, krüptimine, juurdepääsupoliitika ja MFA. Kindlustajad kasutavad seda jaotust, sest see on faktiliselt saanud "põhimõtted korras" ja "juhitamata riskid" eristamiseks standardiks — mitte seetõttu, et poliis määraks seadusliku NIS2-kohustuse. Kas ettevõte ise kuulub direktiivi või Küberturvalisuse seaduse alla, on seega eraldi küsimus sellest, kas kindlustaja selle üle küsib.

Iga nende kümne punkti kohta soovib kindlustaja konkreetset vastust, mitte kavatsust. Kell riskianalüüsiga loeb kuupäevastatud riskiregister rohkem kui teostamata poliitikadokument. Kell MFA küsitakse loendist sageli spetsiaalselt e-posti, VPN-i ja administraatorikontode kohta eraldi — "jah" kogu ettevõtte jaoks on liiga üldine. Kui mõõtme puudub, siis "pole veel juurutatud, plaanis [kuupäev]" on kasulikum vastus kui ebarealistlik "jah" või tühi väli: kindlustajad hinnastavad kõrgem läbitöötamata auke kui täiuslikult täidetud loendeid, mis nõuete korral ebatõeks osutuvad.

Põhjendus: artikkel 21 lõige 2 NIS2 ja ISO 27001 lisa A

Artikli 21 lõike 2 NIS2 kümme meetmet moodustavad raamistiku, millele peaaegu iga küberkindlustaja oma küsimustikut tugineb, ja kes on juba ISO/IEC 27001 sertifitseeritud, tunneb sama kategooriaid ära selle normi lisas A — millega erinevusega, et ISO-sertifikaat lisab sõltumatu testihanke juurde, kui kindlustaja ise ei testiks midagi ja usaldab eneseraporteerimist loendis.