vakuutusyhtiömme haluaa täyttää kyberkyselyn vakuutukselle

Kyberturvallisuusvakuuttajat kysyvät NIS2:n kymmenen toimenpidettä, eivät nimikeä

Vakuutusyhtiön kyberturvallisuuskyselylomake noudattaa yleensä samaa rakennetta kuin kymmenen toimenpidettä direktiivin NIS2 21 artiklan 2 kappaleen mukaisesti: riskien arviointi, tapahtumatilanteiden hallinta, jatkuvuus, toimitusketjun turvaaminen, haavoittuvuuksien hallinta, testaus, tietoisuuden lisääminen, salaus, pääsynhallintokäytäntö ja MFA. Vakuutusyhtiöt käyttävät tätä järjestelyä, koska siitä on tullut tosiasiallinen standardi "perusta kunnossa" ja "hallitsemattomat riskit" -erottelussa — ei siksi, että vakuutus asettaisi lakisääteisen NIS2-velvoitteen. Se, kuuluuko yritys itse direktiivin tai Kyberturvallisuuslain piiriin, on siis erillinen kysymys siitä, koskeeko vakuutusyhtiön kysymys sitä.

Jokaisen näiden kymmenen kohdan osalta vakuutusyhtiö haluaa konkreettisen vastauksen, ei aikomusta. Kohdassa riskianalyysi päivitetty riskirekisteri painaa enemmän kuin käytäntöasiakirja ilman täytäntöönpanoa. MFA:n kohdalla MFA kyselylomake kysyy usein erikseen sähköpostista, VPN:stä ja hallintotileistä — koko yrityksen "kyllä" on liian karkeaa. Jos toimenpide puuttuu, "ei vielä otettu käyttöön, suunniteltu [päivämäärä]" -vastaus on hyödyllisempi kuin epärehellinen "kyllä" tai tyhjä kenttä: vakuutusyhtiöt määrittelevät hintoja usein enemmän läpinäkyvien puutteiden perusteella kuin täydellisesti täytetyn lomakkeen perusteella, joka korvausvaatimuksen yhteydessä osoittautuu vääräksi.

Oikeusperusta: direktiivin NIS2 21 artiklan 2 kappale ja ISO 27001:n liite A

Direktiivin NIS2 21 artiklan 2 kappaleen kymmenen toimenpidettä muodostavat kehyksen, johon lähes jokainen kyberturvallisuusvakuuttaja istuttaa kyselylomakkeensa, ja jokainen, jolla on jo ISO/IEC 27001 -sertifikaatti, tunnistaa samat kategoriat kyseisen normin liitteesta A — sillä erolla, että ISO-sertifikaatti lisää itsenäisen toisen asteen testauksen toteutuksen osalta, kun taas vakuutusyhtiö ei itse testaa mitään ja luottaa itseraportointiin kyselylomakkeessa.