mon assureur souhaite un questionnaire de cybersécurité, comment le remplir

La liste de l'assureur couvre souvent les dix mesures de NIS2

Le questionnaire d'un assureur est généralement plus large qu'un format d'un client qui relève lui-même de la Loi sur la cybersécurité, mais couvre néanmoins les mêmes thèmes. Les assureurs utilisent leur propre questionnaire parce que la prime et la couverture dépendent du risque, et ces questions s'appuient fortement sur les dix mesures de l'article 21, paragraphe 2 de NIS2 : analyse des risques, traitement des incidents, continuité, chaîne d'approvisionnement, vulnérabilités, tests, sensibilisation, cryptographie, politique d'accès et MFA. Si tu reconnais ce schéma, tu peux généralement réutiliser une à une les réponses qui se trouvent déjà dans le dossier de la chaîne, même si l'assureur utilise d'autres termes que la liste précédente.

Deux questions reviennent plus souvent chez les assureurs que dans les questionnaires ordinaires des clients : si la réponse aux incidents a été exercée (non seulement s'il existe une procédure pour incidents de sécurité, mais aussi si celle-ci a été testée) et s'il existe un plan de récupération concret avec un délai de récupération en plus de la question générale sur sauvegardes et mesures d'urgence. Si tu n'as pas cet exercice ou ce plan concret, alors « non » est la bonne réponse — un assureur demande la pratique, pas l'intention. L'absence d'un certificat ISO 27001 n'est pas un problème en soi : de nombreux assureurs acceptent également les mesures individuelles sans certification.

D'où viennent les dix mesures

La classification en dix mesures figure à l'article 21, paragraphe 2 de la Directive (UE) 2022/2555 et se retrouve également dans l'annexe A de la norme ISO/IEC 27001, qui développe les mêmes mesures de contrôle en plus de détails. Les assureurs formulent souvent leurs propres questions de manière plus libre que le texte de la directive, mais la structure sous-jacente est la même — dix sujets — c'est pourquoi le remplissage est plus rapide si tu sais quelle question correspond à quelle mesure.