notre assureur veut remplir un questionnaire de cybersécurité pour la police

Les assureurs cyber demandent les dix mesures de NIS2, pas le label

Le questionnaire de cybersécurité d'un assureur suit généralement la même structure que les dix mesures de l'article 21, paragraphe 2 de la directive NIS2 : analyse des risques, traitement des incidents, continuité, sécurité de la chaîne, gestion des vulnérabilités, audit, sensibilisation, chiffrement, politique d'accès et authentification multifacteur. Les assureurs utilisent cette classification parce qu'elle est devenue de facto la norme pour distinguer « les bases en ordre » et « les risques non maîtrisés » — non parce que la police impose une obligation légale NIS2. La question de savoir si l'entreprise elle-même relève de la directive ou de la Loi de cybersécurité est donc une question distincte de celle de savoir si l'assureur en pose.

Pour chacun de ces dix points, l'assureur souhaite une réponse concrète, pas une intention. Pour l'analyse des risques un registre des risques daté pèse plus lourd qu'un document de politique sans mise en œuvre. Pour l'authentification multifacteur la liste demande souvent spécifiquement le courrier électronique, le VPN et les comptes administrateur séparément — « oui » pour toute l'entreprise est alors trop vague. Si une mesure manque, alors « pas encore mise en œuvre, prévue pour [date] » est une réponse plus utile qu'un malhonnête « oui » ou un champ vide : les assureurs évaluent plus souvent sur la base de lacunes transparentes que sur la base d'une liste parfaitement remplie qui, lors d'un sinistre, s'avère inexacte.

Fondement : article 21, paragraphe 2 NIS2 et Annexe A de la norme ISO 27001

Les dix mesures de l'article 21, paragraphe 2 de la directive NIS2 constituent le cadre sur lequel pratiquement chaque assureur cyber greffe son questionnaire, et celui qui est déjà certifié ISO/IEC 27001 retrouve les mêmes catégories dans l'Annexe A de cette norme — avec cette différence que un certificat ISO ajoute un audit indépendant de la mise en œuvre, tandis que l'assureur lui-même ne fait aucun audit et se fie à l'auto-évaluation dans la liste.