l'assureur veut remplir le questionnaire pour l'assurance cyber comment je m'y prends

Les questionnaires de police cyber suivent les dix mêmes mesures

Le questionnaire d'un assureur couvre presque toujours le même domaine qu'un questionnaire NIS2 d'un client : contrôle d'accès, MFA, sauvegardes, politique de correctifs, réponse aux incidents. Ce n'est pas un hasard — les assureurs fondent désormais largement leurs questions d'acceptation sur les dix mesures de l'article 21, paragraphe 2 de la directive NIS2, et sur les mesures de contrôle de l'Annexe A de la norme ISO/IEC 27001. Celui qui a déjà rempli ces deux cadres pour un client peut reprendre les réponses pratiquement inchangées pour l'assureur. La différence réside dans le ton : un client demande des informations sur la politique, un assureur pose souvent des questions un peu plus spécifiques — par exemple si MFA est obligatoire pour tous les comptes d'administrateur, pas seulement « présent ».

Complétez donc d'abord le dossier de chaîne aux points où l'assureur va plus loin que d'habitude : authentification multifacteur pour les systèmes d'entreprise, la procédure en cas d'incident de sécurité et la disposition de sauvegarde et de récupération. Les assureurs demandent également régulièrement le processus de correctifs ; cette réponse se trouve sous le processus relatif aux vulnérabilités. Si l'entreprise n'a pas de certificat ISO 27001, ce n'est généralement pas un problème en soi — les assureurs acceptent généralement aussi une description des mesures sans certificat, pourvu que les réponses soient concrètes et ne se limitent pas à « oui, nous avons une politique ».

Pourquoi ces deux cadres se chevauchent

Le chevauchement est substantiel, non fortuit : l'article 21, paragraphe 2 NIS2 énumère dix catégories de mesures (analyse des risques, traitement des incidents, continuité de l'activité, sécurité de la chaîne d'approvisionnement, politique en matière de vulnérabilités, cryptographie, contrôle d'accès, MFA, formation et test de l'efficacité), et l'Annexe A de la norme ISO/IEC 27001 développe pratiquement les mêmes thèmes en mesures de contrôle vérifiables. Les assureurs utilisent ces cadres comme norme objective parce qu'ils sont documentés en externe et contrôlables — non pas parce que l'assureur lui-même est soumis à la Loi sur la cybersécurité ou qu'il l'exige du client.