upitnik pita je li naše poduzeće sklopilo kibernetičko osiguranje

Kibernetska osiguranja nije zamjena za deset mjera

Kibernetska osiguranja je financijska zaštita od štete od incidenta, nije dokaz razine sigurnosti. Pitanje o kibernetskoj osiguranju obično je odvojeno od pitanja o deset mjera iz članka 21. stavka 2. NIS2 direktive — koja se odnose na analizu rizika, rukovanje incidentima, kontinuitet i pristup. Kupac koji postavlja ovo pitanje želi prije svega znati je li financijska šteta od incidenta pokrivena, a ne je li sigurnost u redu. To razlikovanje je važno za odgovor: "ne" na ovo pitanje ne govori ništa o odgovoru na pitanje postoji li postupak za incidente sigurnosti ili na pitanje o sigurnosnim kopijama i nužnim mjerama.

Ako poduzeće nema kibernetsku osiguranju, tada je "ne" faktički točan odgovor — nema razloga da se to pretvori u "djelomično" ili "u tijeku". Neke police pokrivaju samo određene vrste štete (primjerice prekid poslovanja, ali ne reputacijsku štetu ili kazne); ako je to relevantno za popis pitanja, obično se nalazi u zasebnom pojašnjavajućem pitanju, a ne u samom pitanju da/ne. Obratite pozornost da je polica na ime točnog subjekta: osiguranja matične kompanije ne pokriva automatski kćer koja ispunjava popis pitanja.

Zašto je ovo odvojeno od NIS2 mjera

Deset mjera članka 21. stavka 2. NIS2 direktive ne spominju obavezu osiguranja; one opisuju tehničke i organizacijske mjere kao što su upravljanje rizikom, kriptografija i kontrola pristupa. Čak i Prilog A standarda ISO/IEC 27001 nema mjere kontrole koja bi nametala obavezu osiguranja. Kibernetska osiguranja može biti korisna kao dopuna mjera koje su utvrđene u politici za analizu rizika ali su pravno i normativno odvojena područja.