osiguravatelj želi ispuniti popis pitanja za cyber osiguranje kako trebam to napraviti

Upitnici za kibernetičke police slijede iste deset mjera

Upitnik osiguravača gotovo uvijek pokriva isti teren kao NIS2-upitnik kupca: kontrola pristupa, MFA, sigurnosne kopije, politika zakrpa, odziv na incidente. To nije slučajnost — osiguravači sada temelje svoja akceptacijska pitanja uglavnom na deset mjera članka 21 stavka 2 NIS2-direktive i na beheersmaatregelen Dodatka A ISO/IEC 27001. Tko je već popunio ta dva okvira za kupca, može odgovore gotovo nepromijenjeno preuzeti za osiguravača. Razlika je u tonu: kupac pita o politikama, osiguravač često pita malo detaljnije — primjerice postoji li MFA obvezna za sve administratorske račune, ne samo "dostupna".

Zato prvo dopunite dosje lanca na točkama gdje osiguravač ide dublje nego obično: autentifikacija s više čimbenika za poslovne sustave, postupku pri incidentima sigurnosti i pružanje sigurnosne kopije i oporavka. Osiguravači također redovito pitaju o procesu zakrpa; taj odgovor je dostupan pod proces za ranjivosti. Ako poduzeće nema ISO 27001-certifikat, to samo po sebi obično nije problem — osiguravači obično prihvaćaju i opis mjera bez certifikata, sve dok su odgovori konkretni i ne kažu samo "da, imamo politiku".

Zašto se ta dva okvira preklapaju

Preklapanje je sadržajno, ne slučajno: članak 21 stavka 2 NIS2 navodi deset kategorija mjera (analiza rizika, rukovanje incidentima, kontinuitet poslovanja, sigurnost lanca, politika ranjivosti, kriptografija, kontrola pristupa, MFA, obuka i testiranje učinkovitosti), a Dodatak A ISO/IEC 27001 razrađuje gotovo iste teme u provjerljive beheersmaatregelen. Osiguravači koriste te okvire kao objektivnu mjeru jer su vanjski dokumentirani i provjerljivi — ne zato što sam osiguravač pada pod Zakon o kibernetičkoj sigurnosti ili da to zahtijeva od kupca.