upitnik pita jesmo li osigurani protiv kibernetičkih incidentov

Cyber osiguranje nije zamjena za mjere, već odvojena pitanja

Cyber osiguranje je odvojeno od deset mjera iz članka 21 stavka 2 direktive NIS2 i odvojeno od Dodatka A standarda ISO/IEC 27001. Pitanje je li osiguran/a protiv cyber incidenata vezano je uz financijsku zaštitu nakon incidenta, a ne uz kvalitetu zaštite prije incidenta. Neki kupci postavljaju ovo kao odvojeno pitanje, drugi ga koriste kao neizravan test: osiguratelj će obično odbiti policu bez minimalno osnovnih mjera, pa se "da, osiguran/a" ponekad čita kao implicitni dokaz određene zrelosti. To je pretpostavka tražitelja, a ne norma iz navedenih izvora.

Ako imaš policu, odgovor "da" je moguće potkrijepiti čim imaš policu ili certifikat osiguranja kao dokazni materijal. Ako nemaš policu, "ne" je faktički točan odgovor — pitanje o kompenzacijskih mjerama obično se postavlja odvojeno, primjerice o postupkom rukovanja incidentima sigurnosti ili o sigurnosnim kopijama i nouznim mjerama za oporavak. Ako sumnjašda li se pitanje odnosi na samu policu ili na temeljna pokrivanja (primjerice pokrivanje za ransomware nasuprot prekidu poslovanja), pročitaj tekst pitanja doslovno: "osiguran/a protiv cyber incidenata" je šire od "sklopljeno cyber osiguranje", a lanac dokaza mora pokriti odgovor na postavljeno pitanje, a ne na povezano pitanje.

Nijedan od tri izvora ne obavezuje cyber osiguranje

Niti NIS2 članak 21 stavak 2, niti Dodatak A standarda ISO/IEC 27001, niti Zakon o kibernetskoj sigurnosti ne spominje obavezu osiguranja. Deset mjera direktive NIS2 odnose se na upravljanje rizikom, rukovanje incidentima, kontinuitet poslovanja i slično — osiguranje se u tome ne pojavljuje. Dodatak A također ne sadrži mjeru upravljanja koja bi specifično zahtijevala osiguranje. Kupac koji pita o osiguranju to čini po svojoj inicijativi, odvojeno od ove regulative; odgovor ostaje dakle faktičko da/ne pitanje s polcom kao dokaznim materijalom, a ne compliance pitanje s zakonskom minimalnom granicom.