klijent pita jesmo li osigurani od kibernetičke štete

Cyber osiguranje samo po sebi nije NIS2-mjera

Cyber osiguranje nije na popisu članka 21. stavak 2. NIS2-direktive. Deset mjera iz tog članka odnose se na analizu rizika, rukovanje incidentima, kontinuitet poslovanja, sigurnost lanaca, politiku pristupa i slično — polica osiguranja nije sigurnosna mjera već način da se uhvati financijska preostala šteta. Ipak, pitanje se često pojavljuje u upitnicima klijentima i samih osiguravatelja, jer polica nešto govori o tome kako zrela organizacija upravlja rizikom. Kod ISO/IEC 27001 vidiš isto: Annex A ne sadrži mjeru upravljanja "osiguranja", ali rukovanje rizikom — od kojeg je osiguranje priznatog oblika pored smanjenja, izbjegavanja i prihvaćanja — je doista dio sustava upravljanja.

Trebam li biti osiguran ovisi dakle ne o samih deset mjera već o tome što tvoj klijent u praksi želi znati s njima: imaš li financijsku zaštitu ako nešto pođe po zlu, ili si prije svega stavio osnove na mjesto? Ova dva pitanja u većini popisa postavljaju se odvojeno jedno od drugoga. Prepoznaj obrazac: ako je pitanje u bloku o upravljanju rizikom, često se traži obrazloženje od politike analize rizika i zaštite informacijskih sustava. Ako je pitanje odvojeno, kao zasebna stavka o financijskoj otpornosti, dovoljan je činjenični odgovor o samoj polici — ako je nemaš, onda je "ne" točan odgovor, čak i ako se to čini kao nedostatak.

Odakle ovo dolazi: članak 21 stavak 2 i Prilog A

Članak 21. stavak 2. NIS2-direktive navodi deset obveznih mjera na ograničen način; osiguranje tamo nije, čak ni implicitno pod kontinuitetom — to se odnosi na sigurnosne kopije i hitne mjere kako bi se usluga obnovila, a ne na financijsku naknadu unaprijed. U Annexu A ISO/IEC 27001 rukovanje rizikom je doista eksplicitan dio sustava upravljanja, i osiguranje je u tom okviru priznatog mogućnost liječenja pored tehničkim i organizacijskim mjerama. Zakon o kibernetskoj sigurnosti, koji NIS2 pretvara u Nederlandu i stupa na snagu 15. kolovoza 2026., ponavlja deset mjera iz direktive bez dodavanja obveze osiguranja.