a kiberviszontbiztosítóm egy kiterjedt kérdőívet küld, mit kell kitöltenim

A kiberbiztosítók ugyanazokat a tíz intézkedést kérik, mint a NIS2

Egy részletes biztonsági kérdőív a kiberbiztosító részéről nagymértékben átfedésben van a NIS2-irányelv 21. cikk 2. bekezdésében szereplő tíz intézkedéssel: kockázatelemzés, incidenskezelés, üzletmenet-folytonosság, ellátási lánc biztonsága, sebezhetőség-kezelés, kriptográfiai politika, hozzáférés-vezérlés és MFA. A biztosítók nem ezt a besorolást használják, mert az irányelv értelmében kell jelenteniük, hanem azért, mert ez hasznos kockázati mutató a díj és a fedezet szempontjából. Ha felismered ezt a besorolást a kérdőívben, nagyrészt vissza tudsz térni arra, amit már rögzítettél más ügyfeleknél.

Ahol ez nehezebbé válik: a biztosítók gyakran némileg konkrétabban kérdeznek, mint egy ügyfél, aki csak azt szeretné tudni, hogy "van-e incidenskezelési eljárásotok". Például azt szeretnék tudni, hogy van-e eljárás a biztonsági incidensek kezelésére beleértve a bejelentési határidőket és eszkalációs útvonalakat, vagy továbbkérdeznek a biztonsági intézkedések hatékonyságáról — vagyis nemcsak azt, hogy az irányelv létezik-e, hanem azt, hogy valaha is tesztelték-e. Ha nincs bizonyítéka, akkor ténylegesen válaszolj: "még nem formalizált" vagy "fejlesztés alatt" jobb, mint egy igen, amelyet egy igény esetén nem tudsz alátámasztani.

Az ISO 27001 mint rövidebb út a kérdőívön

Ha van ISO 27001-tanúsítványod, akkor az a kérdőív nagy részét egyszerre lefedi, mivel az A melléklet intézkedései szinte egy az egyben összhangban vannak azzal, amit a biztosítók kérdeznek. Kifejezetten említsd meg a tanúsítványt, ahol azt kérdezik, hogy a szervezet ISO 27001-tanúsított-e és az alapul szolgáló intézkedésekhez hivatkozz az ehhez kapcsolódó auditjelentésre, ha a biztosító erre kéri — ez gyakran megtakarít egy külön magyarázatot kérdésenként.

Ennek alapja: 21. cikk 2. bekezdés és A melléklet

A tíz intézkedési kategória a 2022/2555 (NIS2) irányelv 21. cikk 2. bekezdésében szerepel; a holland átültetés a Cyberbeveiligingswet (Kiberbiztonsági törvény) keretén belül történik, amely 2026. augusztus 15-én lép hatályba. Az összehasonlítható beheersmaatregelen besorolása az ISO/IEC 27001 A mellékletében szerepel. A biztosítók egyikhez sem kötöttek — a kérdőív egy saját kockázatértékelési eszköz — de a besorolás átfedése nem véletlen: mindkét forrás azt írja le, amit a gyakorlatban alapvető biztonságnak tekintünk.