biztosítóink kiberbiztonság-kérdőívet szeretne kitölteni a biztosítás kedvezményezettje számára

A kiberbiztosítók a NIS2 tíz intézkedését kérdezik, nem a címkét

A biztosító kiberbiztonsági kérdőíve általában ugyanazt a szerkezetet követi, mint a NIS2-irányelv 21. cikk 2. bekezdésének tíz intézkedése: kockázatelemzés, incidenskezelés, üzletmenet-folytonosság, lánc biztonsága, sebezhetőség-kezelés, tesztelés, tudatosság, titkosítás, hozzáférési szabályzat és MFA. A biztosítók ezt a beosztást használják, mert ez praktikusan szabvánnyá vált az "alapok rendben" és a "felügyelet nélküli kockázatok" közötti megkülönböztetéshez — nem azért, mert a biztosítás jogszabályi NIS2-kötelezettséget ír elő. Azt, hogy a vállalat maga az irányelv vagy a kiberbiztonsági törvény hatálya alá tartozik-e, ezért a biztosító kérdésének feltevésétől függetlenül értelmezendő.

Az ezek közül tíz pont mindegyikéhez a biztosító konkrét választ vár, nem szándéknyilatkozatot. A kockázatelemzés az időponttal jelölt kockázatnyilvántartás nagyobb súllyal számít, mint egy végrehajtás nélküli szabályzati dokumentum. Az MFA esetében a lista gyakran külön kérdez az e-mailre, a VPN-re és az adminisztrációs fiókok erre — a teljes vállalatra vonatkozó "igen" túl általános. Ha egy intézkedés hiányzik, az "még nem vezettük be, tervezett [dátum]" hasznosabb válasz, mint egy tisztességtelen "igen" vagy egy üres mező: a biztosítók gyakrabban árazzák be a transzparens hiányosságokat, mint egy tökéletesen kitöltött listát, amely később nem bizonyul valósnak.

Indoklás: NIS2 21. cikk 2. bekezdés és az ISO 27001 A. melléklete

Az NIS2 21. cikk 2. bekezdésének tíz intézkedése az a keret, amelyre gyakorlatilag minden kiberbiztosító kérdőívét alapozza, és aki már ISO/IEC 27001-tanúsítvánnyal rendelkezik, felismeri ugyanezeket a kategóriákat az adott szabvány A. mellékletében — azzal a különbséggel, hogy egy ISO-tanúsítvány a végrehajtás független ellenőrzését adja hozzá, miközben a biztosító maga semmit sem ellenőriz, és az önjelentésre hagyatkozik a listában.