az ügyfél megkérdezi, hogy biztosítva vagyunk-e kiberbiztonsági kárral szemben

A kiberkockázat-biztosítás önmagában nem NIS2-intézkedés

A kiberkockázat-biztosítás nem szerepel a NIS2-irányelv 21. cikkének 2. bekezdésében felsorolt intézkedések között. Az adott cikkből származó tíz intézkedés a kockázatelemzésre, az incidensmegoldásra, az üzletmenet-folytonosságra, a lánc-biztonságra, a hozzáférési szabályzatokra és hasonlókra vonatkozik — egy biztosítási kötvény nem biztonsági intézkedés, hanem a fennmaradó pénzügyi kár megelőzésének módja. Azonban a kérdés gyakran előfordul az ügyfelek és a biztosítók saját kérdőíveiben, mivel egy kötvény azt tükrözi, hogy a vállalat hogyan érett módon kezeli a kockázatot. Az ISO/IEC 27001 szabvány esetében hasonló a helyzet: az A. melléklet nem tartalmaz "biztosítás" kezelési intézkedést, azonban a kockázatkezelés — amelynek a biztosítás egy elismert formája a csökkentés, a megelőzés és az elfogadás mellett — része a vezetési rendszernek.

Hogy biztosítottnak kell-e lenned, tehát nem az adott tíz intézkedéstől függ, hanem attól, hogy a megrendelő a gyakorlatban mit szeretne velük megtudni: van-e pénzügyi fedezeted, ha valami rosszul sül el, vagy inkább az alapoknak van fontosságuk? Ez a két kérdés a legtöbb listában egymástól függetlenül kerül feltételezésre. Ismerd fel a mintát: ha a kérdés a kockázatkezelésre vonatkozó blokkban szerepel, akkor gyakran a az információbiztonsági rendszerek kockázatelemzésének és védelméhez szükséges szabályzat. Ha a kérdés önálló, külön sorban a pénzügyi ellenálló képességgel kapcsolatban áll, akkor a biztosítási kötvényre vonatkozó tényszerű válasz elegendő — ha nincs meg, akkor az "nem" a helyes válasz, még akkor is, ha hiánynak érzed.

Ezek forrása: a 21. cikk (2) bekezdése és az A melléklet

A NIS2-irányelv 21. cikk (2) bekezdése a tíz kötelező intézkedést kifáradóan sorolja fel; a biztosítás nem szerepel ezek között, sem kifejezetten, sem pedig az üzletmenet folytonosságán belül — ez azt jelenti biztonsági másolatok és katasztrófa-helyreállítási intézkedések a szolgáltatás visszaállítása érdekében, nem pedig a pénzügyi kompenzációról utólag. Az ISO/IEC 27001 A mellékletében a kockázatkezelés a menedzsmentrendszer explicit részét képezi, és a biztosítás egy elismert kezelési lehetőség a technikai és szervezeti intézkedések mellett. A Cyberbeveiligingswet, amely az NIS2-t Hollandiában ülteteti át és 2026. augusztus 15-én lép hatályba, ismétli a direktívából származó tíz intézkedést anélkül, hogy biztosítási kötelezettséget adna hozzá.