il questionario chiede se la nostra azienda ha stipulato un'assicurazione informatica

L'assicurazione informatica non sostituisce le dieci misure

Un'assicurazione informatica è una provvista finanziaria contro il danno di un incidente, non una prova del livello di sicurezza. La domanda su un'assicurazione informatica di solito è separata dalle domande sulle dieci misure di cui all'articolo 21, paragrafo 2, della direttiva NIS2 — che riguardano l'analisi dei rischi, la gestione degli incidenti, la continuità e l'accesso. Un cliente che pone questa domanda vuole soprattutto sapere se il danno finanziario in caso di incidente è coperto, non se la sicurezza è in ordine. Questa distinzione è importante per la risposta: "no" a questa domanda non dice nulla su la domanda se esiste una procedura per gli incidenti di sicurezza o su la domanda sui backup e le misure di emergenza.

Se l'impresa non dispone di un'assicurazione informatica, allora "no" è la risposta correttamente fattuale — non c'è motivo di trasformarla in "parzialmente" o "in corso di trattamento". Alcune polizze coprono solo determinati tipi di danni (ad esempio l'interruzione dell'attività, ma non il danno reputazionale o le sanzioni); se ciò è rilevante per il questionario, di solito è indicato in una domanda di chiarimento separata e non nella domanda sì/no stessa. Si noti che la polizza è intestata all'entità corretta: un'assicurazione della società madre non copre automaticamente la filiale che compila il questionario.

Perché questa è separata dalle misure NIS2

Le dieci misure di cui all'articolo 21, paragrafo 2, della direttiva NIS2 non menzionano alcun obbligo di assicurazione; descrivono misure tecniche e organizzative come la gestione dei rischi, la crittografia e il controllo degli accessi. Nemmeno l'Allegato A della norma ISO/IEC 27001 prevede un controllo che renda obbligatoria un'assicurazione. Un'assicurazione informatica può essere utile come supplemento alle misure stabilite in la politica di analisi dei rischi ma dal punto di vista legale e normativo sono due argomenti separati.