il nostro assicuratore vuole compilare un questionario sulla cybersicurezza per la polizza

Gli assicuratori cyber richiedono le dieci misure di NIS2, non l'etichetta

Il questionario sulla cibersicurezza di un assicuratore segue di solito la stessa struttura delle dieci misure previste dall'articolo 21, paragrafo 2, della direttiva NIS2: analisi dei rischi, gestione degli incidenti, continuità operativa, sicurezza della catena di fornitura, gestione delle vulnerabilità, testing, consapevolezza, crittografia, politica di accesso e MFA. Gli assicuratori utilizzano questa suddivisione perché è diventato lo standard de facto per distinguere tra "fondamenti in ordine" e "rischi non gestiti" — non perché la polizza impone un obbligo legale di NIS2. Se l'impresa stessa ricade sotto la direttiva o la Legge sulla cibersicurezza è quindi una domanda separata rispetto a quella se l'assicuratore ne chiede conto.

Per ognuno di questi dieci punti l'assicuratore vuole una risposta concreta, non un'intenzione. Con analisi del rischio un registro dei rischi datato conta più di un documento normativo senza esecuzione. Con MFA il questionario spesso chiede in modo specifico e-mail, VPN e account amministrativi separatamente — un "sì" per l'intera azienda è allora troppo generico. Se manca una misura, allora "non ancora implementata, prevista per [data]" è una risposta più utile di un disonesto "sì" o di un campo vuoto: gli assicuratori più spesso fanno pricing sulla base di lacune trasparenti che sulla base di un elenco perfettamente compilato che al momento del sinistro si rivela inaccurato.

Fondamento: articolo 21, paragrafo 2, NIS2 e Allegato A di ISO 27001

Le dieci misure dell'articolo 21, paragrafo 2, NIS2 costituiscono il quadro su cui praticamente ogni assicuratore cyber basa il proprio questionario, e chi è già certificato ISO/IEC 27001 riconosce le stesse categorie nell'Allegato A di quella norma — con la differenza che un certificato ISO aggiunge una valutazione indipendente dell'esecuzione, mentre l'assicuratore stesso non esegue alcuna valutazione e si affida all'auto-segnalazione nel questionario.