il nostro assicuratore vuole compilare un questionario sulla sicurezza informatica per la polizza

Il questionario della polizza cyber copre spesso gli stessi dieci punti

Il questionario di un assicuratore si sovrappone in larga misura ai dieci misure dell'articolo 21 comma 2 della NIS2: analisi dei rischi, gestione degli incidenti, continuità, catena, gestione delle vulnerabilità, test, consapevolezza, crittografia, politica di accesso e MFA. Gli assicuratori non pongono queste domande perché l'impresa rientra nella NIS2 — il più delle volte non è così — ma perché questi dieci punti sono ormai lo standard comunemente accettato per il rischio cyber. Il riconoscimento di questa struttura velocizza la compilazione: ogni domanda può essere ricondotta a uno dei dieci punti, anche se l'assicuratore utilizza formulazioni proprie.

Per quanto riguarda la documentazione: una domanda sul controllo degli accessi solitamente richiede una risposta su la politica di accesso e la gestione dei beni aziendali, indipendentemente dal fatto che sia stata implementata anche la autenticazione multifattore — gli assicuratori pongono queste due domande spesso separatamente, anche se nella pratica la risposta è correlata. Se manca una documentazione, allora "no, non ancora" è una risposta valida all'interno del questionario; gli assicuratori lo considerano nel premio, non nell'accettazione in sé. Un certificato ISO 27001 accelera notevolmente la compilazione, perché le misure dell'Allegato A si sovrappongono in gran parte a questi dieci punti — chi è certificato può, per ogni domanda, fare riferimento al numero di controllo corrispondente invece di scrivere una nuova spiegazione.

Origine delle dieci misure e sovrapposizione con ISO 27001

Le dieci misure sono elencate all'articolo 21 comma 2 della Direttiva (UE) 2022/2555; la Legge olandese sulla cybersicurezza recepisce tale direttiva e dovrebbe entrare in vigore il 15 agosto 2026, ma le misure stesse sono già utilizzate dagli assicuratori come quadro di riferimento prima di tale data. ISO/IEC 27001 Allegato A sviluppa ulteriormente gli stessi argomenti in misure di controllo concrete, il che spiega perché un certificato spesso fornisce risposta immediata a più domande del questionario.