klausimynas klausia, ar mūsų bendrovė yra sudariusi kibernetinio saugumo draudimą

Kibernetinė draudima nėra dešimties priemonių pakeitimas

Kibernetinė draudima yra finansinė atsarga nuo incidento žalos, o ne saugumo lygio įrodymas. Kibernetinės draudimos klausimas dažniausiai yra atskiras nuo klausimų dėl dešimties priemonių iš NIS2 21 straipsnio 2 dalies — tie yra apie rizikos analizę, incidento tvarkymą, tęstinumą ir prieigą. Klienatas, kuris tai klausia, visų pirma nori žinoti, ar finansinė žala incidento atveju yra aprūpinta, o ne ar sauga yra sutvarkyta. Šis skirtumas yra svarbus atsakymui: "ne" šiam klausimui nieko nesako apie atsakymą į klausimą, ar yra saugumo incidentų tvarkos arba į klausimą apie atsarginius kopijavimus ir atsarginius nustatymus.

Jei įmonė neturi kibernetinės draudimos, tada "ne" yra faktiškai teisingas atsakymas — nėra priežasties tą keisti į "iš dalies" ar "svarstoma". Kai kurie draudimo polisai dengia tik tam tikrus žalos tipus (pavyzdžiui, veiklos nutraukimą, tačiau ne reputacijos žalą ar baudas); jei tai aktualu klausimynui, tai paprastai yra atskiras paaiškinimo klausimas, o ne pats taip/ne klausimas. Atkreipkite dėmesį, kad polisas yra parašytas tinkamos šalies vardu: motininės bendrovės draudimas ne automatiškai dengia dukterį, kuri pildosi klausimyną.

Kodėl tai atskira nuo NIS2 priemonių

Dešimt NIS2 direktyvos 21 straipsnio 2 dalies priemonių neminėtos draudimo pareigos; jos aprašo technines ir organizacines priemones, tokias kaip rizikos valdymas, šifravimas ir prieigos kontrolė. ISO/IEC 27001 A priedas taip pat neturi valdymo priemonės, kuri nustatytų draudimo pareigą. Kibernetinė draudima gali būti naudinga kaip papildinys prie priemonių, kurios yra nustatomos rizikos analizės politikoje bet juridiškai ir normatyviai tai yra dvi atskiros sritys.