mūsų draudiklis nori užpildyti kibernetinio saugumo klausimyną dėl polis

Kiber poliso klausimynas dažnai apima tuos pačius dešimt punktų

Draudimo bendrovės klausimynas iš esmės sutampa su dešimtimis priemonių iš NIS2 21 straipsnio 2 dalies: rizikos analize, incidentų valdymu, tęstinumu, grandinės valdymu, pažeidžiamumo valdymu, testavimu, sąmoning, kriptografija, prieigos politika ir MFA. Draudikai tai klausia ne todėl, kad įmonė patenka į NIS2 – dažnai taip nėra – bet todėl, kad šie dešimt punktų tapo įprastin kiber rizikos standartine priemone. Šios struktūros atpažinimas pagreitina klausimyno pildymą: kiekvienas klausimas gali būti sumažintas iki vieno iš dešimties, net jei draudiko suformulacijos yra savos.

Dėl įrodymų galioja: klausimas apie prieigos kontrolę paprastai nori atsakymo apie Zugriffskontrollrichtlinie und Verwaltung von Unternehmensressourcen, nepriklausomai nuo to, ar taip pat daugiaaspektė autentifikacija buvo nustatytas – draudikai dažnai juos klausiam atskirai, net jei praktikoje atsakymas tarpusavyje susietas. Jei trūksta dalies, tada „ne, dar ne Priedo A priemonės iš esmės sutampa su šiais dešimt punktų — kurie turi sertifikatą, gali nurodyti atitinkamą kontrolės numerį kiekvienam klausimui vietoje to, kad rašytų naują paaiškinimą.

Dešimties priemonių kilmė ir sutapimas su ISO 27001

Dešimt priemonių išvardytos Direktyvos (ES) 2022/2555 21 straipsnio 2 dalyje; Nyderlandų kibernetinio saugumo įstatymas transpozicija ši direktyvą ir, tikėtina, įsigalioja 2026 m. rugpjūčio 15 d., tačiau patys priemonės jau prieš tą datą naudojamos draudikų kaip pamatinis dėmuo. ISO/IEC 27001 Priedo A tolesnius tų pačių klausimų įgyvendinimas konkrečiomis kontrolės priemonėmis, kas paaiškina, kodėl sertifikas dažnai iš karto atsakys kelis klausimus iš sąrašo.