mūsu apdrošinātājs vēlas aizpildīt kiberdrošības jautājumnicku polisai

Kibernespējības polises jautājumiskā parasti aptver tūs pašus desmit punktus

Apdrošinātāja jautājumiskā lielā mērā pārklājas ar desmit pasākumiem no NIS2 direktīvas 21. panta 2. punkta: riska analīze, incidentu apstrāde, nepārtrauktība, piegādes ķēde, ievainojamības pārvaldīšana, testēšana, izpratnes vairošana, kriptogrāfija, piekļuves politika un MFA. Apdrošinātāji to vaicā nevis tāpēc, ka uzņēmums ietilpst NIS2 darbības jomā — tas bieži nav tā — bet gan tāpēc, ka šie desmit punkti ir kļuvuši par pamatstandartu kibernespēju riska novērtēšanā. Šīs struktūras atpazīšana paātrina aizpildīšanu: katrs jautājums ir izsekojams vienam no desmit punktiem, pat ja apdrošinātājs lieto savu formulējumu.

Pierādījumiem attiecībā uz to: jautājums par piekļuves kontroli parasti vēlas atbildi par piekļuves politiku un uzņēmuma līdzekļu pārvaldi, neatkarīgi no tā, vai ir arī vairāku faktoru autentifikācija ieviests — apdrošinātāji šos divus parasti jautā atsevišķi, pat ja praksē atbilde ir savstarpēji saistīta. Ja daļa trūkst, tad "nē, vēl ne" ir derīga atbilde jautājumiskā; apdrošinātāji to ņem vērā prēmijas aprēķinā, nevis pieņemšanā pēc sevis. ISO 27001 sertifikāts ievērojami paātrina aizpildīšanu, jo Annex A pasākumi lielā mērā pārklājas ar šiem desmit punktiem — kurš ir sertificēts, var par katru jautājumu atsaukties uz atbilstošo kontroles numuru, nevis rakstīt jaunu skaidrojumu.

Desmit pasākumu izcelsme un pārklāšanās ar ISO 27001

Desmit pasākumi ir uzskaitīti Direktīvas (ES) 2022/2555 21. panta 2. punktā; Nīderlandes Kiberdrošības likums pārvērš šo direktīvu un paredzams spēkā stājas 2026. gada 15. augustā, bet paši pasākumi jau pirms šī datuma apdrošinātāju tiek izmantoti kā atsauces rāmis. ISO/IEC 27001 Annex A attīsta tūs pašus virsuzdevumus betonos drošības pasākumos, kas izskaidro, kāpēc sertifikāts bieži vienā reizē atbild vairākiem jautājumiem jautājumiskā.