lista kontrolna pyta, czy jesteśmy ubezpieczeni od incydentów cybernetycznych

Ubezpieczenie cybernetyczne nie zastępuje środków, lecz jest osobnym pytaniem

Ubezpieczenie cybernetyczne jest niezależne od dziesięciu środków z artykułu 21 ust. 2 dyrektywy NIS2 i niezależne od Załącznika A normy ISO/IEC 27001. Pytanie, czy jesteś ubezpieczony od incydentów cybernetycznych, dotyczy ochrony finansowej po incydencie, a nie jakości bezpieczeństwa przed incydentem. Niektórzy klienci zadają to pytanie jako osobne, inni wykorzystują je jako pośredni test: ubezpieczyciel zwykle nie udzieli polisy bez minimalnych środków podstawowych, więc "tak, ubezpieczony" czasami odczytywane jest jako pośredni dowód pewnego poziomu dojrzałości. To założenie strony pytającej, a nie norma zawarta w cytowanych źródłach.

Jeśli masz polisę, odpowiedź "tak" można uzasadnić, gdy posiadasz polisę lub certyfikat ubezpieczenia jako dowód. Jeśli nie masz polisy, "nie" jest faktycznie prawidłową odpowiedzią — pytanie uzupełniające dotyczące środków kompensacyjnych zwykle zadawane jest osobno, na przykład dotyczące procedurą obsługi incydentów bezpieczeństwa czy dotyczącymi kopii zapasowych i procedur awaryjnych do odzyskania danych. Jeśli wątpisz, czy pytanie dotyczy samej polisy czy leżącej u jej podstaw ochrony (na przykład ochrony przed ransomware'em czy przerwą w działalności), przeczytaj tekst pytania dosłownie: "ubezpieczony od incydentów cybernetycznych" jest szersze niż "zawarta umowa ubezpieczenia cybernetycznego", a dossier łańcucha dostaw musi pokryć odpowiedź na zadane pytanie, a nie na pytanie pokrewne.

Żaden z trzech źródeł nie wymaga ubezpieczenia cybernetycznego

Ani artykuł 21 ust. 2 dyrektywy NIS2, ani Załącznik A normy ISO/IEC 27001, ani Ustawa o cyberbezpieczeństwie nie wymieniają obowiązku ubezpieczenia. Dziesięć środków z dyrektywy NIS2 dotyczą zarządzania ryzykiem, obsługi incydentów, ciągłości biznesu i podobnych kwestii — ubezpieczenie nie jest w nich wymieniane. Załącznik A również nie zawiera środka kontrolnego, który by wymagał ubezpieczenia. Klient, który pyta o ubezpieczenie, robi to zatem z własnej inicjatywy, niezależnie od niniejszych przepisów; odpowiedź pozostaje zatem pytaniem faktycznym tak/nie z polisą jako dowodem, a nie pytaniem compliance'owym z ustawowym minimum.