klient pyta, czy jesteśmy ubezpieczeni od cyberszkoód

Ubezpieczenie cybernetyczne samo w sobie nie jest środkiem NIS2

Ubezpieczenie cybernetyczne nie znajduje się na liście artykułu 21 ust. 2 dyrektywy NIS2. Dziesięć środków z tego artykułu dotyczy analizy ryzyka, obsługi incydentów, ciągłości działalności, bezpieczeństwa łańcucha dostaw, polityki dostępu i podobnych kwestii — polisa ubezpieczeniowa nie jest środkiem bezpieczeństwa, lecz sposobem na pokrycie pozostałych strat finansowych. Niemniej jednak pytanie to pojawia się często w kwestionariuszach klientów i samych ubezpieczycieli, ponieważ polisa coś mówi o tym, jak dojrzale przedsiębiorstwo podchodzi do ryzyka. W normie ISO/IEC 27001 obserwujemy to samo: Załącznik A nie zawiera środka kontroli "ubezpieczenie", ale postępowanie z ryzykiem — którego ubezpieczenie jest uznaną formą obok redukcji, unikania i akceptacji — jest częścią systemu zarządzania.

To, czy musisz być ubezpieczony, nie zależy zatem od samych dziesięciu środków, lecz od tego, co w praktyce chce wiedzieć Twój klient: czy masz ochronę finansową, jeśli coś pójdzie nie tak, czy przede wszystkim masz podstawy w porządku? Te dwa pytania w większości list są zadawane niezależnie od siebie. Rozpoznaj wzorzec: jeśli pytanie znajduje się w bloku dotyczącym zarządzania ryzykiem, często pytania dotyczą uzasadnienia polityki analizy ryzyka i bezpieczeństwa systemów informacyjnych. Jeśli pytanie stoi osobno, jako oddzielny wiersz dotyczący odporności finansowej, wystarczy rzeczowa odpowiedź na temat samej polisy — jeśli jej nie posiadasz, właściwą odpowiedzią jest "nie", nawet jeśli to wydaje się brakiem.

Skąd to pochodzi: artykuł 21 ust. 2 i Załącznik A

Artykuł 21 ust. 2 dyrektywy NIS2 wymienia dziesięć obowiązkowych środków w sposób wyczerpujący; ubezpieczenie nie jest wśród nich, również nie pośrednio w ramach ciągłości — to dotyczy kopie zapasowe i środki awaryjne w celu przywrócenia świadczenia usług, nie o rekompensatę finansową po fakcie. W Załączniku A normy ISO/IEC 27001 leczenie ryzyka jest wyraźnym elementem systemu zarządzania, a ubezpieczenie jest w nim uznaną opcją leczenia obok środków technicznych i organizacyjnych. Cyberbezpieczeństwo Ustawa, która transpozycja NIS2 w Holandii i wejdzie w życie 15 sierpnia 2026 r., powtarza dziesięć środków zawartych w dyrektywie bez dodawania obowiązku ubezpieczenia.