lista de perguntas questiona se a nossa empresa contratou um seguro cibernético

Seguro cibernético não é substituição para as dez medidas

Um seguro cibernético é uma provisão financeira contra danos decorrentes de um incidente, não é prova de nível de segurança. A pergunta sobre seguro cibernético geralmente está separada das perguntas sobre as dez medidas do artigo 21.º, n.º 2 da NIS2 — que tratam de análise de risco, tratamento de incidentes, continuidade e acesso. Um cliente que faz essa pergunta quer principalmente saber se os danos financeiros num incidente estão cobertos, não se a segurança está em ordem. Essa distinção é importante para a resposta: "não" nesta pergunta não diz nada sobre a resposta a a pergunta se existe um procedimento para incidentes de segurança ou sobre a pergunta sobre cópias de segurança e disposições de emergência.

Se a empresa não tem seguro cibernético, então "não" é a resposta factualmente correta — não há razão para contornar isso com "parcialmente" ou "em andamento". Algumas apólices cobrem apenas determinados tipos de danos (por exemplo, interrupção de negócios, mas não dano reputacional ou multas); se isso for relevante para o questionário, geralmente aparece numa pergunta de esclarecimento separada e não na própria pergunta sim/não. Tenha cuidado para que a apólice esteja em nome da entidade correta: um seguro da empresa-mãe não cobre automaticamente a filial que está preenchendo o questionário.

Por que isto está separado das medidas NIS2

As dez medidas do artigo 21.º, n.º 2 da diretiva NIS2 não mencionam uma obrigação de seguro; descrevem medidas técnicas e organizacionais como gestão de risco, criptografia e controlo de acesso. O Anexo A da ISO/IEC 27001 também não inclui uma medida de controlo que imponha um seguro. Um seguro cibernético pode ser útil como complemento às medidas que estão estabelecidas em a política de análise de risco mas juridicamente e normativamente são dois temas separados.