minha seguradora quer uma lista de perguntas sobre cibersegurança, como a preencho

A lista da seguradora geralmente cobre as dez medidas de NIS2

O questionário de uma seguradora é geralmente mais abrangente do que um formato de um cliente que se enquadra na Lei de Cibersegurança, mas cobre os mesmos temas. As seguradoras usam seu próprio questionário porque o prêmio e a cobertura dependem do risco, e essas perguntas se baseiam fortemente nas dez medidas do artigo 21º, nº 2 de NIS2: análise de risco, tratamento de incidentes, continuidade, cadeia, vulnerabilidades, teste, consciencialização, criptografia, política de acesso e MFA. Se reconheceres esse padrão, poderás geralmente reutilizar um-para-um as respostas que já estão no dossier da cadeia, mesmo que a seguradora use palavras diferentes da lista anterior.

Duas perguntas aparecem com mais frequência nas seguradoras do que nas listas de questionários normais de clientes: se a resposta a incidentes foi testada na prática (não apenas se existe um procedimento para incidentes de segurança, mas se também foi testado) e se existe um plano de recuperação concreto com tempo de recuperação para além da pergunta geral sobre cópias de segurança e medidas de emergência. Se não tiveres esse teste ou esse plano concreto, então "não" é a resposta correta — uma seguradora pergunta sobre a prática, não sobre a intenção. A ausência de um certificado ISO 27001 não é um problema em si: muitas seguradoras também aceitam as medidas isoladas sem certificação.

De onde vêm as dez medidas

A divisão em dez medidas consta do artigo 21º, nº 2 da Diretiva (UE) 2022/2555 e também se encontra no anexo A da ISO/IEC 27001, que detalha as mesmas medidas de controlo de forma mais pormenorizada. As seguradoras formulam as suas próprias perguntas frequentemente de forma menos rigorosa do que o texto da diretiva, mas a estrutura subjacente é a mesma — dez temas — é por isso que o preenchimento é mais rápido se souber qual a pergunta que corresponde a qual medida.