segurador quer preencher lista de questões para seguro cibernético como faço

Os questionários de apólice de cibersegurança seguem as mesmas dez medidas

O questionário de um segurador cobre quase sempre o mesmo domínio que um questionário NIS2 de um cliente: controlo de acesso, MFA, cópias de segurança, política de correções, resposta a incidentes. Isto não é uma coincidência — os seguradores baseiam atualmente as suas perguntas de aceitação em grande medida nas dez medidas do artigo 21.º, n.º 2 da Diretiva NIS2, e nas medidas de controlo do Anexo A da ISO/IEC 27001. Quem já preencheu estes dois quadros para um cliente pode transferir as respostas praticamente inalteradas para o segurador. A diferença está no tom: um cliente pergunta sobre políticas, um segurador frequentemente faz perguntas um pouco mais específicas — por exemplo, se MFA é obrigatória para todas as contas de administrador, não apenas "presente".

Por isso, comece por complementar o dossier da cadeia nos pontos onde o segurador vai mais além do que é usual: autenticação multifator para sistemas empresariais, o procedimento em caso de incidente de segurança e a cópia de segurança e disposição de recuperação. Os seguradores também perguntam regularmente sobre o processo de correção; essa resposta encontra-se em o processo para vulnerabilidades. Se a empresa não tem certificação ISO 27001, isso em si geralmente não é um problema — os seguradores normalmente também aceitam uma descrição das medidas sem certificação, desde que as respostas sejam concretas e não apenas "sim, temos política".

Porque é que estes dois quadros se sobrepõem

A sobreposição é substantiva, não acidental: o artigo 21.º, n.º 2 da NIS2 menciona dez categorias de medidas (análise de risco, tratamento de incidentes, continuidade empresarial, segurança da cadeia, política de vulnerabilidades, criptografia, controlo de acesso, MFA, formação e teste da eficácia), e o Anexo A da ISO/IEC 27001 desenvolve temas praticamente idênticos em medidas de controlo testáveis. Os seguradores utilizam estes quadros como padrão objetivo porque estão documentados e são controláveis externamente — não porque o segurador se encontre ele próprio sob a Lei de Cibersegurança ou que o exija do cliente.