nossa seguradora quer preencher um questionário de segurança cibernética para a apólice

Questionário de apólice cibernética cobre frequentemente os mesmos dez pontos

O questionário de um segurador sobrepõe-se em grande medida às dez medidas do artigo 21.º, n.º 2 da NIS2: análise de risco, tratamento de incidentes, continuidade, cadeia, gestão de vulnerabilidades, testes, sensibilização, criptografia, política de acesso e MFA. As seguradoras não fazem estas perguntas porque a empresa está abrangida pela NIS2 — muitas vezes não está — mas porque estes dez pontos se tornaram entretanto o padrão comum para o risco cibernético. O reconhecimento dessa estrutura torna o preenchimento mais rápido: cada pergunta pode ser rastreada até uma das dez, mesmo se a seguradora usar formulações próprias.

Para documentação de suporte: uma pergunta sobre controlo de acesso geralmente requer uma resposta sobre a política de acesso e a gestão de ativos, independentemente de a autenticação multifator ter sido implementado — as seguradoras frequentemente fazem estas duas perguntas separadamente, mesmo que a resposta na prática esteja interligada. Se um documento está em falta, então "não, ainda não" é uma resposta válida na lista; as seguradoras ponderam isto no prémio, não na aceitação em si. Um certificado ISO 27001 acelera consideravelmente o preenchimento, porque as medidas do Anexo A sobrepõem-se em grande medida com estes dez pontos — quem está certificado pode, para cada pergunta, fazer referência ao número de controlo correspondente em vez de escrever um novo esclarecimento.

Origem das dez medidas e sobreposição com ISO 27001

As dez medidas estão enumeradas no artigo 21.º, n.º 2 da Diretiva (UE) 2022/2555; a Lei de Cibersegurança Holandesa transpõe essa diretiva e deverá entrar em vigor em 15 de agosto de 2026, mas as medidas em si já estão a ser utilizadas pelas seguradoras como quadro de referência antes dessa data. ISO/IEC 27001 Anexo A desenvolve os mesmos tópicos em medidas de controlo concretas, o que explica por que é que um certificado frequentemente responde imediatamente a múltiplas perguntas na lista.