asigurătorul meu de securitate cibernetică trimite un chestionar cuprinzător, ce trebuie să completez

Asiguratorii de cyber pun aceleași zece măsuri ca NIS2

O listă extinsă de întrebări de securitate de la un asigurator de cyber se suprapune în mare măsură cu cele zece măsuri din articolul 21 alineatul 2 al Directivei NIS2: analiza riscurilor, gestionarea incidentelor, continuitatea operațională, securitatea lanțului de aprovizionare, gestionarea vulnerabilităților, politica de criptografie, controlul accesului și MFA. Asiguratorii nu folosesc această structură pentru că trebuie să raporteze conform directivei, ci pentru că aceasta este un indicator de risc util pentru primă și acoperire. Dacă recunoști această structură în chestionar, poți recurge în mare măsură la ceea ce ai deja documentat pentru alți clienți.

Aici devine mai dificil: asiguratorii pun adesea întrebări puțin mai concrete decât un client care dorește doar să știe "aveți o procedură de incident". Doresc să știe de exemplu dacă există o procedură pentru tratarea incidentelor de securitate inclusiv termenele de notificare și căile de escaladare, sau pun întrebări suplimentare despre eficacitatea măsurilor de securitate — nu doar dacă politica există, ci dacă aceasta a fost vreodată testată. Dacă nu ai o dovadă, răspunde cu fapte: "încă nu formalizat" sau "în dezvoltare" este mai bun decât un da pe care nu îl poți susține în caz de sinistru.

ISO 27001 ca cale mai scurtă prin lista de întrebări

Dacă aveți un certificat ISO 27001, acesta acoperă o mare parte din chestionarul de securitate dintr-o singură dată, deoarece măsurile din Anexa A se aliniază aproape exact cu ceea ce asiguratorii solicită. Menționați certificatul explicit acolo unde se întreabă dacă organizația este certificată ISO 27001 și trimiteti la raportul de audit corespunzător pentru măsurile de bază atunci când asiguratorul o cere — aceasta economisește adesea o explicație separată pentru fiecare întrebare.

De unde rezultă aceasta: articolul 21 alineat 2 și Anexa A

Cele zece categorii de măsuri sunt stabilite în articolul 21 alineatul 2 al Directivei (UE) 2022/2555 (NIS2); transpunerea olandeză urmează prin intermediul Legii privind securitatea cibernetică, care intră în vigoare pe 15 august 2026. Structura comparabilă a măsurilor de control se regăsește în Anexa A a ISO/IEC 27001. Asiguratorii nu sunt obligați de niciunul dintre cele două instrumente — chestionarul este un instrument de risc propriu — dar suprapunerea în structură nu este întâmplătoare: ambele surse descriu ceea ce se consideră în practică securitate de bază.