asiguratorul nostru vrea să completeze un chestionar de securitate cibernetică pentru polița

Asiguratorii de ciber solicită cele zece măsuri din NIS2, nu eticheta

Chestionarul de ciber al unui asigurator urmează de obicei aceeași structură ca cele zece măsuri din articolul 21 alineatul 2 din Directiva NIS2: analiza riscurilor, gestionarea incidentelor, continuitate, securitate în lanț, gestionarea vulnerabilităților, testare, conștientizare, criptare, politica de acces și MFA. Asiguratorii utilizează această clasificare deoarece a devenit standard de facto pentru distincția dintre "bază în regulă" și "riscuri negestionate" — nu pentru că polița impune o obligație legală conform NIS2. Dacă întreprinderea însuși cade sub incidența directivei sau Legii de ciber-securitate este deci o întrebare separată de întrebarea dacă asiguratorul o pune.

Pentru fiecare dintre aceste zece puncte, asiguratorul dorește un răspuns concret, nu o intenție. În analiza riscurilor contează mai mult un registru de riscuri datat decât un document de politică fără implementare. La MFA lista cere adesea specific e-mail, VPN și conturi de administrare separat — "da" pentru întreaga întreprindere este prea vag. Dacă o măsură lipsește, atunci "încă nu este implementată, planificată pentru [dată]" este un răspuns mai util decât un "da" mincinos sau un câmp gol: asiguratorii apreciază mai des lacunele transparente decât o listă perfect completată care se dovedește a fi incorectă la un sinistru.

Justificare: articolul 21 alineatul 2 NIS2 și Anexa A a ISO 27001

Cele zece măsuri din articolul 21 alineatul 2 NIS2 formează cadrul pe care aproape fiecare asigurator de ciber îl bazează pe chestionarul său, și oricine este deja certificat ISO/IEC 27001 recunoaște aceleași categorii în Anexa A a acelei norme — cu diferența că un certificat ISO adaugă o evaluare independentă a implementării, în timp ce asiguratorul însuși nu evaluează nimic și se bazează pe auto-raportarea din listă.