zoznam otázok sa pýta, či náš podnik má uzavretú kybernetickú poisť

Kybernetická poistka nie je náhradou za desať opatrení

Kybernetická poistka je finančným zabezpečením proti škode z incidentu, nie dôkazom úrovne bezpečnosti. Otázka na kybernetickú poistku zvyčajne nijako nesúvisí s otázkami na desať opatrení z článku 21 ods. 2 direktívy NIS2 — tie sa týkajú analýzy rizika, riešenia incidentov, kontinuity a prístupu. Klient, ktorý túto otázku položí, chce hlavne vedieť, či je finančná škoda v prípade incidentu krytá, nie či je bezpečnosť v poriadku. Toto rozlíšenie je dôležité pre odpoveď: "nie" na túto otázku nič nehovorí o odpovedi na otázku, či existuje postup pri bezpečnostných incidentoch alebo na otázku na zálohy a núdzové opatrenia.

Ak podnik nemá kybernetickú poistku, potom je "nie" fakticky správna odpoveď — nie je dôvod zmeniť to na "čiastočne" alebo "v riešení". Niektoré poistky kryjú len určité druhy škôd (napríklad prerušenie prevádzky, ale nie škodu na reputácii ani pokuty); ak je to relevantné pre zoznam otázok, zvyčajne sa to uvádza v samostatnej doplňujúcej otázke a nie v samotnej otázke áno/nie. Dbajte na to, aby poistka bola na meno správnej právnickej osoby: poistka materskej spoločnosti automaticky nekryje dcérsku spoločnosť, ktorá vyplňa zoznam otázok.

Prečo je to oddelené od opatrení NIS2

Desať opatrení z článku 21 ods. 2 direktívy NIS2 nespomína žiadnu povinnosť poistenia; popisujú technické a organizačné opatrenia, ako je správa rizika, kryptografia a kontrola prístupu. Príloha A normy ISO/IEC 27001 tiež neobsahuje kontrolné opatrenie, ktoré by bolo povinne postavené na poistke. Kybernetická poistka môže byť užitočným doplnkom opatrení, ktoré sú uvedené v politike analýzy rizika ale z právneho a normatívneho hľadiska ide o dve oddelené témy.