Náš poisťovateľ chce vyplniť zoznam kybernetických otázok na poistku

Kybernetickí poisťovatelia požadujú desať opatrení z NIS2, nie oznámenie

Kybernetický dotazník poisťovne zvyčajne sleduje rovnakú štruktúru ako desať opatrení z článku 21 ods. 2 smernice NIS2: analýza rizík, spracovanie incidentov, kontinuita, bezpečnosť reťazca, správa zraniteľností, testovanie, povedomie, šifrovanie, politika prístupu a MFA. Poisťovatelia používajú toto rozdelenie, pretože sa de facto stalo štandardom na rozlíšenie medzi "základom v poriadku" a "neovládanými rizikami" — nie preto, že by poistka ukladala právne povinnosti podľa NIS2. To, či podnik sám spadá pod smernicu alebo zákon o kybernetickej bezpečnosti je teda oddelená otázka od otázky, či o ňu poisťovňa pýta.

Pre každý z týchto desiatich bodov chce poisťovňa konkrétnu odpoveď, nie zámer. Pri analýza rizika počíta sa datovaný register rizík viac ako politický dokument bez realizácie. Pri MFA dotazník často konkrétne pýta na e-mail, VPN a účty správcu zvlášť — "áno" pre celý podnik je potom príliš hrubé. Ak chýba opatrenie, potom "ešte nezaviedené, plánované na [dátum]" je užitočnejšia odpoveď ako nepoctivé "áno" alebo prázdne pole: poisťovatelia častejšie oceňujú transparentné nedostatky ako perfektne vyplnený dotazník, ktorý sa pri nároku ukáže ako nepresný.

Odôvodnenie: článok 21 ods. 2 NIS2 a príloha A ISO 27001

Desať opatrení z článku 21 ods. 2 smernice NIS2 tvorí rámec, na ktorý takmer každý kybernetický poisťovateľ postaví svoj dotazník, a kto má už certifikáciu ISO/IEC 27001, spozná rovnaké kategórie v prílohe A tejto normy — s tým rozdielom, že certifikát ISO pridáva nezávislé testovanie realizácie, kým poisťovňa sama nič netestuje a spolieha sa na samohlášenie v dotazníku.