Naša poisťovňa chce vyplniť bezpečnostný dotazník kybernetickej bezpečnosti na poistku

Kysť na kybernetickú poistku často pokrýva rovnaký desať bodov

Kysť poisťovne sa z veľkej časti prekrýva s desiatimi opatreniami z článku 21 odseku 2 smernice NIS2: analýza rizík, riešenie incidentov, kontinuita, reťazec, správa zraniteľností, testovanie, povedomie, kryptografia, politika prístupu a MFA. Poisťovne to nepytajú preto, že podnik podľa NIS2 podlieha — zvyčajne to nie je tak — ale pretože týchto desať bodov je medzitým bežnou mierou kybernetického rizika. Rozpoznanie tejto štruktúry urýchľuje vyplnenie: každú otázku je možné vysledovať na jeden z desiatich bodov, aj keď poisťovňa používa vlastné formulácie.

Pri dôkazných materiáloch platí: otázka o kontrole prístupu zvyčajne chce odpoveď na tému politike prístupu a správe podnikových aktív, nezávisle od otázky, či tiež viacfaktorové overovanie je nastavená — poisťovne tieto dve často pýtajú oddelene od seba, aj keď odpoveď v praxi súvisí. Ak chýba nejaký kus, potom "nie, zatiaľ nie" je platná odpoveď na zozname; poisťovne to berú do úvahy pri prémii, nie pri akceptácii samotnej. Certifikát ISO 27001 vyplnenie výrazne urýchľuje, pretože opatrenia Prílohy A sa z veľkej časti prekrývajú s týmito desiatimi bodmi — kto je certifikovaný, môže na každú otázku odkázať na príslušné číslo kontroly namiesto toho, aby napísal nové vysvetlenie.

Pôvod desiatich opatrení a prekrytie s ISO 27001

Desať opatrení je uvedených v článku 21 odseku 2 smernice (EÚ) 2022/2555; holandský zákon o kybernetickej bezpečnosti túto smernicu transformuje a podľa očakávania vstúpi v platnosť 15. augusta 2026, ale samotné opatrenia už pred týmto dátumom poisťovne používajú ako referenčný rámec. ISO/IEC 27001 Príloha A ďalej rozpracováva rovnaké témy v konkrétne riadiace opatrenia, čo vysvetľuje, prečo certifikát často okamžite odpovie na niekoľko otázok na zozname.