Naša zavarovalnica želi izpolniti vprašalnik o kibernetski varnosti za polico

Zavarovalnice za kibernetsko varnost sprašujejo deset ukrepov NIS2, ne oznake

Vprašalnik o kibernetski varnosti zavarovalnice običajno sledi isti strukturi kot deset ukrepov iz člena 21(2) Direktive NIS2: analiza tveganja, obravnava incidentov, kontinuiteta, varnost verige, upravljanje ranljivosti, preizkušanje, ozaveščenost, šifriranje, politika dostopa in MFA. Zavarovalnice uporabljajo to razdelitev, ker je v praksi postala standard za razlikovanje med »osnovni red« in »nenadzorovana tveganja« — ne zato, ker polica nalaga zakonsko obveznost NIS2. Vprašanje, ali podjetje samo spada pod direktivo ali Zakon o kibernetski varnosti spada, je torej ločeno vprašanje od vprašanja, ali zavarovalnica o tem sprašuje.

Za vsakega od teh desetih točk želi zavarovalnica konkreten odgovor, ne namer. Pri analizo tveganja se datiran register tveganj šteje težje kot politični dokument brez izvajanja. Pri MFA seznam pogosto posebej sprašuje o e-pošti, VPN in upravnih računih posebej — »da« za celotno podjetje je tedaj premalo natančno. Če ukrep manjka, je »še ne uveden, načrtovan za [datum]« bolj uporaben odgovor kot neiskren »da« ali prazno polje: zavarovalnice pogosteje obračunavajo na podlagi prosojnih vrzeli kot na podlagi idealno izpolnjene liste, ki se ob zahtevku za škodo ne izkaže za resnično.

Utemeljitev: člen 21(2) NIS2 in Prilog A standarda ISO 27001

Deset ukrepov člena 21(2) NIS2 tvori okvir, na katerega skoraj vsaka zavarovalnica za kibernetsko varnost priredi svoj vprašalnik, in tisti, ki so že certificirani po ISO/IEC 27001, prepoznajo iste kategorije v Prilogu A tega standarda — z razliko, da certifikat ISO k izvajanju dodaja neodvisno preverjanje, medtem ko zavarovalnica sama ničesar ne preverja in se zanaša na samoporočanje v vprašalniku.