Naša zavarovalnica želi izpolniti seznam vprašanj o kibernetski varnosti za polico

Vprašalnik o kibernetski polici pogosto pokriva ista deset točk

Vprašalnik zavarovalnice se v veliki meri prekriva z desetimi ukrepi iz člena 21 odstavka 2 NIS2: analiza tveganja, obravnava incidentov, kontinuiteta, veriga, upravljanje ranljivosti, preverjanje, ozaveščanje, kriptografija, politika dostopa in MFA. Zavarovalnice to ne sprašujejo zato, ker je podjetje zajeto v NIS2 — to pogosto ni tako — ampak ker so te deset točk medtem postale splošni merilo za kibernetsko tveganje. Prepoznavanje te strukture pohitri izpolnjevanje: vsako vprašanje je mogoče slediti eni od desetih, tudi če zavarovalnica uporablja lastne besede.

Za dokazila velja: vprašanje o upravljanju dostopa običajno pričakuje odgovor o politiko dostopa in upravljanje sredstev podjetja, neodvisno od vprašanja, ali je tudi večfaktorska avtentifikacija vzpostavljeno — zavarovalnice ta dva pogosto sprašujejo ločeno, tudi če je odgovor v praksi povezan. Če manjka del, je »ne, še ne« veljaven odgovor na seznamu; zavarovalnice to tehtajo pri premiji, ne pri sprejemanju kot takem. Certifikat ISO 27001 močno pospeši izpolnjevanje, ker ukrepi Prilogo A se v veliki meri prekrivajo s temi deseti točkami — tisti, ki so certificirani, lahko za vsako vprašanje napotijo na ustrezno kontrolno številko namesto da bi napisali novo razlago.

Izvor desetih ukrepov in prekrivanje z ISO 27001

Deset ukrepov je navedenih v členu 21 odstavka 2 Direktive (EU) 2022/2555; nizozemski zakon o kibernetski varnosti prenaša to direktivo in se pričakuje, da bo stopil v veljavo 15. avgusta 2026, vendar zavarovalnice te ukrepe že pred tem datumom uporabljajo kot referenčni okvir. ISO/IEC 27001 Prilogo A te teme razvija naprej v konkretne nadzorne ukrepe, kar pojasnjuje, zakaj certifikat pogosto takoj odgovori na več vprašanj na seznamu.