min försäkringsgivare vill ha en cybersäkerhetsenquête, hur fyller jag i den

Försäkringsgivarens lista täcker ofta de tio åtgärderna från NIS2

Försäkringsgivarens frågeformulär är vanligtvis bredare än ett format från en kund som själv omfattas av cybersäkerhetslagens tillämpningsområde, men täcker samma teman. Försäkringsgivare använder sitt eget frågeformulär eftersom premie och täckning beror på risken, och dessa frågor bygger starkt på de tio åtgärderna i artikel 21 punkt 2 i NIS2: riskanalys, incidenthantering, affärskontinuitet, leverantörskedja, säkerhetsproblem, tester, medvetenhet, kryptering, åtkomstkontroll och MFA. Om du känner igen det mönstret kan du vanligtvis återanvända de svar som redan finns i kedjemappen en-till-en, även om försäkringsgivaren använder andra ord än den tidigare listan.

Två frågor förekommer oftare hos försäkringsgivare än i vanliga kundfrågeformulär: huruvida incidentberedskapen har övats (inte bara om det finns ett förfarande för säkerhetshändelser, utan om det också har testats) och huruvida det finns en konkret återställningsplan med återställningstid vid sidan av den allmänna frågan om säkerhetskopior och nödåtgärder. Om du inte har genomfört denna övning eller saknar denna konkreta plan är "nej" det rätta svaret — en försäkringsgivare frågar efter praktiken, inte efter avsikten. Om ett ISO 27001-certifikat saknas är det inte ett problem i sig: många försäkringsgivare accepterar de enskilda åtgärderna även utan certifiering.

Var de tio åtgärderna kommer ifrån

Indelningen i tio åtgärder återfinns i artikel 21 punkt 2 i Europaparlamentets och rådets direktiv (EU) 2022/2555 och återfinns också i bilaga A till ISO/IEC 27001, som utvecklar samma kontrollåtgärder i mer detalj. Försäkringsgivare formulerar ofta sina egna frågor lösare än direktivtexten, men den underliggande strukturen är samma tio ämnen — därför går det snabbare att fylla i om du vet vilken fråga som motsvarar vilken åtgärd.