min cyberförsäkringsgivare skickar en omfattande enkät, vad måste jag fylla i

Cyberförsäkringsgivare efterfrågar samma tio åtgärder som NIS2

En omfattande säkerhetsfråga från en cyberförsäkringsgivare överlappar till stor del med de tio åtgärderna i artikel 21 stycke 2 i NIS2-direktivet: riskanalys, hantering av incidenter, verksamhetskontinuitet, kedjebäring, sårbarhetshantering, krypteringspolicy, åtkomststyrning och MFA. Försäkringsgivare använder denna indelning inte för att de måste rapportera under direktivet, utan för att det är en användbar riskindicator för premie och täckning. Om du känner igen denna indelning i frågorna kan du till stor del återvända till det du redan har dokumenterat för andra mottagare.

Där det blir svårare: försäkringsgivare frågar ofta något mer konkret än en kund som bara vill veta "har ni en incidentprocedur". De vill till exempel veta om det finns en procedur för hantering av säkerhetshändelser inklusive rapporteringsterminer och eskaleringsvägar, eller de följer upp på effektiviteten i säkerhetsåtgärderna — alltså inte bara om policyn finns, utan om den någonsin har testats. Om du inte har något bevis, svara då faktiskt: "ännu inte formaliserat" eller "under utveckling" är bättre än ett ja som du inte kan stödja vid ett krav.

ISO 27001 som kortare väg genom listan

Om du har ett ISO 27001-certifikat täcker det en stor del av frågorna på en gång, eftersom åtgärderna i Annex A motsvarar nästan en-till-en vad försäkringsgivare efterfrågar. Ange certifikatet explicit där det frågas om företaget är ISO 27001-certifierat och hänvisa till motsvarande revisionsrapport för de underliggande åtgärderna om försäkringsgivaren frågar efter det — det sparar ofta en separat förklaring per fråga.

Var detta följer från: artikel 21 punkt 2 och Annex A

De tio åtgärdskategorierna finns i artikel 21 stycke 2 i Direktiv (EU) 2022/2555 (NIS2); den nederländska genomförandet genomförs via cybersäkerhetsslagen, som träder i kraft den 15 augusti 2026. Motsvarande indelning av kontrolltillägg finns i Annex A av ISO/IEC 27001. Försäkringsgivare är inte bundna av någon av dessa — frågorna är ett eget riskinstrument — men överlappningen i indelning är ingen slump: båda källorna beskriver vad som i praktiken räknas som basissäkerhet.