vår försäkringsgivare vill fylla i en cyberfragelista för försäkringen

Cyberförsäkringsgivare efterfrågar de tio åtgärderna från NIS2, inte etiketten

Cyberförsäkringsgivarens frågeformulär följer vanligtvis samma struktur som de tio åtgärderna i artikel 21 punkt 2 i NIS2-direktivet: riskanalys, incidenthantering, kontinuitet, leverantörskedjans säkerhet, sårbarhetshantering, testning, medvetenhet, kryptering, åtkomstpolicy och MFA. Försäkringsgivare använder denna indelning eftersom den de facto har blivit standard för att skilja mellan "grundläggande ordning" och "ohanterade risker" — inte för att försäkringsbrevet ålägger en juridisk NIS2-förpliktelse. Huruvida företaget själv omfattas av direktivet eller Cybersäkerhetslag är därför en separat fråga från frågan om försäkringsgivaren frågar om det.

För var och en av dessa tio punkter vill försäkringsgivaren ha ett konkret svar, ingen avsikt. Vid riskanalys väger en daterad riskregister tyngre än ett policysdokument utan genomförande. Vid MFA efterfrågar formuläret ofta specifikt e-post, VPN och administratörkonton separat — ett "ja" för hela företaget är då för grovt. Om en åtgärd saknas är "ännu inte implementerad, planerad för [datum]" ett mer användbart svar än ett osant "ja" eller ett tomt fält: försäkringsgivare värderar ofta transparenta luckor högre än en perfekt ifylld lista som vid ett skadereglering visar sig inte stämma.

Underlag: artikel 21 punkt 2 NIS2 och bilaga A till ISO 27001

De tio åtgärderna i artikel 21 punkt 2 NIS2 utgör ramen som nästan varje cyberförsäkringsgivare baserar sitt frågeformulär på, och den som redan är ISO/IEC 27001-certifierad känner igen samma kategorier i bilaga A till denna standard — med den skillnaden att ett ISO-certifikat en oberoende granskning av genomförandet lägger till, medan försäkringsgivaren inte granskar något själv och förlitar sig på självrapporteringen i formuläret.