enkäten frågar om vi är försäkrade mot cyberincidenter

Cyberförsäkring är ingen ersättning för åtgärder, utan en separat fråga

En cyberförsäkring står skild från de tio åtgärderna i artikel 21 stycke 2 i NIS2 och skild från Annex A i ISO/IEC 27001. Frågan om du är försäkrad mot cyberincidenter handlar om finansiell täckning efter en incident, inte om kvaliteten på din säkerhet innan. Vissa kunder ställer denna fråga som en separat fråga, andra använder den som ett indirekt test: en försäkringsgivare accepterar vanligtvis ingen försäkring utan att minimala grundläggande åtgärder är på plats, så "ja, försäkrad" läses ibland som ett implicit bevis på en viss mognad. Det är ett antagande från den frågande parten, inte en norm från de nämnda källorna.

Har du en försäkring, kan svaret "ja" underbyggas så snart du har försäkringen eller försäkringscertifikatet som bevisning. Har du ingen försäkring, är "nej" det faktiskt korrekta svaret — en följdfråga om kompenserande åtgärder ställs vanligtvis separat, till exempel om förfarandet för hantering av säkerhetstillbud eller om säkerhetskopior och nödåtgärder för återställning. Om du är osäker på om frågan handlar om försäkringen själv eller om den underliggande täckningen (till exempel täckning för utpressning mot affärsavbrott), läs då frågans ordagrant text: "försäkrad mot cyberincidenter" är bredare än "cyberförsäkring tecknad", och kedjedokumentet måste täcka svaret på den ställda frågan, inte på en relaterad fråga.

Ingen av de tre källorna föreskriver en cyberförsäkring

Varken NIS2 artikel 21 stycke 2, Annex A i ISO/IEC 27001 eller cybersäkerhetslagens nämner en försäkringsskyldighet. De tio åtgärderna i NIS2 handlar om riskhantering, incidenthantering, affärskontinuitet och liknande — en försäkring förekommer inte där. Annex A innehåller heller ingen kontrollåtgärd som specifikt kräver en försäkring. En kund som frågar om försäkring gör det således på eget initiativ, skilt från denna regelgivning; svaret förblir därför en faktisk ja/nej-fråga med en försäkring som bevisning, inte en compliance-fråga med en laglig minsta nivå.