vår försäkringsgivare vill fylla i en cybersäkerhetsfrågelista för försäkringen

Cyberförsäkringsfrågeformulär täcker ofta samma tio punkter

Försäkringsbolagets frågeformulär överlappar till stor del med de tio åtgärderna i artikel 21 punkt 2 i NIS2: riskanalys, incidenthantering, kontinuitet, leverantörskedja, sårbarhetshantering, testning, medvetenhet, kryptografi, åtkomstkontroll och MFA. Försäkringsbolag ställer denna fråga inte för att företaget omfattas av NIS2 — det är ofta inte fallet — utan för att dessa tio punkter nu är den allmänna måttstocken för cybersäkerhet. Igenkännande av denna struktur gör ifyllningen snabbare: varje fråga kan spåras tillbaka till en av de tio, även om försäkringsbolaget använder egna formuleringar.

För bevishandlingar gäller: en fråga om åtkomstkontroll förväntar vanligtvis ett svar om åtkomstpolicy och hantering av företagstillgångar, oberoende av frågan om det också flerfaktorsautentisering är implementerat — försäkringsbolag ställer dessa två frågor ofta separat från varandra, även om svaret i praktiken hänger ihop. Om ett bevishandling saknas är "nej, ännu inte" ett giltigt svar på listan; försäkringsbolag väger detta in i premien, inte i acceptansen i sig. Ett ISO 27001-certifikat påskyndar ifyllningen avsevärt, eftersom Annex A-åtgärderna till stor del överlappar med dessa tio punkter — den som är certifierad kan för varje fråga hänvisa till motsvarande kontrollnummer i stället för att skriva en ny förklaring.

Ursprung till de tio åtgärderna och överlappningen med ISO 27001

De tio åtgärderna anges i artikel 21 punkt 2 i direktiv (EU) 2022/2555; den nederländska cybersäkerhetslag implementerar detta direktiv och förväntas träda i kraft den 15 augusti 2026, men åtgärderna själva används redan av försäkringsbolag före detta datum som referensram. ISO/IEC 27001 Annex A utvecklar samma ämnen vidare i konkreta kontroller, vilket förklarar varför ett certifikat ofta omedelbar besvarar flera frågor på listan.