Нашия застраховател иска да попълни списък с въпроси относно кибербезопасността за полицата

Киберзастрахователите питат десетте мерки на NIS2, не етикета

Киберкопросът на застрахователя обикновено следва същата структура като десетте мерки от член 21, параграф 2 на Директива NIS2: анализ на риска, управление на инцидентите, приемственост, защита на веригата, управление на уязвимостите, тестване, повишаване на осведомеността, криптиране, политика на достъп и MFA. Застрахователите използват това разделение, защото е станало факт стандарт за разграничение между "база в ред" и "рискове неуправлявани" — не защото полицата налага законово задължение по NIS2. Дали самото предприятие попада под директивата или Закона за киберсигурност е следователно отделен въпрос от въпроса дали застрахователят пита по него.

За всяка от тези десет точки застрахователят желае конкретен отговор, не намерение. При анализ на риска се брои датиран регистър на рисковете по-тежко от политически документ без изпълнение. При MFA списъкът често специално пита за имейл, VPN и администраторски акаунти отделно — „да

за цялото предприятие, е твърде общо. Ако мярката липсва, то „още не е въведена, планирана за [дата]

Десетте мерки на член 21, параграф 2 на NIS2 формират рамката, върху която практически всеки застраховател в киберсигурността основава своя въпросник, и всеки, който вече е сертифициран по ISO/IEC 27001, разпознава същите категории в Приложение A на този стандарт — с тази разлика, че ISO сертификат независимо тестване на изпълнението се добавя, докато застрахователят сам не тества и разчита на самодокладване в списъка.