въпросникът пита дали сме застраховани срещу киберинциденти

Кибер застраховката не е замяна на мерките, а отделен въпрос

Кибер застраховката е отделена от десетте мерки от член 21, параграф 2 на NIS2 и отделена от Приложение A на ISO/IEC 27001. Въпросът дали сте застраховани срещу киберинциденти се отнася до финансова защита след инцидент, а не до качеството на вашата защита предварително. Някои клиенти задават това като отделен въпрос, други го използват като косвена проверка: застраховател обикновено не приема полица без минимални основни мерки, така че "да, застрахован" понякога се чете като имплицитно доказателство за определен ред. Това е предположение на питащата страна, а не норма от цитираните източници.

Ако имаш полица, отговорът "да" може да бъде подкрепен, щом имаш полицата или застраховалния сертификат като доказателство. Ако нямаш полица, "не" е фактически правилният отговор — последващ въпрос за компенсаторни мерки обикновено се задава отделно, например за процедурата за обработка на инциденти в областта на сигурността или за резервни копия и аварийни решения за възстановяване. Ако се съмняваш дали въпросът се отнася до самата полица или до основната защита (например защита при ransomware срещу прекъсване на дейността), прочети буквално текста на въпроса: "застрахован срещу киберинциденти" е по-широко от "кибер застраховка сключена", и верижният досие трябва да покрива отговора на зададения въпрос, а не на свързан въпрос.

Нито един от трите източника не задължава кибер застраховка

Нито NIS2 член 21, параграф 2, нито Приложение A на ISO/IEC 27001, нито Законът за кибербезопасност не споменават застраховалното задължение. Десетте мерки на NIS2 се отнасят до управление на рисковете, справяне с инциденти, непрекъснатост на дейността и подобни — застраховка там не фигурира. Приложение A също така не съдържа мярка за управление, която конкретно да налага застраховка. Клиент, който пита за застраховка, го прави по своя инициатива, отделено от този нормативен акт; отговорът остава затова фактически да/не въпрос с полица като доказателство, а не въпрос за съответствие с определена законна граница.