můj pojišťovatel chce dotazník o kybernetické bezpečnosti, jak ho vyplním

Seznam pojišťovny obvykle pokrývá deset opatření z NIS2

Dotazník pojišťovny je obvykle širší než formát klienta, který sám podléhá Zákonu o kybernetické bezpečnosti, ale pokrývá stejná témata. Pojišťovny používají svůj vlastní dotazník, protože pojistné a krytí závisí na riziku, a tyto otázky se silně opírají o deset opatření z článku 21 odst. 2 NIS2: analýza rizik, řešení incidentů, kontinuita, řetězec, zranitelnosti, testování, povědomí, kryptografie, zásady přístupu a vícefaktorové ověření. Pokud si ten vzorec uvědomíš, pak můžeš odpovědi, které už jsou v řetězovém spisu, obvykle použít jedna ku jedné, i když pojišťovna používá jiná slova než předchozí seznam.

Dvě otázky se u pojišťoven vyskytují častěji než u běžných dotazníků klientů: zda byla plán reagování na incidenty cvičena (nejen zda existuje postup pro bezpečnostní incidenty, ale zda byl také testován) a zda existuje konkrétní plán obnovy s dobou obnovy vedle obecné otázky o zálohování a nouzové opatření. Pokud toto cvičení nebo konkrétní plán nemáte, pak je "ne" správnou odpovědí — pojišťovna se ptá na praxi, ne na záměr. Chybí-li certifikát ISO 27001, není to samo o sobě problém: mnoho pojišťoven akceptuje i jednotlivá opatření bez certifikace.

Odkud pochází deset opatření

Rozdělení na deset opatření je uvedeno v článku 21 odst. 2 směrnice (EU) 2022/2555 a je také obsaženo v příloze A normy ISO/IEC 27001, která stejná kontrolní opatření rozpracovává podrobněji. Pojišťovny si obvykle formulují své otázky volněji než text směrnice, ale základní struktura je stejných deset témat — proto je vyplňování rychlejší, pokud víte, která otázka patří kterému opatření.