náš pojišťovatel chce vyplnit kybernetický dotazník pro pojistku

Kyberpojišťovny se ptají na deset opatření NIS2, nikoli na označení

Kybernetický dotazník pojišťovny obvykle sleduje stejnou strukturu jako deset opatření z čl. 21 odst. 2 směrnice NIS2: analýza rizik, řešení incidentů, kontinuita, zabezpečení dodavatelského řetězce, správa zranitelností, testování, vědomí, šifrování, zásady přístupu a MFA. Pojišťovny používají toto rozdělení proto, že se de facto stalo standardem pro rozlišení mezi "základy v pořádku" a "rizika bez dohledu" — ne proto, že by pojistka ukládala právní povinnost podle NIS2. Zda se podnik sám vztahuje na směrnici nebo Zákon o kybernetické bezpečnosti je tudíž samostatná otázka ve vztahu k otázce, zda se na ni pojišťovna ptá.

U každého z těch deseti bodů si pojišťovna přeje konkrétní odpověď, nikoli úmysl. Při analýza rizik se datovaný registr rizik hodnotí hůře než dokument politiky bez provedení. Při MFA se seznam často konkrétně ptá na e-mail, VPN a účty pro správu samostatně — "ano" pro celou společnost je pak příliš obecné. Chybí-li opatření, pak je "ještě neimplementováno, plánováno na [datum]" použitelnější odpovědí než neupřímné "ano" nebo prázdné pole: pojišťovny oceňují častěji transparentní mezery než dokonale vyplněný seznam, který se při návrhu na vyplacení pojistného plnění ukáže jako nesprávný.

Zdůvodnění: čl. 21 odst. 2 NIS2 a Příloha A ISO 27001

Deset opatření z čl. 21 odst. 2 NIS2 tvoří rámec, na kterém prakticky každá kyberpojišťovna svůj dotazník zakládá, a kdo je již certifikován podle ISO/IEC 27001, pozná v Příloze A této normy stejné kategorie — s tím rozdílem, že certifikát ISO přidává nezávislé posouzení implementace, zatímco pojišťovna sama nic neověřuje a spoléhá se na vlastní hlášení v dotazníku.