Dotazník se ptá, zda jsme pojištěni proti kybernetickým incidentům

Kybernetické pojištění není náhrada za opatření, ale samostatná otázka

Kybernetické pojištění je odděleno od deseti opatření z článku 21 odstavce 2 směrnice NIS2 a od přílohy A normy ISO/IEC 27001. Otázka, zda jste pojištěni proti kybernetickým incidentům, se týká finanční ochrany po incidentu, nikoli kvality vašeho zabezpečení předem. Někteří zákazníci si to kladou jako samostatnou otázku, jiní ji používají jako nepřímý test: pojišťovna obvykle nepřijímá pojistku bez minimálních základních opatření, takže "ano, pojištěni" se někdy čte jako nepřímý důkaz určité zralosti. Je to předpoklad dotazující se strany, ne norma z citovaných zdrojů.

Máte-li pojistku, lze odpověď "ano" podložit jakmile máte pojistku nebo pojistný certifikát jako důkazní materiál. Nemáte-li pojistku, pak je "ne" fakticky správná odpověď — doplňující otázka o kompenzačních opatřeních se obvykle klade zvlášť, například o postupem pro řešení bezpečnostních incidentů nebo o zálohách a nouzových opatřeních pro obnovu. Máte-li pochybnosti, zda se otázka týká samotné pojistky nebo základní ochrany (například ochrana proti ransomwaru versus přerušení činnosti), čtěte text otázky doslova: "pojištěni proti kybernetickým incidentům" je šíře než "sjednána kybernetická pojistka", a řetězcový spis musí pokrýt odpověď na položenou otázku, ne na související otázku.

Žádný ze tří zdrojů nevyžaduje kybernetické pojištění

Ani článek 21 odstavec 2 směrnice NIS2, ani příloha A normy ISO/IEC 27001, ani Zákon o kybernetické bezpečnosti neuvádí povinnost pojištění. Deset opatření NIS2 se týkají řízení rizik, zvládání incidentů, kontinuity podnikání a podobně — pojištění se zde nevyskytuje. Příloha A rovněž neobsahuje kontrolní opatření, které by konkrétně vyžadovalo pojištění. Zákazník, který se ptá na pojištění, tak činí z vlastní iniciativy, mimo tuto legislativu; odpověď proto zůstává faktickou otázkou ano/ne s pojistkou jako důkazním materiálem, nikoli compliance otázkou se zákonným minimem.