spørgeskemaet spørger, om vores virksomhed har tegnet en cyberforsikring

Cyberforsikring er ikke en erstatning for de ti foranstaltninger

En cyberforsikring er en finansiel sikring mod skade fra en hændelse, ikke et bevis på sikkerhedsniveau. Spørgsmålet om cyberforsikring står normalt adskilt fra spørgsmålene om de ti foranstaltninger i artikel 21, stk. 2 i NIS2 — disse handler om risikovurdering, håndtering af hændelser, kontinuitet og adgang. En kunde, der stiller dette spørgsmål, ønsker primært at vide, om økonomisk skade ved en hændelse er dækket, ikke om sikringen er i orden. Denne skelnen er vigtig for svaret: "nej" på dette spørgsmål siger intet om svaret på spørgsmålet om der er en procedure for sikkerhedshændelser eller på spørgsmålet om backup og nødtiltag.

Har virksomheden ingen cyberforsikring, er "nej" det faktisk korrekte svar — der er ingen grund til at ændre det til "delvis" eller "under behandling". Nogle policer dækker kun bestemte skadekategorier (for eksempel forretningsafbrydelse, men ikke omdømmeskade eller bøder); hvis det er relevant for spørgeskemaet, står det normalt i et separat opklaringsspørgsmål og ikke i selve ja/nej-spørgsmålet. Vær opmærksom på, at policen er tegnet i den rigtige enheds navn: en forsikring for moderselskabet dækker ikke automatisk det datterselskab, der udfylder spørgeskemaet.

Hvorfor dette er adskilt fra NIS2-foranstaltningerne

De ti foranstaltninger i artikel 21, stk. 2 i NIS2-direktivet nævner ingen forsikringspligt; de beskriver tekniske og organisatoriske foranstaltninger såsom risikostyring, kryptering og adgangskontrol. Annex A af ISO/IEC 27001 indeholder heller ingen kontrolforanstaltning, der fastsætter en forsikringspligt. En cyberforsikring kan være brugbar som supplement til de foranstaltninger, der er fastlagt i politikken for risikovurdering men juridisk og normativt er det to adskilte emner.