forsikringsselskab ønsker at udfylde spørgeskema til cyberforsikring, hvordan tackler jeg det

Cyberpolice-spørgeskemaer følger de samme ti foranstaltninger

Forsikringsselskabets spørgeskema dækker næsten altid det samme område som et NIS2-spørgeskema fra en kunde: adgangskontrol, MFA, sikkerhedskopier, patchpolitik, hændelsesrespons. Det er ingen tilfældighed — forsikringsselskaber baserer deres acceptspørgsmål i stigende grad på de ti foranstaltninger i artikel 21, stk. 2 i NIS2-direktivet, og på Annex A-kontrolforanstaltningerne i ISO/IEC 27001. Den, der allerede har udfyldt disse to rammer for en kunde, kan næsten uændret overtage svarene til forsikringsselskabet. Forskellen ligger i tonen: en kunde spørger efter politik, et forsikringsselskab spørger ofte en smule mere specifikt — for eksempel om MFA er obligatorisk for alle administratorkonti, ikke kun "til stede".

Udfyld derfor først kædeomappen på de punkter, hvor forsikringsselskabet går dybere end normalt: multifaktorautentificering for virksomhedssystemer, proceduren ved sikkerhedshændelser og backup- og genopretningsordningen. Forsikringsselskaber spørger også regelmæssigt om patchprocessen; det svar findes under processen for sårbarheder. Hvis virksomheden ikke har et ISO 27001-certifikat, er det i sig selv normalt ikke et problem — forsikringsselskaber accepterer normalt også en beskrivelse af foranstaltningerne uden certifikat, så længe svarene er konkrete og ikke kun siger "ja, vi har politik".

Hvorfor disse to rammer overlapper

Overlapningen er indholdsmæssig, ikke tilfældig: artikel 21, stk. 2 NIS2 nævner ti kategorier foranstaltninger (risikovurdering, hændelseshåndtering, forretningskontinuitet, kædebeskyttelse, sårbarhedspolitik, kryptering, adgangskontrol, MFA, træning og test af effektivitet), og Annex A i ISO/IEC 27001 gennemfører næsten de samme emner som kontrolbare kontrolforanstaltninger. Forsikringsselskaber bruger disse rammer som en objektiv målestok, fordi de er eksternt dokumenteret og kontrollerbare — ikke fordi forsikringsselskabet selv falder under cybersikkerhedsloven eller kræver det af kunden.