vores forsikringsgiver ønsker at udfylde et cybersikkerhedsspørgeskema til policen

Cyberpolicespørgeskema dækker ofte de samme ti punkter

Forsikringsselskabets spørgeskema overlapper i høj grad med de ti foranstaltninger i artikel 21, stk. 2 i NIS2: risikovurdering, hændelseshåndtering, kontinuitet, kæde, sårbarheds­styring, test, bevidsthed, kryptografi, adgangskontrol og MFA. Forsikringsselskaber stiller disse spørgsmål ikke, fordi virksomheden falder ind under NIS2 — det er ofte ikke tilfældet — men fordi disse ti punkter i mellemtiden er blevet den almindelige målestok for cyberrisiko. Genkendelse af denne struktur gør udfyldningen hurtigere: hvert spørgsmål kan føres tilbage til en af de ti, selv om forsikringsselskabet bruger sine egne formuleringer.

For dokumentation gælder: et spørgsmål om adgangskontrol ønsker normalt svar på adgangspolitikken og styringen af virksomhedsressourcer, uafhængigt af spørgsmålet om multifaktor-godkendelse er etableret — forsikringsselskaber stiller disse to ofte uafhængigt af hinanden, selv hvis svaret i praksis hænger sammen. Hvis en del mangler, er "nej, ikke endnu" et gyldigt svar på listen; forsikringsselskaber inddrager det i præmien, ikke i accept i sig selv. Et ISO 27001-certifikat fremskynder udfyldningen væsentligt, fordi Annex A-foranstaltningerne i høj grad overlapper med disse ti punkter — den, der er certificeret, kan for hvert spørgsmål henvise til det tilsvarende kontrolnummer i stedet for at skrive en ny forklaring.

Kilde til de ti foranstaltninger og overlappet med ISO 27001

De ti foranstaltninger er anført i artikel 21, stk. 2 i direktiv (EU) 2022/2555; den nederlandske cybersikkerhedslov implementerer dette direktiv og forventes at træde i kraft den 15. august 2026, men foranstaltningerne selv bruges allerede af forsikringsselskaber før denne dato som referenceramme. ISO/IEC 27001 Annex A udvikler de samme emner yderligere til konkrete kontrolforanstaltninger, hvilket forklarer, hvorfor et certifikat ofte umiddelbar besvarer flere spørgsmål på listen.