la aseguradora quiere que completemos el cuestionario para seguro cibernético cómo lo hago

Los cuestionarios de póliza de ciberriesgos siguen las mismas diez medidas

El cuestionario de un asegurador cubre prácticamente siempre el mismo ámbito que un cuestionario NIS2 de un cliente: control de acceso, MFA, copias de seguridad, política de parches, respuesta a incidentes. Esto no es casualidad — los aseguradores basan actualmente sus preguntas de aceptación en gran medida en las diez medidas del artículo 21, apartado 2 de la Directiva NIS2, y en las medidas de control del Anexo A de ISO/IEC 27001. Quien ya ha cumplimentado esos dos marcos para un cliente puede adoptar prácticamente sin cambios las respuestas para el asegurador. La diferencia está en el tono: un cliente pregunta por la política, un asegurador a menudo profundiza un poco más — por ejemplo, si MFA es obligatorio para todas las cuentas de administrador, no solo "presente".

Por lo tanto, primero amplíe el expediente de la cadena en los puntos en que el asegurador profundiza más de lo habitual: autenticación multifactor para sistemas empresariales, el procedimiento en caso de incidentes de seguridad y la provisión de copia de seguridad y recuperación. Los aseguradores también preguntan regularmente sobre el proceso de parches; esa respuesta se encuentra bajo el proceso para vulnerabilidades. Si la empresa no tiene un certificado ISO 27001, normalmente esto no es un problema en sí — los aseguradores suelen aceptar también una descripción de las medidas sin certificado, siempre que las respuestas sean concretas y no solo digan "sí, tenemos política".

Por qué estos dos marcos se superponen

La superposición es sustancial, no accidental: el artículo 21, apartado 2 de NIS2 menciona diez categorías de medidas (análisis de riesgos, gestión de incidentes, continuidad empresarial, seguridad de la cadena, política de vulnerabilidades, criptografía, control de acceso, MFA, formación y prueba de efectividad), y el Anexo A de ISO/IEC 27001 desarrolla prácticamente los mismos temas hasta convertirlos en medidas de control verificables. Los aseguradores utilizan estos marcos como parámetro objetivo porque están documentados externamente y son verificables — no porque el asegurador en sí mismo esté sujeto a la Ley de Ciberseguridad o que lo exija al cliente.