minu küberjulgeoleku kindlustusmehitaja saadab ulatusliku küsimustiku, mida ma täidan

Küberneetika kindlustusstused küsivad samu kümmet meetmeid kui NIS2

Küberneetika kindlustusstuse ulatuslik turvalisuse küsimustik kattub suuresti artikli 21 lõige 2 NIS2-direktiivist tulenevate kümne meetmega: riskianalüüs, intsidentide käsitlemine, äri järjepidevus, tarneahela turvalisus, haavatavuste haldus, krüptograafia poliitika, juurdepääsukontroll ja MFA. Kindlustusstused ei kasuta seda klassifikatsiooni, sest peavad direktiivi alusel teatama, vaid seetõttu, et tegemist on kasulike riskiindikaatoritega premie ja katvuse jaoks. Kui tunnistad seda klassifikatsiooni küsimustikus, saad suuresti kasutada seda, mida oled juba dokumenteerinud teiste tellijate jaoks.

Kus see muutub keerulisemaks: kindlustusstused küsivad sageli veidi konkreetsemalt kui klient, kes tahab teada vaid "kas teil on intsidendi käsitlemise protseduur". Nad tahavad näiteks teada, kas on olemas turvalisuse intsidentide käsitlemise protseduur sealhulgas teatamistähtajad ja eskalatsiooniteepäev, või küsivad järele turvalisuse meetmete tõhususest — seega mitte ainult seda, kas poliitika on olemas, vaid kas seda on kunagi kontrollitud. Kui sul ei ole tõendit, vasta faktiliselt: "veel formaliseerimata" või "arendamisel" on parem kui "jah", mida ei saa kahjukaitse korral põhjendada.

ISO 27001 kui lühem tee küsimustiku jätkusuutlikkuse nimel

Kui sul on ISO 27001-sertifikaat, siis see katab suure osa küsimustikust korraga, sest Annex A-meetmed jäävad sisuliselt kokku sellega, mida kindlustusstused küsivad. Maini sertifikaati selgesõnaliselt, kus küsitakse, kas ettevõte on ISO 27001-sertifitseeritud ja viita aluspõhiste meetmete jaoks vastavale auditiaruandele, kui kindlustusstus seda küsib — see säästab sageli iga küsimuse kohta eraldi selgitust.

Kust see tuleb: artikkel 21 lõige 2 ja Lisa A

Kümme kategooriasse jaotatud meetmeid on määrustuse (EL) 2022/2555 (NIS2) artikli 21 lõikes 2; Hollandi transponeerimine toimub küberneetika turvalisuse seaduse kaudu, mis jõustub 15. augustil 2026. Sarnane juhtimismeetmete klassifikatsioon on ISO/IEC 27001 Annex A-s. Kindlustusstused ei ole kummagi seadustusega seotud — küsimustik on omaette riskitöötamise instrument — kuid klassifikatsioonide kattuvus pole juhus: mõlemad allikad kirjeldavad seda, mis praktika kohaselt loetakse põhiturvalisuseks.