klient küsib, kas me oleme kindlustatud küberschadude eest

Küberkindlustus ise pole NIS2-meede

Küberkindlustus pole NIS2-direktiivi artikli 21 lõike 2 loendis. Nimetatud artikli kümme meedet käsitlevad riskianalüüsi, juhtumite käsitlemist, ärikontinuiteeti, tarneahela turvalisust, juurdepääsupoliitikat ja muud sellist — kindlustuspoliis pole turvameede, vaid viis finantsiliste jääkkahjude katmiseks. Ometi esineb see küsimus regulaarselt klientide ja kindlustajate endi küsimustikes, kuna poliis näitab, kui küpselt käsitseb ettevõtte riske. ISO/IEC 27001 puhul näete sama: Lisas A pole juhtimismeede "kindlustus", vaid riskikäsitlus — mille tunnustatud vormid on kindlustamise kõrval vähendamine, vältimine ja nõustumine — kuulub kindlasti haldussüsteemi juurde.

Kas oled kindlustatud, ei sõltu seega iseendast kümnest meetest, vaid sellest, mida soovib teada sinu klient: kas sul on finantskaitse, kui miski läheb valesti, või on sul esmalt alused korras? Need kaks küsimust esitatakse enamikes loendites üksteisest eraldi. Tunne ära muster: kui küsimus asub riskijuhtimise plokis, küsitakse sageli riskianalüüsi ja infosüsteemide turvalisuse poliitikat. Kui küsimus on eraldi, omaette reana finantskindluse kohta, siis piisab faktilisest vastusest polii enda kohta — kui seda sul pole, siis on "ei" õige vastus, isegi kui see tundub puudusena.

Kust see pärineb: artikkel 21 lõige 2 ja Lisa A

Direktiivi NIS2 artikli 21 lõige 2 loetleb kümme kohustuslikku meetme piiratult; kindlustus nende hulgas pole, samuti mitte kaudselt kontinuiteedi all — see käib varukoopiad ja hädaolukorra seadised teenuse taastamiseks, mitte finantskompensatsiooni tagantjärele. ISO/IEC 27001 Lisa A-s on riskijuhtimine otseselt juhtimissüsteemi osa, ja kindlustus on selles kontekstis tunnustatud käsitlusviis koos tehniliste ja organisatsiooniliste meetmetega. Küberturbe seadus, mis transpositsioonib NIS2-d Hollandis ja jõustub 15. augustil 2026, kordab richtliini kümmet meetmet ilma kindlustuskohustuseta.