kyselylomake kysyy, onko yrityksellämme kybervakuutus

Kyberturva-vakuutus ei korvaa kymmenen toimenpidettä

Kyberturva-vakuutus on taloudellinen varaus incidentin aiheuttamaa vahinkoa vastaan, ei todisteita turvallisuustasosta. Kyberturva-vakuutusta koskeva kysymys on yleensä erillään NIS2:n 21 artiklan 2 kappaleen kymmenen toimenpidettä koskevista kysymyksistä — ne käsittelevät riskianalyysia, incidenttien käsittelyä, jatkuvuutta ja pääsyä. Asiakas, joka esittää tämän kysymyksen, haluaa ensisijaisesti tietää, onko taloudellinen vahinko incidentin yhteydessä katettu, ei sitä, onko turvallisuus kunnossa. Tämä ero on tärkeä vastauksen kannalta: "ei" tähän kysymykseen ei kerro mitään vastauksesta kysymykseen, onko olemassa menettelyä turvallisuusincidenttejä varten tai vastauksen kysymykseen varmuuskopioista ja varasuunnitelmista.

Jos yrityksellä ei ole kyberturva-vakuutusta, "ei" on tosiasiallisesti oikea vastaus — ei ole syytä muuttaa sitä "osittain" tai "käsittelyssä"-vastauksiksi. Jotkin vakuutuspolitiikat kattavat vain tietyt vahinkotyypit (esimerkiksi liiketoiminnan keskeytyksen, mutta eivät mainehaitta tai sakkoja); jos tämä on olennaista kyselylomaketta varten, se yleensä ilmenee erillisissä lisätietokysymyksissä eivätkä kyllä/ei-kysymyksessä. Huomaa, että vakuutus on oikean yhteisön nimissä: emoyhtiön vakuutus ei automaattisesti kata tytäryritystä, joka täyttää kyselylomakkeen.

Miksi tämä on erillään NIS2-toimenpiteistä

NIS2-direktiivin 21 artiklan 2 kappaleen kymmenen toimenpidettä eivät mainitse vakuutusvelvoitetta; ne kuvaavat teknisiä ja organisatorisia toimenpiteitä, kuten riskienhallintaa, salausta ja pääsynvalvontaa. Myöskään ISO/IEC 27001:n Liite A ei sisällä valvontatoimea, joka vaatisi vakuutusta. Kyberturva-vakuutus voi kuitenkin olla hyödyllisenä täydennysturvana toimenpiteille, jotka on kuvattu riskianalyysin politiikassa , mutta oikeudellisesti ja sääntelyä koskevasti ne ovat kaksi erillistä asiaa.