minun vakuuttajani lähettää laajan kyselylomakkeen, mitä minun on täytettävä

Kyberturvavakuuttajat kysyvät samoja kymmenen toimenpidettä kuin NIS2

Laaja-alainen kyberturvavakuuttajan tietoturvakysymyslista sisältää pitkälti samat elementit kuin NIS2-direktiivin 21 artiklan 2 kappaleen kymmenen toimenpidettä: riskianalyysi, poikkeamien käsittely, liiketoiminnan jatkuvuus, ketjun turvallisuus, haavoittuvuuksien hallinta, salausperiaatteet, pääsynhallinta ja MFA. Vakuutusyhtiöt eivät käytä tätä jaottelua, koska niiden on ilmoitettava direktiivin mukaisesti, vaan siksi, että se on hyödyllinen riskinosoitin palkkioita ja kattavuutta varten. Jos tunnistat tämän jaottelun kysymyslistasta, voit pitkälti hyödyntää sitä, mitä olet jo dokumentoinut muille asiakkaille.

Tämä muuttuu haastavammaksi siellä, missä vakuutusyhtiöt esittävät usein hieman konkreettisempia kysymyksiä kuin asiakas, joka vain haluaa tietää "onko teillä poikkeamien käsittelyprosessi". He haluavat esimerkiksi tietää, onko turvallisuuspoikkeamien käsittelyä varten saatavilla prosessi mukaan lukien ilmoitusaikarajat ja eskalaatioreitit, tai he tarkentavat kysymyksiä tietoturvatoimen tehokkuudesta — eli ei vain sitä, onko periaate olemassa, vaan onko sitä koskaan testattu. Jos sinulla ei ole dokumenttia, vastaa asiaankuuluvasti: "vielä ei muodollista muotoa" tai "kehitteillä" on parempi vaihtoehto kuin kyllä, jota et voi perustella korvausvaatimuksessa.

ISO 27001 lyhyempänä reitinä listan läpi

Jos sinulla on ISO 27001-sertifikaatti, se kattaa suuren osan kysymyslistasta kerralla, koska Annex A -toimenpiteet vastaavat pitkälti sitä, mitä vakuutusyhtiöt kysyvät. Mainitse sertifikaatti nimenomaisesti silloin, kun kysytään, onko yritys ISO 27001-sertifioitu ja viittaa liittyvään auditointiraporttiin taustalla olevista toimenpiteistä, jos vakuutusyhtiö sitä pyytää — se usein säästää erillisen selvityksen jokaisesta kysymyksestä.

Mistä tämä johtuu: artiklat 21 kohta 2 ja liite A

Kymmenen toimenpidekategoriaa on Direktiivin (EU) 2022/2555 (NIS2) 21 artiklan 2 kappaleessa; Alankomaiden kotiuttaminen tapahtuu Kyberturvallisuuslain kautta, joka astuu voimaan 15. elokuuta 2026. Vastaava hallintakeinojen jaottelu on ISO/IEC 27001:n Annex A:ssa. Vakuutusyhtiöt eivät ole kumpaankaan sidottuja — kysymyslista on oma riskityökalu — mutta jaottelun päällekkäisyys ei ole sattumaa: molemmat lähteet kuvaavat sitä, mikä käytännössä katsotaan perusturvallisuudeksi.