kyselylomake kysyy, olemme me vakuutettuja kyberincidenttejä vastaan

Kybervakuutus ei korvaa toimenpiteitä, vaan se on erillinen kysymys

Kybervakuutus on erillinen kysymys kuin NIS2:n artiklan 21 kohdan 2 mukaiset kymmenen toimenpidettä ja ISO/IEC 27001:n liite A. Kysymys siitä, oletko vakuutettu kyberhyökkäyksiltä, koskee taloudellista suojaa hyökkäyksen jälkeen, ei turvallisuusvarauksien laatua etukäteen. Jotkut asiakkaat kysyvät tätä erillisenä kysymyksenä, toiset käyttävät sitä epäsuorana testina: vakuutusyhtiö ei tyypillisesti hyväksy vakuutusta ilman vähimmäisturvallisuustoimenpiteitä, joten "kyllä, vakuutettu" tulkitaan joskus implisiitiksi todisteeksi tietystä kypsyydesta. Se on vaativan osapuolen oletus, ei näistä lähteistä peräisin oleva normi.

Jos sinulla on vakuutus, vastaus voidaan perustella "kyllä":llä heti, kun sinulla on vakuutus tai vakuutustodistus todisteena. Jos sinulla ei ole vakuutusta, "ei" on tosiasiallisesti oikea vastaus — siihen liittyvä kysymys kompensaavista toimenpiteistä esitetään yleensä erikseen, esimerkiksi turvallisuuspoikkeamien käsittelystä johtuvaan menettelyyn tai varmuuskopiointia ja palautumisen hätätoimenpiteitäkoskevana. Jos olet epävarma siitä, koskeeko kysymys vakuutusta itseään vai sen taustalla olevaa suojaa (esimerkiksi ransomware-suojaa verrattuna liiketoiminnan keskeytymiseen), lue kysymyksen teksti kirjaimellisesti: "vakuutettu kyberhyökkäyksiltä" on laajempi kuin "kybervakuutus tehty", ja ketjutiedostossa olevan vastauksen on vastattava esitettyyn kysymykseen, ei siihen liittyvään kysymykseen.

Mikään näistä kolmesta lähteestä ei pakota kybervakuutusta

Eivät NIS2:n artikla 21 kohta 2, eivät ISO/IEC 27001:n liite A eikä Kyberturvallisuuslaki mainitse vakuutusvelvoitetta. NIS2:n kymmenen toimenpidettä koskevat riskienhallintaa, poikkeamien käsittelyä, liiketoiminnan jatkuvuutta ja muuta sellaista — vakuutus ei sisälly niihin. Liite A ei myöskään sisällä hallintotoimenpidettä, joka nimenomaisesti vaatisi vakuutusta. Asiakas, joka kysyy vakuutuksesta, tekee sen omasta aloitteestaan, riippumatta tästä sääntelystä; vastaus pysyy siten tosiasiallisena kyllä/ei-kysymyksenä vakuutuksella todisteena, ei compliance-kysymyksenä, jossa olisi lakisääteinen alaraja.