vakuutusyhtiömme haluaa täyttää kyberturvallisuuskyselylomakkeen vakuutusturvaa varten

Kybervakuutuskyselylomake kattaa usein samat kymmenen kohtaa

Vakuutusyhtiön kyselylomake on suurelta osin päällekkäinen kymmenen toimenpiteen kanssa, jotka on lueteltu NIS2-direktiivin 21 artiklan 2 kappaleen mukaisesti: riskianalyysi, poikkeamien käsittely, jatkuvuus, toimitusketju, haavoittuvuuksien hallinta, testaus, tietoisuus, salaus, pääsynhallinta ja MFA. Vakuutusyhtiöt eivät kysy tätä siksi, että yritys kuuluisi NIS2:n soveltamisalaan — näin on usein, mutta ei aina — vaan koska nämä kymmenen toimenpidettä ovat nyt vakiintuneet mittapuuksi kybervaaralle. Tämän rakenteen tunnistaminen nopeuttaa lomakkeen täyttämistä: jokainen kysymys voidaan jäljittää yhteen näistä kymmenestä, vaikka vakuutusyhtiö käyttäisi omaa ilmaisua.

Todistuksissa pätee seuraava: kysymys pääsynhallinnan osalta edellyttää yleensä vastausta pääsynhallintaan ja yritysvarojen hallintaan, riippumatta siitä, onko monivaiheinen tunnistautuminen myös toteutettu — vakuutusyhtiöt kysyvät näitä kahta usein toisistaan erillään, vaikka käytännössä ne liittyvät toisiinsa. Jos dokumentti puuttuu, "ei, ei vielä" on pätevä vastaus lomakkeella; vakuutusyhtiöt ottavat sen huomioon vakuutusmaksua määrittäessään, ei hyväksyntää koskevan päätöksen yhteydessä. ISO 27001 -sertifikaatti nopeuttaa täyttämistä huomattavasti, koska Liite A:n toimenpiteet ovat suurelta osin päällekkäiset näiden kymmenen kanssa — sertifioidut yritykset voivat viitata jokaiseen kysymykseen asianomaisen valvonnan numeroon sen sijaan, että kirjoittaisivat uuden selityksen.

Kymmenen toimenpiteen lähde ja päällekkäisyys ISO 27001:n kanssa

Kymmenen toimenpidettä on lueteltu direktiivin (EU) 2022/2555 21 artiklan 2 kappaleessa; Alankomaiden kyberturvallisuuslaki panee tämän direktiivin täytäntöön ja tulee odotettavasti voimaan 15 elokuuta 2026, mutta vakuutusyhtiöt käyttävät toimenpiteitä jo ennen tätä päivämäärää viitteellisesti. ISO/IEC 27001:n liite A kehittelee samoja aiheita eteenpäin konkreettisiksi hallintotoimenpiteiksi, mikä selittää, miksi sertifikaatti usein vastaa useisiin kysymyksiin kerralla.