asiakas kysyy, olemme vakuutettuja kybervahinkojen varalta

Kybervakuutus ei sinänsä ole NIS2-toimenpide

Kybervakuutus ei sisälly NIS2-direktiivin 21 artiklan 2 kohdan luetteloon. Kyseisen artiklan kymmenen toimenpidettä koskevat riskianalyysia, tapahtumahuoltoa, liiketoiminnan jatkuvuutta, toimitusketjun turvallisuutta, pääsynhallintaa ja vastaavaa — vakuutuskirja ei ole turvaustoimenpide vaan tapa kattaa jäljelle jääneet taloudelliset vahingot. Silti kysymys nousee usein esiin asiakkaiden ja vakuutusyhtiöiden omissa kyselyissä, koska vakuutus kertoo siitä, kuinka kypsästi yritys hallitsee riskejä. ISO/IEC 27001:ssä näet samaa: Liite A ei sisällä valvontatoimenpidettä "vakuutus", mutta riskinkäsittely — joista vakuutus on tunnustettu muoto yhdessä vähentämisen, välttämisen ja hyväksynnän kanssa — kuuluu kuitenkin hallintojärjestelmään.

Se, onko sinulla vakuutusta, ei siis riipu itse näistä kymmenestä toimenpiteestä vaan siitä, mitä asiakkaasi käytännössä niistä haluaa tietää: onko sinulla taloudellinen suoja jos jokin menee pieleen, vai onko tärkeintä, että perusteet ovat kunnossa? Nämä kaksi kysymystä esitetään useimmissa kyselyissä toisistaan riippumattomasti. Tunnista malli: jos kysymys on riskienhallintaa käsittelevässä osiossa, usein kysytään riskiarviointia ja tietoturvajärjestelmien suojaustaRiippumatta siitä, oletko vakuutettu, riippuu siis näistä kymmenestä toimenpiteestä itsestään vaan siitä, mitä asiakkaasi käytännössä haluaa tietää: onko sinulla taloudellinen suoja jos jokin menee pieleen, vai onko erityisen tärkeää, että perusteet ovat kunnossa? Nämä kaksi kysymystä esitetään useimmissa kyselyissä toisistaan riippumattomasti. Tunnista malli: jos kysymys on riskienhallintaa käsittelevässä osiossa, usein kysytään perustelista. Jos kysymys on erillään, omana rivinään taloudellisesta kestävyydestä, silloin riittää tosiasiallinen vastaus itse vakuutuskirjasta — jos sinulla ei ole sitä, "ei" on oikea vastaus, vaikka se tuntuisikin puutteelta.

Missä tämä tulee: artikla 21 luku 2 ja Liite A

NIS2-direktiivin 21 artiklan 2 kohdassa luetellaan rajoituksetta kymmenen pakollista toimenpidettä; vakuutus ei sisälly niihin, ei myöskään epäsuorasti jatkuvuuden alle — se koskee varmuuskopioita ja hätävarausjärjestelmiä palvelun palauttamiseksi, ei taloudellista korvausta jälkikäteen. ISO/IEC 27001:n liitteessä A riskinkäsittely on hallintojärjestelmän nimenomaisesti mainittu osa, ja vakuutus on siihen kuuluva tunnustettu käsittelyvaihtoehto teknisten ja organisatoristen toimenpiteiden rinnalla. Kybertukilaki, joka toteuttaa NIS2:n Alankomaissa ja tulee voimaan 15. elokuuta 2026, toistaa direktiivin kymmenen toimenpidettä ilman, että se lisäisi vakuutusvelvoitetta.