le questionnaire demande si notre entreprise a souscrit une assurance cyber

L'assurance cyber n'est pas un substitut aux dix mesures

Une assurance cyber est une provision financière contre les dommages d'un incident, non une preuve de niveau de sécurité. La demande d'une assurance cyber est généralement indépendante des questions sur les dix mesures de l'article 21 paragraphe 2 de NIS2 — celles-ci concernent l'analyse des risques, le traitement des incidents, la continuité et l'accès. Un client qui pose cette question souhaite principalement savoir si les dommages financiers en cas d'incident sont couverts, non si la sécurité est en place. Cette distinction est importante pour la réponse : « non » à cette question ne dit rien sur la réponse à la question de l'existence d'une procédure de traitement des incidents de sécurité ou à la question concernant les sauvegardes et les mesures d'urgence.

Si l'entreprise n'a pas d'assurance cyber, « non » est la réponse factuellement correcte — il n'y a aucune raison de la contourner vers « partiellement » ou « en cours de traitement ». Certaines polices ne couvrent que certains types de dommages (par exemple l'interruption d'activité, mais non les dommages à la réputation ou les amendes) ; si cela est pertinent pour le questionnaire, cela figure généralement dans une question de clarification séparée et non dans la question oui/non elle-même. Attention : la police doit être au nom de la bonne entité : une assurance de la maison mère ne couvre pas automatiquement la filiale qui remplit le questionnaire.

Pourquoi cela est séparé des mesures NIS2

Les dix mesures de l'article 21 paragraphe 2 de la directive NIS2 ne mentionnent aucune obligation d'assurance ; elles décrivent des mesures techniques et organisationnelles telles que la gestion des risques, la cryptographie et la gestion des accès. L'Annexe A de ISO/IEC 27001 ne connaît également aucune mesure de contrôle obligeant une assurance. Une assurance cyber peut toutefois être utile en complément des mesures définies dans la politique d'analyse des risques mais juridiquement et normativement, ce sont deux sujets distincts.