l'assureur demande un questionnaire de sécurité pour l'assurance cyber que dois-je faire

Les assureurs posent les mêmes dix mesures, mais exigent une preuve

Un assureur cyber pose des questions qui se chevauchent largement avec l'article 21, paragraphe 2 de NIS2 : réponse aux incidents, sauvegardes, MFA, politique de correctifs, gestion des fournisseurs. La différence avec un questionnaire NIS2 d'un client est que l'assureur veut une preuve concrète, pas une intention politique. Là où un partenaire de la chaîne se contente de « oui, nous avons une procédure », l'assureur veut souvent savoir si il existe une procédure de traitement des incidents de sécurité y compris le temps de récupération, et si l'authentification multifacteur est obligatoire pour tous les accès externes ou seulement pour les comptes administrateur. C'est cette différence de granularité qui est à l'origine de la plupart des doutes : une réponse qui suffit dans un questionnaire ne suffit pas dans un autre.

Si une mesure existe mais n'est pas appliquée de manière cohérente partout — par exemple MFA sur l'environnement cloud mais pas sur le VPN — la réponse habituelle est « partiellement » avec une brève explication, et non un « oui » qui pourrait remettre en question la couverture ultérieurement. Pour les questions portant sur sauvegardes et mesures d'urgence et sur les les exigences de sécurité imposées aux propres fournisseurs le même principe s'applique : l'assureur vérifie souvent a posteriori, lors d'un sinistre, si la réponse était exacte. Un certificat ISO 27001 accélère considérablement ce processus, car le certificat les mesures de l'Annexe A sont déjà vérifiées de manière indépendante — sans certificat, vous devez fournir vous-même la preuve pour chaque question.

Pourquoi les assureurs posent-ils un peu plus que les dix mesures NIS2

Les dix mesures de l'article 21, paragraphe 2 de NIS2 constituent le cœur de presque tous les questionnaires de sécurité, y compris ceux des assureurs cyber, mais les assureurs les complètent souvent par des questions spécifiques à l'évaluation des risques lors d'un sinistre — comme l'étendue de la MFA ou le temps de récupération après un incident. L'ISO/IEC 27001 Annexe A spécifie par mesure les mesures de contrôle avec lesquelles vous pouvez étayer une réponse, ce qui est particulièrement pertinent car les assureurs demandent plus souvent des preuves que d'autres demandeurs.