mon assureur cyber envoie un questionnaire détaillé, comment dois-je le remplir

Les assureurs cyber demandent les mêmes dix mesures que la NIS2

Une liste de contrôle de sécurité complète d'un assureur cyber chevauche largement les dix mesures de l'article 21, paragraphe 2 de la directive NIS2 : analyse des risques, traitement des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, gestion des vulnérabilités, politique de chiffrement, contrôle d'accès et AMF. Les assureurs n'utilisent pas cette classification parce qu'ils doivent faire rapport en vertu de la directive, mais parce qu'elle constitue un indicateur de risque utile pour la prime et la couverture. Si vous reconnaissez cette classification dans le questionnaire, vous pouvez largement exploiter ce que vous avez déjà documenté pour d'autres clients.

Là où cela devient plus difficile : les assureurs posent souvent des questions un peu plus concrètes qu'un client qui veut juste savoir « avez-vous une procédure d'incident ». Ils veulent par exemple savoir si il existe une procédure de traitement des incidents de sécurité incluant les délais de notification et les voies d'escalade, ou approfondissent sur l'efficacité des mesures de sécurité — donc non seulement si la politique existe, mais si elle a déjà été testée. Si vous n'avez pas de document, répondez factuellement : « pas encore formalisé » ou « en développement » est mieux qu'un oui que vous ne pouvez pas justifier en cas de sinistre.

ISO 27001 comme raccourci dans la liste

Si vous possédez un certificat ISO 27001, celui-ci couvre une grande partie du questionnaire d'un seul coup, car les mesures de l'Annexe A correspondent pratiquement terme à terme à ce que les assureurs demandent. Mentionnez explicitement le certificat où il est demandé si l'entreprise est certifiée ISO 27001 et renvoyez pour les mesures sous-jacentes au rapport d'audit correspondant si l'assureur le demande — cela évite souvent une explication distincte par question.

D'où cela découle : article 21 paragraphe 2 et Annexe A

Les dix catégories de mesures figurent à l'article 21, paragraphe 2 de la Directive (UE) 2022/2555 (NIS2) ; la transposition néerlandaise s'effectue via la Loi sur la cybersécurité, qui entre en vigueur le 15 août 2026. La classification comparable des mesures de contrôle figure à l'Annexe A de l'ISO/IEC 27001. Les assureurs ne sont liés par aucun des deux — le questionnaire est un outil de risque interne — mais le chevauchement de la classification n'est pas une coïncidence : les deux sources décrivent ce qui est considéré dans la pratique comme une sécurité de base.