notre assureur souhaite remplir un questionnaire de cybersécurité pour la police

Le questionnaire de police cyber couvre souvent les mêmes dix points

Le questionnaire d'un assureur chevauche largement les dix mesures de l'article 21, paragraphe 2 de la directive NIS2 : analyse des risques, gestion des incidents, continuité, chaîne d'approvisionnement, gestion des vulnérabilités, tests, sensibilisation, cryptographie, politique d'accès et authentification multifacteur. Les assureurs posent cette question non pas parce que l'entreprise est soumise à la directive NIS2 — ce n'est souvent pas le cas — mais parce que ces dix points sont désormais devenus la norme commune en matière de risque cyber. La reconnaissance de cette structure accélère le remplissage : chaque question peut être rattachée à l'un des dix points, même si l'assureur utilise ses propres formulations.

Pour les pièces justificatives, une question sur le contrôle d'accès attend généralement une réponse sur la politique d'accès et de la gestion des actifs, indépendamment de la question de savoir si l'authentification multifacteur a également été mis en place — les assureurs posent souvent ces deux éléments indépendamment l'un de l'autre, même si la réponse dans la pratique est liée. En l'absence d'un élément, « non, pas encore » est une réponse valide à la liste ; les assureurs en tiennent compte dans la prime, non dans l'acceptation en soi. Un certificat ISO 27001 accélère considérablement le remplissage, car les mesures de l'Annexe A chevauchent largement ces dix points — si vous êtes certifié, vous pouvez pour chaque question renvoyer au numéro de contrôle correspondant au lieu de rédiger une nouvelle explication.

Origine des dix mesures et chevauchement avec ISO 27001

Les dix mesures sont énumérées à l'article 21, paragraphe 2, de la Directive (UE) 2022/2555 ; la loi néerlandaise sur la cybersécurité transpose cette directive et devrait entrer en vigueur le 15 août 2026, mais les mesures elles-mêmes sont déjà utilisées par les assureurs avant cette date comme cadre de référence. ISO/IEC 27001 Annexe A développe davantage les mêmes sujets en mesures de contrôle concrètes, ce qui explique pourquoi un certificat répond souvent immédiatement à plusieurs questions de la liste.