moj osiguratelj kibernetičke sigurnosti šalje detaljnu anketu, što trebam popuniti

Cyberverzekeraars vragen dezelfde tien maatregelen als NIS2

Opsežan popis pitanja o sigurnosti od cyberverzekeravatelja se u velikoj mjeri preklapa s deset mjera iz članka 21 stavka 2 Direktive NIS2: analiza rizika, rukovanje incidentima, kontinuitet poslovanja, sigurnost lanca opskrbe, upravljanje ranljivostima, kriptografska politika, kontrola pristupa i MFA. Verzekeraars gebruiken die indeling niet omdat ze onder de richtlijn moeten rapporteren, maar omdat het een bruikbare risico-indicator is voor de premie en de dekking. Ako prepoznaš tu podjelu u popisu pitanja, tada možeš u velikoj mjeri iskoristiti ono što si već zabilježio za druge korisnike.

Gdje to postaje teže: verzekeraars često postavljaju malo specifičnije pitanja od klijenta koji samo želi znati "imate li proceduru rukovanja incidentima". Žele na primjer znati je li postoji postupak za rukovanje incidentima sigurnosti uključujući rokove prijavljivanja i putanje eskalacije, ili postavljaju pitanja o djelotvornosti mjera sigurnosti — dakle ne samo postoji li politika, već je li ikad testirana. Ako nemate dokaz, odgovorite faktički: "još nije formalizirano" ili "u razvoju" je bolje od da koju ne možete potkrijepiti prilikom štete.

ISO 27001 kao brža putanja kroz popis

Ako imate ISO 27001 certifikat, to pokriva veliki dio popisa pitanja odjednom, jer mjere iz Priloženja A praktički one-na-jedan odgovaraju onome što verzekeraars traže. Eksplicitno navedite certifikat gdje se pita je li poduzeće ISO 27001 certificirano i the referenciraju na povezanu izvještaj o auditu ako verzekeraar to traži — to često štedi odvojeno objašnjenje po pitanju.

Gdje iz toga slijedi: članak 21 stavak 2 i Prilog A

Deset kategorija mjera nalazi se u članku 21 stavka 2 Direktive (EU) 2022/2555 (NIS2); nizozemska implementacija slijedi kroz Zakon o kibernetskoj sigurnosti, koji stupa na snagu 15. kolovoza 2026. Usporediva podjela upravljačkih mjera nalazi se u Priloženju A standarda ISO/IEC 27001. Verzekeraars nisu vezani ni na koju od njih — popis pitanja je vlastiti instrument rizika — ali preklapanje u podjeli nije slučajno: oba izvora opisuju što se u praksi smatra osnovnom sigurnosti.