naš osiguravajući društvo želi popuniti popis kibernetskih pitanja za polisu

Cyber-osigurači pitaju deset mjera iz NIS2, ne oznaku

Cyber-upitnik osiguravača obično slijedi istu strukturu kao deset mjera iz članka 21. stavka 2. Direktive NIS2: analiza rizika, rukovanje incidentima, kontinuitet, sigurnost lanca, upravljanje ranjivostima, testiranje, edukacija, enkripcija, politika pristupa i MFA. Osigurači koriste ovu podjelu jer je postala de facto standard za razlikovanje između "osnove u redu" i "rizika bez nadzora" — ne zato što polica nameće zakonsku obvezu prema NIS2. Je li poduzeće samo podložno toj direktivi ili Zakonu o kibernetskoj sigurnosti dakle je odvojena pitanja od pitanja je li osigurač o njemu upitao.

Za svaku od tih deset točaka osigurač želi konkretan odgovor, ne namjeru. U analize rizika ponderira datirani registar rizika bolje od dokumenta politike bez provedbe. U MFA upitnik često specifično pita za e-poštu, VPN i administrativne račune odvojeno — "da" za cijelo poduzeće je tada previše opće. Ako nedostaje mjera, tada je "još nije uvedena, planirana za [datum]" korisniji odgovor nego neiskreno "da" ili prazna polja: osigurači češće vrednuju na osnovi transparentnih nedostataka nego na osnovi savršeno popunjene liste koja se pri reklamaciji pokažu kao neispravna.

Obrazloženje: članak 21. stavka 2. NIS2 i Prilog A od ISO 27001

Deset mjera iz članka 21. stavka 2. NIS2 čine okvir na koji praktički svaki cyber-osigurač gradi svoj upitnik, a tko je već ISO/IEC 27001-certificiran, prepoznaje iste kategorije u Prilogu A te norme — s tom razlikom što ISO-certifikat dodaje neovisnu provjeru provedbe, dok osigurač sam ništa ne provjerava i oslanja se na samoprijavljivanje u upitniku.