il mio assicuratore vuole un questionario sulla cybersecurity, come lo compilo

L'elenco dell'assicuratore copre spesso le dieci misure di NIS2

Il questionario di un assicuratore è solitamente più ampio di un formato di un cliente che rientra stesso nella Legge sulla sicurezza informatica, ma copre gli stessi argomenti. Gli assicuratori utilizzano il loro questionario perché il premio e la copertura dipendono dal rischio, e tali domande si basano pesantemente sulle dieci misure dell'articolo 21 paragrafo 2 di NIS2: analisi del rischio, gestione degli incidenti, continuità, catena, vulnerabilità, test, consapevolezza, crittografia, politica di accesso e MFA. Se riconosci questo schema, puoi generalmente riutilizzare uno-a-uno le risposte già presenti nel fascicolo della catena, anche se l'assicuratore usa parole diverse dall'elenco precedente.

Due domande sono più frequenti presso gli assicuratori che negli ordinari questionari dei clienti: se la risposta agli incidenti è stata esercitata (non solo se c'è una procedura per incidenti di sicurezza, ma anche se è stata testata) e se esiste un piano di ripristino concreto con tempo di ripristino oltre alla domanda generale su backup e piani di emergenza. Se non hai questo esercizio o questo piano concreto, allora "no" è la risposta corretta — un assicuratore chiede della pratica, non dell'intenzione. Se manca un certificato ISO 27001, non è un problema in sé: molti assicuratori accettano anche le singole misure senza certificazione.

Da dove provengono le dieci misure

La suddivisione in dieci misure si trova nell'articolo 21 paragrafo 2 della Direttiva (UE) 2022/2555 ed è anche reperibile nell'allegato A della norma ISO/IEC 27001, che elabora le stesse misure di controllo in maggior dettaglio. Gli assicuratori formulano spesso le loro domande in modo più generico rispetto al testo della direttiva, ma la struttura sottostante è la stessa in dieci argomenti — per questo motivo la compilazione è più veloce se sai quale domanda corrisponde a quale misura.