il mio assicuratore informatico invia un questionario esteso, cosa devo compilare

I cyber assicuratori chiedono le stesse dieci misure della NIS2

Un esteso questionario sulla sicurezza di un cyber assicuratore si sovrappone in gran parte alle dieci misure dell'articolo 21, paragrafo 2, della direttiva NIS2: analisi dei rischi, gestione degli incidenti, continuità operativa, sicurezza della catena di fornitura, gestione delle vulnerabilità, politica di crittografia, controllo dell'accesso e MFA. Gli assicuratori non utilizzano questa classificazione perché devono segnalare secondo la direttiva, ma perché è un indicatore di rischio utile per il premio e la copertura. Se riconosci questa classificazione nel questionario, puoi in gran parte fare riferimento a ciò che hai già documentato per altri clienti.

Dove diventa più difficile: gli assicuratori spesso pongono domande leggermente più concrete di un cliente che vuole solo sapere "avete una procedura di gestione degli incidenti". Ad esempio, vogliono sapere se esiste una procedura per la gestione degli incidenti di sicurezza inclusi i termini di notifica e i percorsi di escalation, oppure approfondiscono l' efficacia delle misure di sicurezza — quindi non solo se la politica esiste, ma se è mai stata testata. Se non hai un documento probante, rispondi in modo fattuale: "non ancora formalizzato" o "in sviluppo" è meglio di un sì che non puoi supportare in caso di sinistro.

ISO 27001 come scorciatoia attraverso il questionario

Se hai una certificazione ISO 27001, questa copre gran parte del questionario in una volta, perché le misure dell'Allegato A coincidono quasi perfettamente con ciò che gli assicuratori chiedono. Menziona la certificazione esplicitamente dove viene chiesto se l'azienda è certificata ISO 27001 e fai riferimento al relativo rapporto di audit per le misure sottostanti se l'assicuratore lo chiede — questo spesso evita una spiegazione separata per ogni domanda.

Da dove deriva: articolo 21 paragrafo 2 e Allegato A

Le dieci categorie di misure sono contenute nell'articolo 21, paragrafo 2, della direttiva (UE) 2022/2555 (NIS2); il recepimento olandese avviene tramite la Cybersecurity Act, che entra in vigore il 15 agosto 2026. La classificazione comparabile dei controlli è contenuta nell'Allegato A di ISO/IEC 27001. Gli assicuratori non sono vincolati a nessuno dei due — il questionario è uno strumento di rischio proprio — ma la sovrapposizione nella classificazione non è casuale: entrambe le fonti descrivono ciò che nella pratica è considerato sicurezza di base.