il questionario chiede se siamo assicurati contro gli incidenti informatici

L'assicurazione informatica non sostituisce le misure, ma è una domanda separata

Un'assicurazione informatica è indipendente dalle dieci misure dell'articolo 21 paragrafo 2 della NIS2 e indipendente dall'Allegato A della ISO/IEC 27001. La domanda se sei assicurato contro gli incidenti informatici riguarda la copertura finanziaria dopo un incidente, non la qualità della tua protezione preventiva. Alcuni clienti pongono questa domanda come questione separata, altri la utilizzano come test indiretto: un assicuratore di solito non accetta una polizza senza che siano stati implementati misure di base minime, quindi "sì, assicurato" a volte viene interpretato come prova implicita di una certa maturità. Questa è un'ipotesi della parte che pone la domanda, non una norma derivante dalle fonti citate.

Se hai una polizza, la risposta può essere supportata con "sì" non appena hai la polizza o il certificato di assicurazione come documento di prova. Se non hai una polizza, "no" è la risposta effettivamente corretta — una domanda di follow-up su misure compensative di solito viene posta separatamente, ad esempio su la procedura per la gestione degli incidenti di sicurezza o su backup e disposizioni di emergenza per il ripristino. Se dubiti se la domanda riguarda la polizza stessa o la copertura sottostante (ad esempio copertura per ransomware rispetto all'interruzione di attività), leggi il testo della domanda letteralmente: "assicurato contro gli incidenti informatici" è più ampio di "assicurazione informatica stipulata", e il fascicolo della catena deve coprire la risposta alla domanda posta, non a una domanda correlata.

Nessuna delle tre fonti obbliga un'assicurazione informatica

Né l'articolo 21 paragrafo 2 della NIS2, né l'Allegato A della ISO/IEC 27001, né la Legge sulla cibersicurezza menzionano un obbligo di assicurazione. Le dieci misure della NIS2 riguardano la gestione del rischio, la gestione degli incidenti, la continuità aziendale e simili — un'assicurazione non rientra in questi ambiti. L'Allegato A non prevede neppure un controllo che richieda specificamente un'assicurazione. Un cliente che pone domande sull'assicurazione lo fa quindi su sua iniziativa, al di fuori di questa normativa; la risposta rimane quindi una domanda effettiva sì/no con una polizza come documento di prova, non una domanda di conformità con una soglia legale.