il cliente chiede se siamo assicurati contro i danni da attacchi informatici

L'assicurazione informatica in sé non è una misura NIS2

Un'assicurazione informatica non è inclusa nell'elenco dell'articolo 21, paragrafo 2 della direttiva NIS2. Le dieci misure di tale articolo riguardano l'analisi dei rischi, la gestione degli incidenti, la continuità operativa, la sicurezza della catena di fornitura, le politiche di accesso e simili — una polizza assicurativa non è una misura di sicurezza ma un modo per coprire i danni finanziari residui. Tuttavia, la domanda ricorre frequentemente nei questionari dei clienti e degli assicuratori stessi, perché una polizza indica come un'azienda gestisce consapevolmente il rischio. Con ISO/IEC 27001 avviene lo stesso: l'Allegato A non contiene una misura di controllo "assicurazione", ma il trattamento del rischio — di cui l'assicurazione è una forma riconosciuta insieme alla riduzione, all'evitamento e all'accettazione — è parte del sistema di gestione.

Pertanto, il fatto che tu debba essere assicurato non dipende dalle dieci misure stesse ma da ciò che il tuo cliente vuole effettivamente sapere al riguardo: hai una copertura finanziaria in caso di problemi, oppure hai principalmente le basi in ordine? Queste due domande sono generalmente poste indipendentemente l'una dall'altra nella maggior parte dei questionari. Riconosci lo schema: se la domanda si trova in una sezione sulla gestione del rischio, spesso viene richiesta la documentazione di la politica per l'analisi dei rischi e la sicurezza dei sistemi informativi. Se la domanda è separata, come elemento a parte sulla resilienza finanziaria, allora una risposta di fatto sulla polizza stessa è sufficiente — se non ce l'hai, allora "no" è la risposta corretta, anche se può sembrare una carenza.

Fonte: articolo 21 paragrafo 2 e Allegato A

L'articolo 21, paragrafo 2 della direttiva NIS2 menziona le dieci misure obbligatorie in modo limitativo; un'assicurazione non è inclusa, nemmeno implicitamente sotto la continuità — ciò riguarda backup e misure di emergenza per ripristinare i servizi, non sulla compensazione finanziaria successiva. Nell'Allegato A di ISO/IEC 27001, il trattamento del rischio è un elemento esplicito del sistema di gestione, e l'assicurazione è un'opzione di trattamento riconosciuta insieme alle misure tecniche e organizzative. La Legge sulla sicurezza informatica, che traspone la NIS2 nei Paesi Bassi ed entra in vigore il 15 agosto 2026, ripete le dieci misure della direttiva senza aggiungere un obbligo di assicurazione.