mijn verzekeraar wil een cyberveiligheidsvragenlijst, hoe vul ik die in

De verzekeraarslijst dekt vaak de tien maatregelen van NIS2

De vragenlijst van een verzekeraar is meestal breder dan een format van een klant die zelf onder de Cyberbeveiligingswet valt, maar dekt wel dezelfde thema's. Verzekeraars gebruiken hun eigen vragenlijst omdat premie en dekking afhangen van het risico, en die vragen leunen zwaar op de tien maatregelen uit artikel 21 lid 2 van NIS2: risicoanalyse, incidentbehandeling, continuïteit, keten, kwetsbaarheden, toetsing, bewustwording, cryptografie, toegangsbeleid en MFA. Herken je dat patroon, dan kun je de antwoorden die al in het ketendossier staan meestal één-op-één hergebruiken, ook als de verzekeraar andere woorden gebruikt dan de vorige lijst.

Twee vragen komen bij verzekeraars vaker voor dan bij gewone klantvragenlijsten: of er incidentrespons is geoefend (niet alleen of er een procedure is voor beveiligingsincidenten, maar of die ook getest is) en of er een concreet herstelplan met hersteltijd bestaat naast de algemene vraag over back-ups en noodvoorziening. Heb je die oefening of dat concrete plan niet, dan is "nee" het juiste antwoord — een verzekeraar vraagt naar de praktijk, niet naar de intentie. Ontbreekt een ISO 27001-certificaat, dan is dat geen probleem op zichzelf: veel verzekeraars accepteren de losse maatregelen ook zonder certificering.

Waar de tien maatregelen vandaan komen

De indeling in tien maatregelen staat in artikel 21 lid 2 van Richtlijn (EU) 2022/2555 en is ook terug te vinden in de bijlage A van ISO/IEC 27001, die dezelfde beheersmaatregelen in meer detail uitwerkt. Verzekeraars formuleren hun eigen vragen vaak losser dan de richtlijntekst, maar de onderliggende structuur is dezelfde tien onderwerpen — daarom is het invullen sneller als je weet welke vraag bij welke maatregel hoort.