onze verzekeraar wil een cybervragenlijst invullen voor de polis

Cyberverzekeraars vragen de tien maatregelen van NIS2, niet het label

De cybervragenlijst van een verzekeraar volgt meestal dezelfde structuur als de tien maatregelen uit artikel 21 lid 2 van de NIS2-richtlijn: risicoanalyse, incidentafhandeling, continuïteit, ketenbeveiliging, kwetsbaarheidsbeheer, toetsing, bewustwording, encryptie, toegangsbeleid en MFA. Verzekeraars gebruiken deze indeling omdat het de facto standaard is geworden voor onderscheid tussen "basis op orde" en "risico's onbeheerd" — niet omdat de polis een wettelijke NIS2-verplichting oplegt. Of de onderneming zelf onder de richtlijn of de Cyberbeveiligingswet valt, is dus een aparte vraag van de vraag of de verzekeraar erover vraagt.

Voor elk van die tien punten wil de verzekeraar een concreet antwoord, geen intentie. Bij risicoanalyse telt een gedateerd risicoregister zwaarder dan een beleidsstuk zonder uitvoering. Bij MFA vraagt de lijst vaak specifiek naar e-mail, VPN en beheeraccounts apart — "ja" voor het hele bedrijf is dan te grof. Ontbreekt een maatregel, dan is "nog niet ingevoerd, gepland voor [datum]" een bruikbaarder antwoord dan een oneerlijk "ja" of een leeg veld: verzekeraars prijzen vaker op basis van transparante hiaten dan op basis van een perfect ingevulde lijst die bij een claim niet blijkt te kloppen.

Onderbouwing: artikel 21 lid 2 NIS2 en Annex A van ISO 27001

De tien maatregelen van artikel 21 lid 2 NIS2 vormen het raamwerk waarop vrijwel elke cyberverzekeraar zijn vragenlijst enten, en wie al ISO/IEC 27001-gecertificeerd is, herkent dezelfde categorieën terug in Annex A van die norm — met dat verschil dat een ISO-certificaat een onafhankelijke toets van de uitvoering toevoegt, terwijl de verzekeraar zelf niets toetst en op de zelfrapportage in de lijst vertrouwt.