verzekeraar wil vragenlijst invullen voor cyberverzekering hoe pak ik dat aan

Cyberpolis-vragenlijsten volgen dezelfde tien maatregelen

De vragenlijst van een verzekeraar dekt vrijwel altijd hetzelfde terrein als een NIS2-vragenlijst van een klant: toegangsbeheer, MFA, back-ups, patchbeleid, incidentrespons. Dat is geen toeval — verzekeraars baseren hun acceptatievragen inmiddels grotendeels op de tien maatregelen van artikel 21 lid 2 van de NIS2-richtlijn, en op de Annex A-beheersmaatregelen van ISO/IEC 27001. Wie die twee kaders al heeft ingevuld voor een klant, kan de antwoorden vrijwel ongewijzigd overnemen voor de verzekeraar. Het verschil zit in de toon: een klant vraagt naar beleid, een verzekeraar vraagt vaak net iets specifieker door — bijvoorbeeld of MFA verplicht is voor alle beheerdersaccounts, niet alleen "aanwezig".

Vul daarom eerst het ketendossier aan op de punten waar de verzekeraar dieper gaat dan gebruikelijk: meerfactorauthenticatie voor bedrijfssystemen, de procedure bij beveiligingsincidenten en de back-up- en herstelvoorziening. Verzekeraars vragen ook regelmatig naar het patchproces; dat antwoord staat onder het proces voor kwetsbaarheden. Heeft de onderneming geen ISO 27001-certificaat, dan is dat op zichzelf meestal geen probleem — verzekeraars accepteren doorgaans ook een beschrijving van de maatregelen zonder certificaat, zolang de antwoorden concreet zijn en niet alleen "ja, we hebben beleid" zeggen.

Waarom deze twee kaders overlappen

De overlap is inhoudelijk, niet toevallig: artikel 21 lid 2 NIS2 noemt tien categorieën maatregelen (risicoanalyse, incidentafhandeling, bedrijfscontinuïteit, ketenveiligheid, kwetsbaarhedenbeleid, cryptografie, toegangsbeheer, MFA, training, en toetsing van de effectiviteit), en de Annex A van ISO/IEC 27001 werkt vrijwel dezelfde thema's uit tot toetsbare beheersmaatregelen. Verzekeraars gebruiken die kaders als objectieve maatstaf omdat ze extern gedocumenteerd en controleerbaar zijn — niet omdat de verzekeraar zelf onder de Cyberbeveiligingswet valt of dat van de klant eist.