klientas klausia, ar mes apdrausti nuo kibernetinio saugumo žalos

Kibernetinio saugumo draudimas pats savaime nėra NIS2 priemonė

Kibernetinio saugumo draudimas nėra NIS2 direktyvos 21 straipsnio 2 dalies straipsnyje išvardytų priemonių sąraše. Dešimt šio straipsnio priemonių yra apie rizikos analizę, incidento valdymą, verslo tęstinumą, tiekimo grandinės saugą, prieigos politiką ir panašiai — draudimo polisa nėra saugumo priemonė, bet būdas finansinei likusiai žalai padengti. Tačiau klausimas dažnai iškyla klaidingai sudarytose klaidingai suplanuotose klaidingose apklausose ir draudimo bendrovės, nes polisa kažką sako apie tai, kaip subrendusi įmonė susitvarko su rizika. ISO/IEC 27001 atveju matote tą pačią situaciją: Priedas A neturi saugumo kontrolės priemonės "draudimas", bet rizikos valdymas — kurio draudimas yra vienas iš pripažintų būdų, be mažinimo, išvengimo ir priėmimo — yra vadybos sistemos dalis.

Todėl tai, ar turi būti apdrausta, priklauso ne nuo pačių dešimties priemonių, o nuo to, ką jūsų klientas praktikoje nori iš to sužinoti: ar turite finansinę apsaugą, jei ką nors sugenda, ar tiesiog turite pagrindinius dalykus sutvarkytus? Šie du klausimai daugumoje sąrašų yra keliami atskirai. Atpažinkite modelį: jei klausimas yra rizikos valdymo bloke, dažnai užduodamas klausimas apie politiką dėl rizikos analizės ir informacinių sistemų saugumo. Jei klausimas yra atskirai, kaip atskira eilutė apie finansinį atsparumą, pakankamas yra faktinis atsakymas apie patį polisą — jei jos neturite, tada "ne" yra teisingas atsakymas, nors tai jaučiasi kaip trūkumas.

Kur tai gaunasi: 21 straipsnio 2 dalis ir A priedas

NIS2 direktyvos 21 straipsnio 2 dalis nurodo dešimt būtinų priemonių ribojamuoju būdu; draudimas jame nėra, taip pat nė numanomas pagal tęstinumą — tai susijęs su duomenų atsarginėmis kopijomis ir neatidėliotinosiomis priemonėmis paslaugai atkurti, o ne su finansine kompensacija vėliau. ISO/IEC 27001 Priede A rizikos valdymas yra aiškus vadybos sistemos komponentas, o draudimas yra pripažinta gydymo parinktis šioje sritį kartu su techninėmis ir organizacinėmis priemonėmis. Kibernetinio saugumo įstatymas, kuris NIS2 transpozicija Nyderlanduose ir įsigalios 2026 m. rugpjūčio 15 d., pakartoja dešimt direktyvos priemonių nepridėdamas draudimo pareigos.