Jautājumā tiek jautāts, vai mūsu uzņēmums ir noslēdzis kiberdraudzības apdrošināšanu

Kiberdrošības apdrošināšana nav aizvietojums desmit pasākumiem

Kiberdrošības apdrošināšana ir finansiāla nodrošināšana pret incidenta radīto kaitējumu, nevis drošības līmeņa pierādījums. Jautājums par kiberdrošības apdrošināšanu parasti ir atsevišķs no jautājumiem par desmit pasākumiem, kas noteikti NIS2 21. panta 2. punktā — tie attiecas uz riska analīzi, incidentu apstrādi, kontinuitāti un piekļuvi. Klients, kas uzdod šo jautājumu, vēlas uzzināt, vai finansiālais kaitējums incidenta gadījumā ir segts, nevis to, vai drošība ir kārtībā. Šis atšķirums ir svarīgs atbildei: "nē" uz šo jautājumu neko nesaka par atbildi uz jautājumu, vai pastāv procedūra drošības incidentiem vai uz jautājumu par dublējumkopijām un ārkārtas pasākumiem.

Ja uzņēmumam nav kiberdrošības apdrošināšanas, tad "nē" ir faktiskā pareizā atbilde — nav iemesla to mainīt uz "daļēji" vai "apstrādes stadijā". Daži polisi sedz tikai noteiktus kaitējuma veidus (piemēram, darbības pārtraukumu, bet ne reputācijas kaitējumu vai naudas sodus); ja tas ir attiecīgs aptaujā, tas parasti ir atsevišķā paskaidrojuma jautājumā, nevis pašā jā/nē jautājumā. Pievērsiet uzmanību tam, ka polise ir uz pareizas juridiskas personas vārda: mātes uzņēmuma apdrošināšana automātiski nesegs meitas uzņēmumu, kas aizpilda aptauju.

Kāpēc tas ir atsevišķs no NIS2 pasākumiem

Desmit pasākumi, kas noteikti NIS2 direktīvas 21. panta 2. punktā, neminē apdrošināšanas obligāciju; tie apraksta tehniskos un organizatoriskos pasākumus, piemēram, risku pārvaldību, kriptogrāfiju un piekļuves kontroli. Arī ISO/IEC 27001 A pielikums neparedz vadības pasākumu, kas padarītu apdrošināšanu obligātu. Kiberdrošības apdrošināšana var būt noderīga kā papildinājums pasākumiem, kas noteikti riska analīzes politikā tomēr juridiski un normatīvi tie ir divi atsevišķi jautājumi.