Mūsu apdrošinātājs vēlas aizpildīt kiberdraudzības jautājumā polisem

Kiberdraudzības apdrošinātāji lūdz desmit NIS2 pasākumus, nevis marķējumu

Apdrošinātāja kiberdraudzības jautājumiņu saraksts parasti seko tai pašai struktūrai kā desmit pasākumi saskaņā ar NIS2 direktīvas 21. panta 2. punktu: riska analīze, incidentu apstrāde, nepārtrauktība, ķēdes draudzība, ievainojamības vadīšana, pārbaude, izpratne, šifrēšana, piekļuves politika un MFA. Apdrošinātāji izmanto šo sadalījumu, jo tas ir kļuvis de facto standartu skaitīšanai starp "pamatu kārtībā" un "neuzraudzītiem riskiem" — nevis tāpēc, ka polise nosaka likumā paredzētu NIS2 pienākumu. Vai uzņēmums pats ietilpst direktīvā vai Kiberdraudzības likumā ir tāpēc atsevišķ jautājums, atšķirīgi no jautājuma, vai apdrošinātājs par to vaicā.

Katram no šiem desmit punktiem apdrošinātājs vēlas konkrētu atbildi, nevis nolūku. Pie riska analīze datēts riska reģistrs sver vairāk nekā politikas dokuments bez īstenošanas. Pie MFA saraksts bieži specifski prasa par e-pastu, VPN un administrēšanas kontiem atsevišķi — "jā" visam uzņēmumam ir pārāk vispārīgi. Ja pasākums trūkst, "vēl nav ieviests, plānots [datumam]" ir lietderīgāka atbilde nekā negodīgs "jā" vai tukšs lauks: apdrošinātāji bieži cenas nosaka, pamatojoties uz pārredzamiem trūkumiem, nevis uz ideāli aizpildītu sarakstu, kas prasības gadījumā neizrādās pareizs.

Pamatojums: NIS2 21. panta 2. punkts un ISO 27001 A pielikums

NIS2 21. panta 2. punkta desmit pasākumi veido pamatu, uz kura praktiski katrs kiberdraudzības apdrošinātājs piestiprinas sava jautājumiņu sarakstam, un kas jau ir ISO/IEC 27001 sertificēts, tajā atpazīst tos pašus kategoriju A pielikumā — ar atšķirību, ka ISO sertifikāts pievieno neatkarīgu īstenošanas pārbaudi, turpretim apdrošinātājs pats neko nepārbauda un paļaujas uz pašpaziņojumu sarakstā.