klients jautā, vai mēs esam apdrošināti pret kiberdrošības kaitējumiem

Kiberdrošības apdrošināšana pati par sevi nav NIS2-pasākums

Kiberdrošības apdrošināšana neatrodas NIS2 direktīvas 21. panta 2. punktā minēto pasākumu sarakstā. Desmit pasākumi no šī panta attiecas uz riska analīzi, incidentu pārvaldību, biznesa nepārtrauktību, piegādes ķēdes drošību, piekļuves politiku un līdzīgus aspektus — apdrošināšanas polise nav drošības pasākums, bet gan finansiālo atlikušo zaudējumu segšanas veids. Tomēr šis jautājums bieži parādās klientu un pašu apdrošinātāju jautājumnieku sarakstā, jo polise norāda uz to, cik briedis uzņēmums ir riska pārvaldībā. ISO/IEC 27001 gadījumā redzams tas pats: Pielikumā A nav vadības pasākuma "apdrošināšana", bet riska pārvaldība — kuras apdrošināšana ir atzīta forma līdzās mazināšanai, novēršanai un pieņemšanai — ir iekļauta vadības sistēmā.

Tas, vai jums jābūt apdrošinātiem, nav atkarīgs no pašiem desmit pasākumiem, bet no tā, ko jūsu klients praktiski ar to vēlas zināt: vai jums ir finansiāls segums, ja kaut kas notiek, vai vēl jo vairāk ir sakārtota pamatbāze? Šie divi jautājumi lielākajā daļā sarakstu tiek uzdoti neatkarīgi viens no otra. Atpazīstiet modeļa: ja jautājums atrodas riska pārvaldības bloķī, bieži tiek jautāts par riska analīzes politiku un informācijas sistēmu aizsardzībupamatojumu. Ja jautājums ir atsevišķs, kā atsevišķa rinda par finansiālo izturību, tad pietiek ar faktiskas atbildes par pašu polisi — ja tās nav, tad "nē" ir pareizā atbilde, lai arī tas jūtas kā trūkums.

No kurienes tas nāk: 21. pants, 2. punkts un Pielikums A

NIS2 direktīvas 21. panta 2. punkts limitatīvi nosaka desmit obligātos pasākumus; apdrošināšana tur neatrodas, arī ne netieši nepārtrauktības ietvaros — tas attiecas uz kopijām un ārkārtas pasākumiem pakalpojumu sniegšanas atjaunošanai, nevis uz finansiālu kompensāciju retrospektīvi. ISO/IEC 27001 Pielikumā A riska pārvaldība ir skaidrs vadības sistēmas komponentes, un apdrošināšana tajā ir atzīta ārstēšanas iespēja līdzās tehniskiem un organizatoriskiem pasākumiem. Kiberdrošības likums, kas NIS2 īsteno Nīderlandē un stājas spēkā 2026. gada 15. augustā, atkārto desmit pasākumus no direktīvas, nepievienojot apdrošināšanas pienākumu.