mój ubezpieczyciel od cyberzagrożeń wysyła rozszerzoną ankietę, co muszę wpisać

Ubezpieczyciele cyber proszą o te same dziesięć środków co NIS2

Obszerny kwestionariusz dotyczący bezpieczeństwa od ubezpieczyciela cyber w dużej mierze pokrywa się z dziesięcioma środkami artykułu 21 ust. 2 dyrektywy NIS2: analiza ryzyka, obsługa incydentów, ciągłość działalności, bezpieczeństwo łańcucha dostaw, zarządzanie lukami w zabezpieczeniach, polityka kryptografii, kontrola dostępu i MFA. Ubezpieczyciele nie stosują tego podziału, ponieważ muszą raportować zgodnie z dyrektywą, ale dlatego, że jest to użyteczny wskaźnik ryzyka dla składki i zakresu pokrycia. Jeśli rozpoznasz ten podział w kwestionariuszu, możesz w dużej mierze wykorzystać to, co już udokumentowałeś dla innych odbiorców.

Gdzie robi się trudniej: ubezpieczyciele często zadają pytania nieco konkretniej niż klient, który chce tylko wiedzieć "czy macie procedurę obsługi incydentów". Na przykład chcą wiedzieć, czy istnieje procedura obsługi incydentów bezpieczeństwa w tym terminy zgłoszenia i ścieżki eskalacji, lub zadają dalsze pytania dotyczące skuteczności środków bezpieczeństwa — czyli nie tylko czy polityka istnieje, ale czy kiedykolwiek była testowana. Jeśli nie masz dokumentu potwierdzającego, odpowiedz faktycznie: "jeszcze nie sformalizowane" lub "w trakcie opracowania" to lepsze niż tak, którego nie możesz uzasadnić w przypadku roszczenia.

ISO 27001 jako krótsza droga przez listę

Jeśli masz certyfikat ISO 27001, to pokrywa dużą część kwestionariusza na raz, ponieważ środki Aneksu A w dużej mierze łączą się jeden do jednego z tym, co proszą ubezpieczyciele. Wymień certyfikat wyraźnie w przypadku, gdy pytano, czy przedsiębiorstwo jest certyfikowane zgodnie z ISO 27001 i odwołaj się do związanego raportu z audytu dla podstawowych środków, jeśli ubezpieczyciel o to poprosi — to często oszczędza osobne wyjaśnienie do każdego pytania.

Gdzie to wynika: artykuł 21 ust. 2 i Załącznik A

Dziesięć kategorii środków znajduje się w artykule 21 ust. 2 dyrektywy (UE) 2022/2555 (NIS2); transpozycja holenderska odbywa się za pośrednictwem ustawy o bezpieczeństwie cybernetycznym, która wchodzi w życie 15 sierpnia 2026 r. Porównywalna klasyfikacja środków kontrolnych znajduje się w Aneksie A normy ISO/IEC 27001. Ubezpieczyciele nie są związani żadnym z nich — kwestionariusz jest niezależnym narzędziem ryzyka — ale zbieżność w klasyfikacji nie jest przypadkiem: oba źródła opisują to, co w praktyce uważa się za bezpieczeństwo podstawowe.