nasz ubezpieczyciel chce wypełnić listę pytań dotyczącą cyberbezpieczeństwa do polisy

Ubezpieczyciele cyber pytają o dziesięć środków z NIS2, a nie o etykietę

Kwestionariusz dotyczący cyberbezpieczeństwa ubezpieczyciela zwykle ma taką samą strukturę jak dziesięć środków z artykułu 21 ust. 2 dyrektywy NIS2: analiza ryzyka, obsługa incydentów, ciągłość działania, bezpieczeństwo łańcucha dostaw, zarządzanie lukami w zabezpieczeniach, testowanie, świadomość, szyfrowanie, polityka dostępu i MFA. Ubezpieczyciele wykorzystują ten podział, ponieważ stał się on de facto standardem do rozróżnienia między "podstawami w porządku" a "niekontrolowanymi ryzykami" — nie dlatego, że polisa narzuca ustawowy obowiązek wynikający z NIS2. Czy przedsiębiorstwo samo podlega dyrektywie lub Ustawie o cyberbezpieczeństwie to zatem odrębne pytanie od pytania, czy ubezpieczyciel o to pyta.

Dla każdego z dziesięciu punktów ubezpieczyciel chce konkretnej odpowiedzi, a nie intencji. Przy analiza ryzyka rejestr ryzyka z datą waży więcej niż dokument strategiczny bez wdrożenia. Przy MFA lista często pyta konkretnie o pocztę e-mail, VPN i konta administracyjne oddzielnie — "tak" dla całego przedsiębiorstwa jest wtedy zbyt ogólnie. Jeśli brakuje środka, wtedy "nie wdrożone jeszcze, zaplanowane na [datę]" to bardziej użyteczna odpowiedź niż nieuczciwite "tak" lub puste pole: ubezpieczyciele chętniej wyceniają na podstawie przejrzystych luk niż na podstawie doskonale wypełniającego się formularza, który w momencie roszczenia okaże się niezgodny ze stanem faktycznym.

Uzasadnienie: artykuł 21 ust. 2 NIS2 i Załącznik A normy ISO 27001

Dziesięć środków z artykułu 21 ust. 2 NIS2 stanowi ramy, na których prawie każdy ubezpieczyciel cyber opiera swój kwestionariusz, a kto jest już certyfikowany zgodnie z ISO/IEC 27001, rozpozna te same kategorie w Załączniku A tej normy — z tą różnicą, że certifikat ISO dodaje niezależną ocenę wdrożenia, podczas gdy ubezpieczyciel sam nic nie testuje i polega na samoraportowaniu w kwestionariuszu.