minha seguradora de ciberrisco envia um questionário abrangente, o que devo preencher

Seguradoras de ciberriscos solicitam as mesmas dez medidas que a NIS2

Uma lista de verificação de segurança abrangente de uma seguradora de ciberriscos sobrepõe-se em grande medida com as dez medidas do artigo 21.º, n.º 2 da Diretiva NIS2: análise de risco, tratamento de incidentes, continuidade de negócios, segurança da cadeia de abastecimento, gestão de vulnerabilidades, política de criptografia, controlo de acesso e MFA. As seguradoras não utilizam essa classificação porque têm de comunicar nos termos da diretiva, mas porque é um indicador de risco útil para o prémio e a cobertura. Se reconheceres essa classificação no questionário, podes recorrer em grande medida ao que já registaste para outros clientes.

Onde isto se torna mais difícil: as seguradoras frequentemente aprofundam-se de forma ligeiramente mais concreta do que um cliente que apenas quer saber "têm um procedimento de incidente". Por exemplo, querem saber se existe um procedimento para o tratamento de incidentes de segurança incluindo prazos de notificação e percursos de escalada, ou aprofundam a questão sobre a eficácia das medidas de segurança — portanto, não apenas se a política existe, mas se foi alguma vez testada. Se não tiveres um documento de prova, responde factualmente: "ainda não formalizado" ou "em desenvolvimento" é melhor do que um sim que não podes fundamentar numa reclamação.

ISO 27001 como caminho mais curto através da lista

Se tens um certificado ISO 27001, isso cobre uma grande parte do questionário de uma vez, porque as medidas do Anexo A coincidem quase um-por-um com o que as seguradoras solicitam. Menciona explicitamente o certificado quando se pergunta se a empresa é certificada ISO 27001 e refere-te ao relatório de auditoria correspondente para as medidas subjacentes se a seguradora o solicitar — isto poupa frequentemente uma explicação separada por pergunta.

Onde isto decorre: artigo 21.º n.º 2 e Anexo A

As dez categorias de medidas constam do artigo 21.º, n.º 2 da Diretiva (UE) 2022/2555 (NIS2); a transposição holandesa segue através da Lei de Cibersegurança, que entra em vigor em 15 de agosto de 2026. A classificação comparável de medidas de controlo consta do Anexo A da ISO/IEC 27001. As seguradoras não estão vinculadas a nenhuma delas — o questionário é um instrumento de risco próprio — mas a sobreposição na classificação não é coincidência: ambas as fontes descrevem o que é considerado segurança de base na prática.