o nosso segurador quer preencher um questionário de cibersegurança para a apólice

As seguradoras de cibersegurança perguntam pelas dez medidas da NIS2, não pelo rótulo

O questionário de cibersegurança de uma seguradora segue geralmente a mesma estrutura que as dez medidas do artigo 21.º, n.º 2 da Diretiva NIS2: análise de riscos, tratamento de incidentes, continuidade, segurança da cadeia de abastecimento, gestão de vulnerabilidades, testes, sensibilização, encriptação, política de acesso e MFA. As seguradoras utilizam esta divisão porque se tornou de facto um padrão para distinguir entre "fundamentos em ordem" e "riscos não geridos" — não porque a apólice impõe uma obrigação legal ao abrigo da NIS2. Se a empresa está ou não sujeita à diretiva ou à Lei da Cibersegurança é, portanto, uma questão separada da questão de saber se a seguradora pergunta sobre isso.

Para cada um desses dez pontos, a seguradora pretende uma resposta concreta, não uma intenção. Para análise de risco conta um registo de riscos datado mais do que um documento de política sem execução. Para MFA o questionário pede frequentemente especificamente por correio eletrónico, VPN e contas de administração em separado — um "sim" para toda a empresa é então demasiado genérico. Se uma medida está em falta, então "ainda não implementada, planeada para [data]" é uma resposta mais útil do que um desonesto "sim" ou um campo em branco: as seguradoras classificam-se mais frequentemente com base em lacunas transparentes do que com base numa lista perfeitamente preenchida que numa reclamação se revela incorreta.

Fundamento: artigo 21.º, n.º 2 da NIS2 e Anexo A da ISO 27001

As dez medidas do artigo 21.º, n.º 2 da NIS2 formam o quadro em que praticamente todas as seguradoras de cibersegurança enxertam o seu questionário, e quem já está certificado pela ISO/IEC 27001 reconhece as mesmas categorias no Anexo A dessa norma — com a diferença de que um certificado ISO acrescenta uma avaliação independente da execução, enquanto a seguradora não avalia nada e confia no auto-relato no questionário.