chestionarul întreabă dacă compania noastră a încheiat o asigurare cibernetic

Asigurarea cibernetică nu este un înlocuitor pentru cele zece măsuri

O asigurare cibernetică este o prevedere financiară împotriva daunelor unui incident, nu o dovadă a nivelului de securitate. Întrebarea cu privire la o asigurare cibernetică este de obicei separată de întrebările privind cele zece măsuri din articolul 21 alineatul 2 din NIS2 — acestea se referă la analiza riscurilor, gestionarea incidentelor, continuitate și acces. Un client care pune această întrebare dorește în special să știe dacă daunele financiare în cazul unui incident sunt acoperite, nu dacă securitatea este în regulă. Această distincție este importantă pentru răspuns: "nu" la această întrebare nu spune nimic despre răspunsul la întrebarea dacă există o procedură pentru incidentele de securitate sau la întrebarea privind copiile de rezervă și dispozițiile de urgență.

Dacă întreprinderea nu are o asigurare cibernetică, atunci "nu" este răspunsul factual corect — nu este niciun motiv să-l transformi în "parțial" sau "în curs de examinare". Unele poliță acoperă doar anumite tipuri de daune (de exemplu, întrerupere de activitate, dar nu daune de reputație sau amenzi); dacă acest lucru este relevant pentru lista de întrebări, de obicei se găsește într-o întrebare separată de clarificare și nu în întrebarea yes/no în sine. Atenție la faptul că polița este pe numele entității corecte: o asigurare a companiei-mamă nu acoperă automat fiica care completează lista de întrebări.

De ce aceasta este separată de măsurile NIS2

Cele zece măsuri din articolul 21 alineatul 2 din Directiva NIS2 nu menționează nicio obligație de asigurare; ele descriu măsuri tehnice și organizatorice cum ar fi gestionarea riscurilor, criptografia și controlul accesului. Nici Anexa A a ISO/IEC 27001 nu cunoaște o măsură de control care să impună o asigurare. O asigurare cibernetică poate fi utilă ca supliment la măsurile care sunt politica de analiză a riscurilor stabilite, dar din punct de vedere juridic și normativ sunt două subiecte separate.