chestionar întreabă dacă suntem asigurați împotriva incidentelor cibernetice

Asigurarea cibernetică nu este înlocuire pentru măsuri, ci o întrebare separată

O asigurare cibernetică este independentă de cele zece măsuri din articolul 21 alineatul 2 al NIS2 și independentă de Anexa A a ISO/IEC 27001. Întrebarea dacă ești asigurat împotriva incidentelor cibernetice se referă la acoperirea financiară după un incident, nu la calitatea protecției tale anterioare. Unii clienți pun această întrebare ca o chestiune separată, alții o folosesc ca test indirect: un asigurător acceptă de obicei o poliță numai dacă există măsuri minimale de bază, deci "da, asigurat" este uneori interpretat ca dovadă implicită a unei anumite maturități. Aceasta este o presupunere a părții care pune întrebarea, nu o normă din sursele citate.

Dacă ai o poliță, răspunsul poate fi susținut cu "da" imediat ce ai asigurarea sau certificatul de asigurare ca dovadă. Dacă nu ai o poliță, "nu" este răspunsul factual corect — o întrebare de urmărire despre măsuri compensatorii este de obicei pusă separat, de exemplu cu privire la procedura de gestionare a incidentelor de securitate sau despre copiile de rezervă și dispozitivele de urgență pentru recuperare. Dacă nu ești sigur dacă întrebarea se referă la polița în sine sau la acoperirea subiacentă (de exemplu, acoperirea în caz de ransomware versus întreruperea activității), citește textul întrebării în sens literal: "asigurat împotriva incidentelor cibernetice" este mai larg decât "asigurare cibernetică încheiate", iar dosarul lanțului trebuie să acopere răspunsul la întrebarea pusă, nu la o întrebare conexă.

Niciuna dintre cele trei surse nu impune o asigurare cibernetică

Nici articolul 21 alineatul 2 al NIS2, nici Anexa A a ISO/IEC 27001, nici Legea privind securitatea cibernetică nu menționeaza o obligație de asigurare. Cele zece măsuri ale NIS2 se referă la gestionarea riscului, gestionarea incidentelor, continuitatea activității și similare — o asigurare nu apare acolo. Anexa A de asemenea nu cunoaște o măsură de control care să impună în mod specific o asigurare. Un client care pune întrebări cu privire la asigurare o face deci din propria inițiativă, separat de această reglementare; răspunsul rămâne deci o întrebare factică da/nu cu o poliță ca dovadă, nu o întrebare de conformitate cu o limită legală.