client întreabă dacă suntem asigurați împotriva daunelor cibernetice

Asigurarea cibernetică în sine nu este o măsură NIS2

O asigurare cibernetică nu se află în lista măsurilor din articolul 21 alineatul 2 al Directivei NIS2. Cele zece măsuri din acel articol se referă la analiza riscurilor, gestionarea incidentelor, continuitatea afacerii, securitatea lanțului de aprovizionare, politica de acces și altele similare — o poliță de asigurare nu este o măsură de securitate, ci o modalitate de a acoperi pagubele financiare reziduale. Cu toate acestea, întrebarea apare frecvent în chestionarele clienților și ale asiguratorilor înșiși, deoarece o poliță spune ceva despre cât de matur este modul în care o întreprindere gestionează riscul. La ISO/IEC 27001 veți vedea același lucru: Anexa A nu conține o măsură de control "asigurare", dar tratamentul riscurilor — din care asigurarea este o formă recunoscută alături de reducere, evitare și acceptare — face parte din sistemul de management.

Deci, dacă trebuie asigurat depinde nu de cele zece măsuri în sine, ci de ceea ce clientul tău dorește să afle în practică: ai acoperire financiară dacă ceva merge prost, sau ai în special baza în regulă? Aceste două întrebări sunt în cele mai multe liste puse separat. Recunoașteți modelul: dacă întrebarea se află într-un bloc despre management al riscurilor, atunci se cere adesea justificarea pentru politica de analiză a riscurilor și securitate a sistemelor informatice. Dacă întrebarea este separată, ca o linie separată despre rezistență financiară, atunci este suficient un răspuns factual despre polița în sine — dacă nu o ai, atunci "nu" este răspunsul corect, chiar dacă se simte ca o lipsă.

De unde vine asta: articolul 21 alineatul 2 și Anexa A

Articolul 21 alineatul 2 al Directivei NIS2 enumeră limitativ cele zece măsuri obligatorii; o asigurare nu se află pe această listă, nici implicit sub continuitate — aceasta se referă la copii de rezervă și dispoziții de urgență pentru restabilirea serviciilor, nu cu privire la compensația financiară ulterioară. În Anexa A a ISO/IEC 27001, tratarea riscului este într-adevăr o parte explicită a sistemului de management, iar asigurarea este o opțiune de tratare recunoscută în cadrul acestuia, alături de măsuri tehnice și organizatorice. Legea privind securitatea cibernetică, care transpune NIS2 în Țările de Jos și intră în vigoare pe 15 august 2026, repetă cele zece măsuri din directivă fără a adăuga o obligație de asigurare.