môj poisťovateľ v oblasti kybernetickej bezpečnosti posiela rozsiahly zoznam otázok, čo mám vyplniť

Poisťovne v oblasti kybernetickej bezpečnosti požadujú rovnakých desať opatrení ako NIS2

Rozsiahly zoznam bezpečnostných otázok od poisťovne v oblasti kybernetickej bezpečnosti sa do značnej miery prekrýva s desiatimi opatreniami z článku 21 ods. 2 smernice NIS2: analýza rizík, spracovanie incidentov, kontinuita podnikania, bezpečnosť reťazca dodávok, riadenie zraniteľností, politika kryptografie, kontrola prístupu a MFA. Poisťovne nepoužívajú toto delenie preto, že musia vykazovať v rámci tejto smernice, ale preto, že ide o užitočný indikátor rizika pre prémiu a poistné krytie. Ak rozpoznáš toto delenie v zozname otázok, môžeš do značnej miery využiť to, čo si už zdokumentoval pre ostatných príjemcov.

Kde sa to ťažšie komplikuje: poisťovne sa často pýtajú o niečo konkrétnejšie ako klient, ktorý chce len vedieť "máte postup na riešenie incidentov". Chcú napríklad vedieť, či existuje postup na spracovanie bezpečnostných incidentov vrátane lehôt na oznámenie a eskalačných ciest, alebo sa pýtajú ďalej na účinnosť bezpečnostných opatrení — teda nielen či politika existuje, ale či bola kedy overená. Ak nemáš dokladujúci dokument, odpovedy fakticky: "zatiaľ nie je formalizované" alebo "v procese vývoja" je lepšie ako áno, ktoré nemôžeš podložiť pri nároku.

ISO 27001 ako skratka cez zoznam

Ak máte certifikát ISO 27001, pokrýva to veľkú časť zoznamu otázok naraz, pretože opatrenia v prílohe A sa takmer jedna-ku-jednej zhodujú s tým, čo si poisťovatelia vyžadujú. Uvedieť certifikát explicitne tam, kde sa pýta, či je podnik certifikovaný podľa ISO 27001 a pre základné opatrenia sa odvolajte na príslušnú správu z auditu, ak si ju poisťovateľ vyžiada — to často ušetrí oddelené vysvetlenie na jednotlivú otázku.

Odkiaľ to vyplýva: článok 21 odsek 2 a Príloha A

Desať kategórií opatrení je uvedených v článku 21 ods. 2 Smernice (EÚ) 2022/2555 (NIS2); holandská transpozícia nasleduje prostredníctvom zákona o kybernetickej bezpečnosti, ktorý vstúpi do platnosti 15. augusta 2026. Porovnateľné rozdelenie riadiacich opatrení je v prílohe A normy ISO/IEC 27001. Poisťovatelia nie sú viazaní ani jedným z nich — zoznam otázok je vlastný nástroj na hodnotenie rizika — ale prekrytie v rozdelení nie je náhoda: obe zdroje popisujú, čo sa v praxi považuje za základnú bezpečnosť.