zoznam otázok sa pýta, či sme poistení voči kybernetickým incidentom

Kybernetické poistenie nie je nahradením opatrení, ale samostatnou otázkou

Kybernetické poistenie je nezávislé od desiatich opatrení z článku 21 odsek 2 NIS2 a nezávislé od prílohy A normy ISO/IEC 27001. Otázka, či ste poistení proti kybernetickým incidentom, sa týka finančného krytia po incidente, nie kvality vašej bezpečnosti vopred. Niektorí zákazníci to pýtajú ako samostatnú otázku, iní to používajú ako nepriame testovanie: poisťovňa zvyčajne neprijme polistiku bez minimálnych základných opatrení, takže "áno, poistený" sa niekedy interpretuje ako nepriamy dôkaz určitej zrelosti. Toto je predpoklad otáznutej strany, nie norma z uvedených zdrojov.

Ak máte polistiku, odpoveď "áno" možno zdôvodniť, akonáhle máte polistiku alebo certifikát poistenia ako dôkazný dokument. Ak nemáte polistiku, "nie" je fakticky správna odpoveď — nasledujúca otázka o kompenzačných opatreniach sa zvyčajne kladie samostatne, napríklad o postupom na spracovanie bezpečnostných incidentov alebo o zálohách a núdzových opatreniach na obnovu. Ak si nie si istý, či sa otázka týka samotnej poistnej zmluvy alebo základného poistného krytia (napríklad krytia pri ransomvéri v porovnaní s prestojmi v podnikaní), prečítajte si text otázky doslova: "poistený proti kybernetickým incidentom" je širší ako "poistenie kyberurizika uzavreté", a reťazové dossier musí obsahovať odpoveď na položenú otázku, nie na príbuznú otázku.

Žiadna z týchto troch zdrojov nepovinňuje poistenie kyberurizika

Ani článok 21 odsek 2 smernice NIS2, ani príloha A normy ISO/IEC 27001, ani Zákon o kybernetickej bezpečnosti neuvádzajú povinnosť poistenia. Desať opatrení z NIS2 sa zaoberajú správou rizík, zaobchádzaním s incidentmi, kontinuálnosťou podnikania a podobne — poistenie sa tam nevyskytuje. Príloha A rovnako neobsahuje kontrolné opatrenie, ktoré by konkrétne vyžadovalo poistenie. Zákazník, ktorý sa pýta na poistenie, tak činí na vlastnú iniciatívu, nezávisle od tejto legislatívy; odpoveď preto zostáva faktickou otázkou áno/nie s poistnou zmluvou ako dôkazom, nie otázkou compliance s právnym minimom.