klient sa pýta, či sme poistení proti kybernetickej škode

Kybernetická poistka sama nie je opatrením NIS2

Kybernetická poistka nie je zaradená v zozname v článku 21 odsek 2 smernice NIS2. Desať opatrení z tohto článku sa týkajú analýzy rizík, reagovania na incidenty, kontinuity podnikania, bezpečnosti dodávateľského reťazca, politiky prístupu a podobne — poistná zmluva nie je bezpečnostným opatrením, ale spôsobom na pokytie finančných zvyšných strát. Napriek tomu sa táto otázka často objavuje v zoznamoch otázok od klientov a poisťovní samotných, pretože poistka vypovedá o tom, ako vzorivo podnik pristupuje k riadeniu rizík. V norme ISO/IEC 27001 vidíš to isté: Príloha A neobsahuje opatrenie riadenia "poistka", ale riadenie rizík — ktorého uznanou formou je poistka popri redukcii, vyhýbaniu sa a akceptácii — patri do systému riadenia.

To, či musíš byť poistený, teda nezávisí od samotných desiatich opatrení, ale od toho, čo chce tvoj klient v praxi vedieť: máš finančné krytie v prípade, že sa niečo pokazí, alebo máš najmä základy v poriadku? Tieto dve otázky sú v týchto zoznamoch väčšinou kladené oddelene. Rozpoznaj vzorec: ak sa otázka nachádza v bloku o riadení rizík, často sa pýta na zdôvodnenie politiky analýzy rizík a bezpečnosti informačných systémov. Ak je otázka samostatná, ako samostatný riadok o finančnej odolnosti, postačí faktická odpoveď o samotnej poistke — ak ju nemáš, potom je "nie" správna odpoveď, aj keď sa to cíti ako nedostatok.

Odkiaľ to pochádza: článok 21 odsek 2 a príloha A

Článok 21 odsek 2 smernice NIS2 vymenúva desať povinných opatrení limitatívne; poistenie sa tam nenachádza, ani implicitne pod kontinuitou — to sa týka zálohy a núdzové opatrenia na obnovenie poskytovania služieb, nie o finančnej kompenzácii následne. V prílohe A normy ISO/IEC 27001 je práve zvládanie rizík explicitnou súčasťou systému riadenia a poistenie je v rámci neho uznanou voľbou spolu s technickými a organizačnými opatreniami. Zákon o kybernetickej bezpečnosti, ktorý transpozuje NIS2 na Slovensku a nadobúda účinnosti 15. augusta 2026, opakuje desať opatrení z smernice bez toho, aby pridali povinnosť poistenia.