vprašalnik sprašuje, ali je naše podjetje sklenilo ciber zavarovanje

Cyber zavarovanje ni nadomestilo za deset ukrepov

Cyber zavarovanje je finančna rezerva za škodo incidenta, ne dokaz ravni varnosti. Vprašanja o cyber zavarovanju so običajno ločena od vprašanj o desetih ukrepih iz člena 21(2) Direktive NIS2 — ta se nanašajo na analizo tveganja, ravnanje z incidenti, kontinuiteto in dostop. Stranko, ki postavlja to vprašanje, predvsem zanima, ali je finančna škoda pri incidentu pokrita, ne pa ali je varnost v redu. To razlikovanje je za odgovor bistvenega pomena: »ne« na to vprašanje ne pove ničesar o odgovoru na vprašanja, ali obstaja postopek za varnostne incidente ali na vprašanja o varnostnih kopijah in nujnih ukrepih.

Če podjetje nima cyber zavarovanja, je »ne« dejansko pravilen odgovor — ni razloga, da bi to spremenili v »delno« ali »v obdelavi«. Nekatere police pokrivajo samo določene vrste škode (na primer prekinitev poslovanja, vendar ne škodo ugledu ali kazni); če je to relevantno za vprašalnik, je to običajno navedeno v ločenem dodatnem vprašanju in ne v samem ja/ne vprašanju. Bodite pozorni, da je polica na ime prave entitete: zavarovanje matične družbe ne pokriva samodejno hčere, ki izpolnjuje vprašalnik.

Zakaj je to ločeno od ukrepov NIS2

Deset ukrepov člena 21(2) Direktive NIS2 ne omenja zavarovalnega prava; opisujejo tehnične in organizacijske ukrepe, kot so upravljanje tveganja, kriptografija in nadzor dostopa. Tudi Priloga A standarda ISO/IEC 27001 ne vsebuje kontrole, ki bi nalagala zavarovanje. Cyber zavarovanje je lahko koristno kot dopolnilo k ukrepom, ki so navedeni v politiki za analizo tveganja vendar so z vidika prava in normativnosti dve ločeni temi.