moj ciber zavarovalec pošilja obsežan vprašalnik, kaj moram izpolniti

Cybervarovalnice zahtevajo iste deset ukrepov kot NIS2

Obsežen vprašalnik o varnosti cybervarovalnice se v veliki meri prekriva s desetimi ukrepi člena 21 odstavka 2 Direktive NIS2: analiza tveganja, ravnanje z incidenti, poslovna kontinuiteta, varnost verige, upravljanje ranljivosti, politika kriptografije, nadzor dostopa in MFA. Zavarovalnice ne uporabljajo te razdelitve zato, ker morajo poročati v skladu z direktivo, temveč ker je koristni indikator tveganja za premijo in zavarovanje. Če prepoznaš to razdelitev v vprašalniku, se lahko v veliki meri vrneš na tisto, kar si že dokumentiral za druge odjemalce.

Kjer postane bolj zahtevno: zavarovalnice pogosto postavijo nekoliko bolj konkretna vprašanja kot odjemalec, ki samo želi vedeti »ali imate postopek za obravnavo incidentov«. Želijo na primer vedeti, ali obstaja postopek za obravnavo varnostnih incidentov vključno s rokami za obveščanje in poti eskalacije, ali dodatno vprašajo o učinkovitosti varnostnih ukrepov — torej ne le ali politika obstaja, temveč ali je bila kdaj testirana. Če nemaš dokazila, odgovori dejansko: »še ni formalizirano« ali »v razvoju« je bolje kot »da«, ki ga ne moreš utemeljiti ob zahtevku.

ISO 27001 kot krajša pot skozi seznam

Če imaš certifikat ISO 27001, to v enem zamahu pokriva velik del vprašalnika, ker se ukrepi Priloge A skoraj neposredno skladajo s tem, kar zavarovalnice vprašujejo. Izrecno navedite certifikat, kjer je vprašano, ali je podjetje certificirano po ISO 27001 in se za temeljne ukrepe sklicujete na pripadajočo revizijsko poročilo, če zavarovalnica to zahteva — to pogosto prihrani posebno razlago na vprašanje.

Od koder to sledi: člen 21(2) in Prilog A

Deset kategorij ukrepov je navedenih v členu 21 odstavku 2 Direktive (EU) 2022/2555 (NIS2); preureditev na Nizozemskem poteka prek Zakona o kibernetski varnosti, ki začne veljati 15. avgusta 2026. Primerljiva razdelitev varnostnih ukrepov je v Prilogi A standarda ISO/IEC 27001. Zavarovalnice niso vezane na nobenega od obeh — vprašalnik je lastni instrument za oceno tveganja — vendar se prekrivanje v razdelitvi ni naključno: oba vira opisujeta, kar v praksi velja za osnovno varnost.