enkäten frågar om vårt företag tecknat en cyberförsäkring

Cyberförsäkring är ingen ersättning för de tio åtgärderna

En cyberförsäkring är en finansiell försäkring mot skada från en incident, inte ett bevis på säkerhetsnivå. Frågan om cyberförsäkring står vanligtvis helt skild från frågorna om de tio åtgärderna i artikel 21 stycke 2 i NIS2 — dessa handlar om riskanalys, incidenthantering, kontinuitet och åtkomst. En kund som ställer denna fråga vill i första hand veta om ekonomisk skada vid en incident är täckt, inte om säkerheten är i ordning. Denna skillnad är viktig för svaret: "nej" på denna fråga säger ingenting om svaret på frågan om det finns ett förfarande för säkerhetsincideneter eller på frågan om säkerhetskopior och nödåtgärder.

Om företaget inte har någon cyberförsäkring är "nej" det faktiskt korrekta svaret — det finns ingen anledning att ändra det till "delvis" eller "under behandling". Vissa försäkringar täcker endast vissa skadetyper (till exempel avbrottsförsäkring, men inte ryktesskada eller böter); om det är relevant för frågeformuläret anges det vanligtvis i en separat följdfråga och inte i själva ja/nej-frågan. Observera att försäkringen står i den rätta enhetens namn: en försäkring för moderbolaget täcker inte automatiskt dotterbolaget som fyller i frågeformuläret.

Varför detta är skilt från NIS2-åtgärderna

De tio åtgärderna i artikel 21 stycke 2 i NIS2-direktivet nämner ingen försäkringsplikt; de beskriver tekniska och organisatoriska åtgärder såsom riskhantering, kryptering och åtkomstkontroll. Även Bilaga A i ISO/IEC 27001 har ingen kontroll som föreskriver försäkring. En cyberförsäkring kan väl vara användbar som ett komplement till de åtgärder som fastställs i policyn för riskanalys men juridiskt och normativt är det två separata områden.