försäkringsgivare frågar om säkerhetsfrågor för cyberförsäkring vad ska jag göra

Försäkringsgivare frågar om samma tio åtgärder, men vill ha bevis

En cyberförsäkringsgivare ställer frågor som till stor del överlappar artikel 21 stycke 2 i NIS2: incidentberedskap, säkerhetskopior, MFA, patchpolicy, leverantörshantering. Skillnaden från en NIS2-enkät från en kund är att försäkringsgivaren konkret vill ha bevis, inte policyavsikter. Där en kedjepartner är nöjd med "ja, vi har en procedur" vill försäkringsgivaren ofta veta om det finns en procedur för hantering av säkerhetshändelser inklusive återställningstid, och om flerfaktorsautentisering är obligatoriskt för all extern åtkomst eller endast för administratörskonton. Det granularitetsskillnaden är där största osäkerheten uppstår: ett svar som räcker för en enkät är för globalt för en annan.

Om en åtgärd finns men inte konsekvent överallt — till exempel MFA på molnmiljön men inte på VPN — är det vanliga svaret "delvis" med en kort förklaring, inte ett "ja" som senare kan bestridas vid en skadereglering. För frågorna om säkerhetskopior och nödåtgärder och om säkerhetskrav på egna leverantörer gäller detsamma: försäkringsgivaren prövar ofta efteråt, vid en skadereglering, om svaret var korrekt. Ett ISO 27001-certifikat påskyndar denna process avsevärt, eftersom certifikatet Annex A-åtgärderna redan låter granskas oberoende — utan certifikat måste du själv tillhandahålla bevis per fråga.

Varför försäkringsgivare frågar något mer än de tio NIS2-åtgärderna

De tio åtgärderna i artikel 21 stycke 2 i NIS2 utgör kärnan i nästan varje säkerhetsenкät, cyberförsäkringsgivare inräknade, men försäkringsgivare kompletterar detta ofta med frågor som är specifika för riskbedömning vid en skadereglering — som omfattningen av MFA eller återställningstiden efter en incident. ISO/IEC 27001 Annex A ger per åtgärd de kontroller som du kan använda för att underbygga ett svar, vilket är särskilt relevant eftersom försäkringsgivare oftare frågar efter bevis än andra mottagare.