försäkringsgivare vill fylla i frågelistan för cyberförsäkring hur gör jag det

Cyberförsäkringsfrågeformulär följer samma tio åtgärder

Försäkringsgivarens frågeformulär täcker nästan alltid samma område som ett NIS2-frågeformulär från en kund: åtkomstkontroll, MFA, säkerhetskopior, uppdateringspolicy, incidentberedskap. Det är ingen slump — försäkringsgivare baserar sina acceptansfrågor numera i stor utsträckning på de tio åtgärdskategorierna i artikel 21 punkt 2 i NIS2-direktivet, och på kontrollåtgärderna i Bilaga A av ISO/IEC 27001. Den som redan har fyllt i dessa två ramverk för en kund kan nästan utan ändringar använda samma svar för försäkringsgivaren. Skillnaden ligger i tonen: en kund frågar om policy, en försäkringsgivare frågar ofta lite mer specifikt — till exempel om MFA är obligatoriskt för alla administratörkonton, inte bara "befintligt".

Fyll därför först i kedjedossieren på de punkter där försäkringsgivaren går djupare än vanligt: flerfaktorsautentisering för företagssystem, proceduren vid säkerhetshändelser och säkerhetskopie- och återställningsåtgärd. Försäkringsgivare frågar också regelbundet om uppdateringsprocessen; det svaret finns under processen för sårbarheter. Om företaget inte har ett ISO 27001-certifikat är det i sig vanligtvis ingen problem — försäkringsgivare accepterar normalt även en beskrivning av åtgärderna utan certifikat, så länge som svaren är konkreta och inte bara säger "ja, vi har policy".

Varför dessa två ramverk överlappar

Överlappningen är innehållsmässig, inte tillfällig: artikel 21 punkt 2 NIS2 nämner tio åtgärdskategorier (riskanalys, incidenthantering, affärskontinuitet, leverantörskedjans säkerhet, sårbarhetshantering, kryptografi, åtkomstkontroll, MFA, utbildning och verifiering av effektivitet), och Bilaga A av ISO/IEC 27001 utvecklar nästan samma ämnen till verifierbara kontrollåtgärder. Försäkringsgivare använder dessa ramverk som en objektiv standard eftersom de är externt dokumenterade och verifierbara — inte för att försäkringsgivaren själv är omfattad av cybersäkerhetslagen eller kräver det från kunden.