kund frågar om vi är försäkrade mot cyberskador

Cyberförsäkring i sig är ingen NIS2-åtgärd

En cyberförsäkring finns inte i listan i artikel 21 punkt 2 i NIS2-direktivet. De tio åtgärderna i denna artikel handlar om riskanalys, incidenthantering, affärskontinuitet, leverantörskedjans säkerhet, åtkomstpolicy och liknande — en försäkringspolicy är inte en säkerhetsmåtgärd utan ett sätt att täcka finansiella återstående skador. Ändå kommer frågan ofta upp i frågeformulär från kunder och försäkringsgivare själva, eftersom en policy säger något om hur väl ett företag hanterar risker. I ISO/IEC 27001 ser du samma sak: Annex A innehåller ingen kontrollmåtgärd "försäkring", men riskhantering — varav försäkring är en erkänd form tillsammans med reduktion, undvikande och acceptans — är väl en del av ledningssystemet.

Huruvida du måste vara försäkrad beror alltså inte på de tio åtgärderna i sig utan på vad din kund praktiskt taget vill veta om det: har du finansiell täckning om något går fel, eller har du främst det grundläggande i ordning? Dessa två frågor ställs separat i de flesta formulär. Känn igen mönstret: om frågan finns i ett avsnitt om riskhantering ställs ofta frågor om motivering för policy för riskanalys och säkerhet för informationssystem. Om frågan är separat, som en egen rad om finansiell motståndskraft, räcker ett faktiskt svar om själva försäkringen — har du det inte är "nej" det rätta svaret, även om det känns som en brist.

Varifrån detta kommer: artikel 21 punkt 2 och bilaga A

Artikel 21 punkt 2 i NIS2-direktivet anger de tio obligatoriska åtgärderna begränsat; en försäkring är inte med, inte heller implicit under kontinuitet — det handlar om säkerhetskopior och nödåtgärder för att återställa tjänsteleveransen, inte om finansiell kompensation i efterhand. I Annex A i ISO/IEC 27001 är riskhantering väl en explicit del av ledningssystemet, och försäkring är inom detta en erkänd behandlingsalternativ tillsammans med tekniska och organisatoriska åtgärder. Cybersäkerhetslag, som implementerar NIS2 i Nederländerna och träder i kraft den 15 augusti 2026, upprepar de tio åtgärderna från direktivet utan att lägga till någon försäkringskrav.