Ubezpieczyciel oferujący ubezpieczenie cybernetyczne zwykle prosi o kombinację dokumentów: przegląd danych osobowych, które przetwarzasz i w jakim celu, opis twoich technicznych i organizacyjnych środków bezpieczeństwa, dowód umów zawartych z dostawcami przetwarzającymi dane w twoim imieniu, oraz protokół na wypadek problemów. Niektórzy ubezpieczyciele żądają tego oddzielnie, inni przetwarzają to w jednym cyfrowym kwestionariuszu.
Nie istnieje ustawowo określona lista dokumentów na potrzeby ubezpieczenia cybernetycznego. Sama RODO nakłada obowiązek rozliczeniowości: organizacja musi wykazać, że zastanawia się nad ochroną danych osobowych i że ma to uporządkowane. Jak wygląda ta wykazywalna dokumentacja, decyduje sam ubezpieczyciel, a nie prawo. To dokładnie szczegół, który podczas tego momentu zakupu najczęściej się pomija: przedsiębiorcy szukają tego formularza lub tego certyfikatu, który wystarczy, podczas gdy ubezpieczyciele w praktyce przede wszystkim chcą zobaczyć spójną całość.
Co ubezpieczyciel zwykle chce zobaczyć
Jądrem większości kwestionariuszy jest rejestr przetwarzania: przegląd danych osobowych, które przetwarzasz, w jakim celu, jak długo je przechowujesz i kto ma do nich dostęp. Ponadto często pytane są umowy o przetwarzaniu danych z podmiotami przetwarzającymi dane w twoim imieniu, takimi jak twój pakiet księgowy, system HR czy narzędzie marketingowe. Trzecim powtarzającym się elementem jest protokół na wypadek naruszenia danych: jak wykrywasz incydent, kogo powiadamiasz w swojej organizacji i jak oceniasz, czy konieczne jest powiadomienie Urzędu Ochrony Danych Osobowych. Kto wątpi, czy zdarzenie podlega tej kategorii, może to zobaczyć w kilku pytaniach, gdzie mniej więcej stoi dana sytuacja.
Ubezpieczyciele patrzą poza to często dalej niż sama RODO. Pytania dotyczące kopii zapasowych, polityki haseł, weryfikacji dwuetapowej i tego, kto w firmie ma dostęp do jakich systemów, należą do bezpieczeństwa informacji w szerszym sensie. To nakłada się na prywatność, ale nie jest jej równoznaczne: firma może mieć wzorowy rejestr przetwarzania i jednocześnie słabe techniczne bezpieczeństwo lub odwrotnie. Przegląd środków, które już podjąłeś, pomaga powiązać te dwie rzeczy; zobacz także jak patrzą na to przy ocenie danych i prywatności.
Dlaczego wykazywalna dokumentacja jest czymś innym niż certyfikat
Często słyszane pytanie to, czy certyfikat ISO czy inny certyfikat zastępuje dowód, który szuka ubezpieczyciel. Certyfikat może mieć znaczenie, ale rzadko zastępuje pytanie o twoją konkretną sytuację: jakie dane przetwarzasz w tej konkretnej firmie, z którymi dostawcami pracujesz, i co się dzieje, jeśli coś pójdzie źle. Organy nadzoru i ubezpieczyciele patrzą na tym punkcie na podobne rzeczy, ale z innym celem: organ nadzoru ocenia zgodność z prawem, ubezpieczyciel szacuje ryzyko przed wydaniem polisy. Ta różnica wyjaśnia, dlaczego dwaj ubezpieczyciele czasem pytają o nieco inne dokumenty, podczas gdy podstawa — rejestr, umowy, protokół — pozostaje zawsze taka sama.
Co możesz przygotować już teraz
Rozsądnie jest zacząć od tego, co już jest: jakie oprogramowanie i dostawcy wykorzystuje twoja firma, i czy istnieje umowa o przetwarzaniu danych dla każdego z nich. Następnie chodzi o udokumentowanie tego, co rzeczywiście się dzieje: jakie dane są gdzie, kto do nich ma dostęp i jak długo są przechowywane. Dla firm, które mapują to po raz pierwszy, strukturalny przegląd często pojawiających się pytań jest dobrym punktem wyjścia; zobacz odpowiedzi na pytania, które pojawią się częściej przy tego rodzaju prośbach.
Jeśli wolisz najpierw zrozumieć, jak taka lista dokumentów jest zbudowana i na czym oparta jest zawarta w niej informacja, możesz to przeczytać w bazie wiedzy. Tam znajdziesz na każdy temat krótką odpowiedź wraz ze wskazaniem źródła w tekście oficjalnym, abyś sam mógł sprawdzić, skąd pochodzi wymóg; zobacz na przykład w baza wiedzy z wyjaśnieniami dla każdego tematu przed rozmową z ubezpieczycielem.
Od dokumentów rozproszonych do rejestru bieżącego
Najtrudniejszą częścią tego momentu zakupu nie jest opracowanie jednego dokumentu, ale utrzymywanie go na bieżąco. Rejestr przetwarzania danych, który został sporządzony rok temu i od tego czasu nie był aktualizowany, często nie odpowiada narzędziom, które przedsiębiorstwo tymczasem zaczęło używać. System, który pozwala rejestrowi rosnąć razem z faktycznie używanym oprogramowaniem i który śledzi, które umowy z przetwarzającymi dane jeszcze brakuje, oszczędza kłopotu w momencie, gdy ubezpieczyciel nagle o nie poprosi.
To, czy dotyczy to Twojej firmy w tej chwili i które dokumenty konkretnie Ci są potrzebne, to coś, co najlepiej omówić bezpośrednio z ubezpieczycielem lub z doradcą; artykuł ten wyjaśnia kwestię, ale nie stanowi porady prawnej dotyczącej Twojej konkretnej polisy.
Chcesz najpierw sam sprawdzić, gdzie mniej więcej stoi Twoja firma? Bezpłatny przegląd szybki daje w kilka pytań orientacyjne wskazanie, a w bazie wiedzy znajdziesz na każdy temat krótką odpowiedź ze wskazaniem źródła. Jeśli potem chcesz strukturalnie prowadzić rejestr i jego monitorowanie, przeczytaj na ile kosztuje system wokół tego co się z tym wiąże.