Mein Versicherer möchte einen Cybersicherheitsfragebogen, wie fülle ich den aus

Die Versichererliste deckt oft die zehn Maßnahmen der NIS2 ab

Der Fragebogen eines Versicherers ist in der Regel umfassender als ein Format eines Kunden, der selbst unter das Cybersicherheitsgesetz fällt, deckt aber dieselben Themen ab. Versicherer verwenden ihren eigenen Fragebogen, weil Prämie und Deckung vom Risiko abhängen, und diese Fragen lehnen sich stark an die zehn Maßnahmen aus Artikel 21 Absatz 2 der NIS2 an: Risikoanalyse, Incident Handling, Geschäftskontinuität, Lieferkette, Schwachstellen, Prüfung, Sensibilisierung, Kryptografie, Zugangsrichtlinie und MFA. Wenn du dieses Muster erkennst, kannst du die Antworten, die bereits in der Kettendatei vorhanden sind, normalerweise eins-zu-eins wiederverwenden, auch wenn der Versicherer andere Wörter verwendet als die vorherige Liste.

Zwei Fragen treten bei Versicherern häufiger auf als bei gewöhnlichen Kundenfragelisten: ob Incident Response geübt wurde (nicht nur, ob es ein Verfahren für Sicherheitsvorfälle gibt, sondern ob dieses auch getestet wurde) und ob es einen konkreten Wiederherstellungsplan mit Wiederherstellungszeit neben der allgemeinen Frage über gibt Sicherungen und Notfallvorsorge. Wenn Sie diese Übung oder diesen konkreten Plan nicht haben, ist "nein" die richtige Antwort — ein Versicherer fragt nach der Praxis, nicht nach der Absicht. Fehlt ein ISO-27001-Zertifikat, ist das an sich kein Problem: Viele Versicherer akzeptieren auch die einzelnen Maßnahmen ohne Zertifizierung.

Woher die zehn Maßnahmen stammen

Die Unterteilung in zehn Maßnahmen ist in Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 festgelegt und findet sich auch in Anlage A der ISO/IEC 27001, in der dieselben Kontrollmaßnahmen detaillierter ausgearbeitet sind. Versicherer formulieren ihre Fragen oft lockerer als der Richtlinientext, aber die zugrundeliegende Struktur ist dieselbe — daher geht das Ausfüllen schneller, wenn Sie wissen, welche Frage zu welcher Maßnahme gehört.