Versicherer fragt Sicherheits-Fragensammlung für Cybersicherheitsversicherung, was muss ich tun

Versicherer fragen nach denselben zehn Maßnahmen, wollen aber Nachweise

Ein Cybersicherheitsversicherer stellt Fragen, die sich weitgehend mit Artikel 21 Absatz 2 der NIS2 überschneiden: Reaktion auf Zwischenfälle, Sicherungen, MFA, Patch-Richtlinie, Lieferantenverwaltung. Der Unterschied zu einem NIS2-Fragebogen eines Kunden besteht darin, dass der Versicherer konkrete Nachweise möchte, keine Richtlinienabsicht. Während ein Kettenpartner mit "ja, wir haben ein Verfahren" zufrieden ist, möchte der Versicherer oft wissen, ob ein Verfahren zur Behandlung von Sicherheitsvorfällen besteht einschließlich Wiederherstellungszeit, und ob Mehrstufenauthentifizierung für alle externen Zugriffe erforderlich ist oder nur für Admin-Konten. Dieser Granularitätsunterschied ist der Grund für die meisten Zweifel: eine Antwort, die bei einem Fragebogen ausreicht, ist bei einem anderen zu allgemein.

Wenn eine Maßnahme zwar vorhanden ist, aber nicht überall konsequent angewendet wird — beispielsweise MFA in der Cloud-Umgebung, aber nicht im VPN — ist die übliche Antwort "teilweise" mit einer kurzen Erläuterung, nicht ein "ja", das die Deckung später in Frage stellen könnte. Für die Fragen über Sicherungen und Notfallvorsorge und zur Sicherheitsanforderungen an eigene Lieferanten gilt dasselbe: Der Versicherer prüft oft nachträglich, bei einem Schadensfall, ob die Antwort korrekt war. Ein ISO 27001-Zertifikat beschleunigt diesen Prozess erheblich, weil das Zertifikat die Annex-A-Maßnahmen bereits unabhängig geprüft werden — ohne Zertifikat müssen Sie für jede Frage selbst die Nachweise erbringen.

Warum Versicherer etwas mehr fragen als die zehn NIS2-Maßnahmen

Die zehn Maßnahmen von Artikel 21 Absatz 2 der NIS2 bilden den Kern fast jeden Sicherheitsfragebogens, Cybersicherheitsversicherer eingeschlossen, aber Versicherer ergänzen dies oft mit Fragen, die für die Risikobewertung bei einem Schadensfall spezifisch sind — wie beispielsweise der Umfang von MFA oder die Wiederherstellungszeit nach einem Zwischenfall. ISO/IEC 27001 Annex A bietet pro Maßnahme die Kontrollmaßnahmen, mit denen Sie eine Antwort untermauern können, was besonders relevant ist, weil Versicherer häufiger um Nachweise fragen als andere Abnehmer.