Mein Cyber-Versicherer sendet einen umfangreichen Fragebogen, was muss ich ausfüllen

Cyberversicherer fragen nach denselben zehn Maßnahmen wie die NIS2

Ein umfassender Sicherheitsfragebogen eines Cyberversicherers überlappt sich weitgehend mit den zehn Maßnahmen des Artikels 21 Absatz 2 der NIS2-Richtlinie: Risikoanalyse, Incident-Handling, Geschäftskontinuität, Supply-Chain-Sicherheit, Schwachstellenmanagement, Kryptografie-Policy, Zugriffskontrolle und MFA. Versicherer verwenden diese Einteilung nicht, weil sie unter die Richtlinie fallen müssen, sondern weil sie ein brauchbarer Risiko-Indikator für Prämie und Deckung ist. Erkennst du diese Einteilung im Fragebogen wieder, dann kannst du großenteils auf das zurückgreifen, was du bereits für andere Auftraggeber festgehalten hast.

Wo es schwieriger wird: Versicherer fragen oft etwas konkreter nach als ein Auftraggeber, der nur "habt ihr ein Incident-Management" wissen will. Sie möchten beispielsweise wissen, ob ein Verfahren zur Behandlung von Sicherheitsvorfällen besteht einschließlich Meldungsfristen und Eskalationswegen, oder fragen nach der Wirksamkeit von Sicherheitsmaßnahmen — also nicht nur ob die Policy existiert, sondern ob sie jemals überprüft wurde. Hast du kein Nachweisstück, antworte dann sachlich: "noch nicht formalisiert" oder "in Entwicklung" ist besser als ein Ja, das du im Schadensfall nicht untermauern kannst.

ISO 27001 als kürzerer Weg durch die Liste

Hast du ein ISO-27001-Zertifikat, dann deckt das einen großen Teil des Fragebogens auf einmal ab, weil die Annex-A-Maßnahmen nahezu eins-zu-eins mit dem übereinstimmen, was Versicherer abfragen. Erwähne das Zertifikat ausdrücklich, wo danach gefragt wird, ob das Unternehmen ISO-27001-zertifiziert ist und verweise auf den entsprechenden Audit-Bericht, falls der Versicherer danach verlangt — das spart oft eine separate Erläuterung pro Frage.

Woher dies folgt: Artikel 21 Absatz 2 und Anhang A

Die zehn Kategorien von Maßnahmen stehen in Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 (NIS2); die niederländische Umsetzung erfolgt über das Cybersicherheitsgesetz, das am 15. August 2026 in Kraft tritt. Die vergleichbare Einteilung der Sicherheitsmaßnahmen findet sich in Annex A der ISO/IEC 27001. Versicherer sind an keine von beiden gebunden — der Fragebogen ist ein eigenständiges Risiko-Instrument — aber die Überschneidung in der Einteilung ist kein Zufall: beide Quellen beschreiben, was in der Praxis als Basis-Cybersicherheit gilt.