Unser Versicherer möchte eine Cyberfrageliste für die Police ausfüllen

Cyber-Versicherer fragen die zehn Maßnahmen aus NIS2 ab, nicht das Label

Der Cyber-Fragebogen eines Versicherers folgt meist derselben Struktur wie die zehn Maßnahmen aus Artikel 21 Absatz 2 der NIS2-Richtlinie: Risikoanalyse, Vorfallbehandlung, Kontinuität, Kettenbeveiliging, Schwachstellenmanagement, Überprüfung, Sensibilisierung, Verschlüsselung, Zugangsrichtlinie und MFA. Versicherer verwenden diese Einteilung, weil sie de facto zum Standard geworden ist, um zwischen "Basis in Ordnung" und "Risiken unkontrolliert" zu unterscheiden — nicht, weil die Police eine gesetzliche NIS2-Verpflichtung auferlegt. Ob das Unternehmen selbst unter die Richtlinie oder das Cybersicherheitsgesetz fällt, ist daher eine separate Frage von der Frage, ob der Versicherer danach fragt.

Für jeden dieser zehn Punkte möchte der Versicherer eine konkrete Antwort, keine Absicht. Bei Risikoanalyse zählt ein datiertes Risikoregister schwerer als ein Richtliniendokument ohne Umsetzung. Bei MFA fragt die Liste häufig gezielt nach E-Mail, VPN und Administratorkonten separat — "ja" für das gesamte Unternehmen ist dann zu grob. Fehlt eine Maßnahme, dann ist "noch nicht eingeführt, geplant für [Datum]" eine aussagekräftigere Antwort als ein unehrliches "ja" oder ein leeres Feld: Versicherer bewerten häufiger auf der Grundlage transparenter Lücken als auf der Grundlage einer perfekt ausgefüllten Liste, die sich im Schadensfall als unzutreffend herausstellt.

Begründung: Artikel 21 Absatz 2 NIS2 und Annex A der ISO 27001

Die zehn Maßnahmen aus Artikel 21 Absatz 2 NIS2 bilden das Gerüst, auf das nahezu jeder Cyber-Versicherer seinen Fragebogen aufbaut, und wer bereits ISO/IEC 27001-zertifiziert ist, erkennt dieselben Kategorien in Annex A dieser Norm wieder — mit dem Unterschied, dass ein ISO-Zertifikat eine unabhängige Überprüfung der Umsetzung hinzufügt, während der Versicherer selbst nichts überprüft und sich auf die Selbstauskunft in der Liste verlässt.