Kunde fragt, ob wir gegen Cyberschäden versichert sind

Cybersicherungsversicherung ist selbst keine NIS2-Maßnahme

Eine Cybersicherungsversicherung steht nicht in der Liste von Artikel 21 Absatz 2 der NIS2-Richtlinie. Die zehn Maßnahmen aus diesem Artikel befassen sich mit Risikoanalyse, Incident Handling, Business Continuity, Lieferkettensicherheit, Zugangsrichtlinien und dergleichen — eine Versicherungspolice ist keine Sicherheitsmaßnahme, sondern eine Möglichkeit, finanzielle Restschäden auszugleichen. Dennoch taucht die Frage häufig in Fragebögen von Kunden und Versicherern selbst auf, weil eine Police aussagt, wie reif ein Unternehmen mit Risiken umgeht. Bei ISO/IEC 27001 sieht man dasselbe: Annex A enthält keine Kontrollmaßnahme "Versicherung", aber Risikomanagement — wovon Versicherung eine anerkannte Form neben Reduktion, Vermeidung und Akzeptanz ist — gehört dennoch zum Managementsystem.

Ob du versichert sein musst, hängt also nicht von den zehn Maßnahmen selbst ab, sondern davon, was dein Kunde praktisch damit wissen will: Hast du finanzielle Deckung, falls etwas schiefgeht, oder hast du vor allem die Grundlagen in Ordnung? Diese beiden Fragen werden in den meisten Listen unabhängig voneinander gestellt. Erkenne das Muster: Steht die Frage in einem Abschnitt über Risikomanagement, wird oft nach der Begründung gefragt der Richtlinie für Risikoanalyse und Sicherheit von Informationssystemen. Steht die Frage isoliert als separate Zeile zur finanziellen Widerstandsfähigkeit, genügt eine sachliche Antwort über die Police selbst — hast du diese nicht, dann ist "nein" die richtige Antwort, auch wenn das wie ein Mangel wirkt.

Woher das kommt: Artikel 21 Absatz 2 und Anlage A

Artikel 21 Absatz 2 der NIS2-Richtlinie nennt die zehn erforderlichen Maßnahmen abschließend; eine Versicherung ist nicht darunter enthalten, auch nicht implizit unter Kontinuität — das betrifft Sicherungen und Notfallmaßnahmen zur Wiederherstellung der Dienstleistungen, nicht über finanzielle Entschädigungen nachträglich. In Annex A der ISO/IEC 27001 ist Risikomanagement ein expliziter Bestandteil des Managementsystems, und Versicherung ist darin eine anerkannte Behandlungsoption neben technischen und organisatorischen Maßnahmen. Das Cybersicherheitsgesetz, das NIS2 in den Niederlanden umsetzt und am 15. August 2026 in Kraft tritt, wiederholt die zehn Maßnahmen der Richtlinie, ohne eine Versicherungspflicht hinzuzufügen.