Fragebogen fragt, ob unser Unternehmen eine Cyberversicherung abgeschlossen hat

Eine Cyberversicherung ist kein Ersatz für die zehn Maßnahmen

Eine Cyberversicherung ist eine finanzielle Vorsorge gegen Schäden aus einem Incident, kein Nachweis des Sicherheitsniveaus. Die Frage nach einer Cyberversicherung ist in der Regel unabhängig von den Fragen zu den zehn Maßnahmen aus Artikel 21 Absatz 2 der NIS2-Richtlinie — diese befassen sich mit Risikoanalyse, Incident-Handling, Kontinuität und Zugang. Ein Kunde, der diese Frage stellt, möchte vor allem wissen, ob Vermögensschäden bei einem Incident abgedeckt sind, nicht ob die Sicherheit in Ordnung ist. Dieses Unterscheidung ist für die Antwort von Bedeutung: "nein" auf diese Frage sagt nichts aus über die Antwort auf die Frage, ob ein Verfahren für Sicherheitsvorfälle vorhanden ist oder auf die Frage nach Sicherungen und Notfallmaßnahmen.

Hat das Unternehmen keine Cyberversicherung, dann ist "nein" die sachlich zutreffende Antwort — es gibt keinen Grund, das zu "teilweise" oder "in Bearbeitung" umzuwandeln. Manche Policen decken nur bestimmte Schadensarten ab (zum Beispiel Betriebsunterbrechung, aber keine Reputationsschäden oder Bußgelder); falls dies für den Fragebogen relevant ist, steht das üblicherweise in einer separaten Erläuterungsfrage und nicht in der ja/nein-Frage selbst. Beachten Sie, dass die Police auf den Namen der richtigen Entität läuft: Eine Versicherung der Muttergesellschaft deckt nicht automatisch die Tochter, die den Fragebogen ausfüllt.

Warum dies unabhängig von den NIS2-Maßnahmen ist

Die zehn Maßnahmen aus Artikel 21 Absatz 2 der NIS2-Richtlinie erwähnen keine Versicherungspflicht; sie beschreiben technische und organisatorische Maßnahmen wie Risikomanagement, Kryptografie und Zugriffskontrolle. Auch Anhang A der ISO/IEC 27001 kennt keine Kontrollmaßnahme, die eine Versicherung zur Pflicht macht. Eine Cyberversicherung kann zwar eine sinnvolle Ergänzung zu den Maßnahmen darstellen, die in der Richtlinie zur Risikoanalyse festgelegt sind, aber rechtlich und normativ sind es zwei separate Themen.