Versicherer möchte Fragensammlung für Cybersicherheitsversicherung ausfüllen, wie gehe ich vor

Cyberversicherungs-Fragebögen folgen denselben zehn Maßnahmen

Der Fragebogen eines Versicherers deckt in der Regel dieselben Bereiche ab wie ein NIS2-Fragebogen eines Kunden: Zugriffskontrolle, MFA, Sicherungen, Patch-Richtlinie, Incident Response. Das ist kein Zufall – Versicherer stützen ihre Akzeptanzfragen mittlerweile weitgehend auf die zehn Maßnahmenkategorien von Artikel 21 Absatz 2 der NIS2-Richtlinie und auf die Kontrollmaßnahmen von Annex A der ISO/IEC 27001. Wer diese beiden Rahmenwerke bereits für einen Kunden ausgefüllt hat, kann die Antworten weitgehend unverändert für den Versicherer übernehmen. Der Unterschied liegt im Ton: Ein Kunde fragt nach Richtlinien, ein Versicherer fragt oft etwas spezifischer nach – beispielsweise ob MFA für alle Admin-Konten obligatorisch ist, nicht nur "vorhanden".

Ergänzen Sie daher zunächst das Kettenformular an den Stellen, an denen der Versicherer tiefer eindringt als üblich: Multi-Faktor-Authentifizierung für Unternehmenssysteme, das Verfahren bei Sicherheitsvorfällen und die Sicherungs- und Wiederherstellungsvorrichtung. Versicherer fragen regelmäßig auch nach dem Patch-Prozess; diese Antwort finden Sie unter dem Prozess für Schwachstellen. Verfügt das Unternehmen über kein ISO 27001-Zertifikat, ist das für sich genommen normalerweise kein Problem – Versicherer akzeptieren in der Regel auch eine Beschreibung der Maßnahmen ohne Zertifikat, solange die Antworten konkret sind und nicht nur "ja, wir haben eine Richtlinie" sagen.

Warum diese beiden Rahmenwerke überlappen

Die Überlappung ist sachlich, nicht zufällig: Artikel 21 Absatz 2 NIS2 nennt zehn Maßnahmenkategorien (Risikoanalyse, Incident Handling, Geschäftskontinuität, Lieferkettensicherheit, Schwachstellenmanagement, Kryptographie, Zugriffskontrolle, MFA, Schulung und Überprüfung der Wirksamkeit), und Annex A der ISO/IEC 27001 arbeitet praktisch dieselben Themen bis zu prüfbaren Kontrollmaßnahmen aus. Versicherer nutzen diese Rahmenwerke als objektiven Maßstab, weil sie extern dokumentiert und überprüfbar sind – nicht weil der Versicherer selbst unter das Cybersicherheitsgesetz fällt oder dies vom Kunden verlangt.