Fragebogen fragt, ob wir gegen Cybervorfälle versichert sind

Cyberversicherung ist kein Ersatz für Maßnahmen, sondern eine separate Frage

Eine Cyberversicherung steht unabhängig von den zehn Maßnahmen aus Artikel 21 Absatz 2 der NIS2 und unabhängig von Annex A der ISO/IEC 27001. Die Frage, ob Sie gegen Cybervorfälle versichert sind, befasst sich mit der finanziellen Deckung nach einem Vorfall, nicht mit der Qualität Ihrer vorherigen Sicherheit. Einige Kunden fragen dies als separate Frage, andere nutzen es als indirekten Test: Ein Versicherer akzeptiert normalerweise keine Police ohne dass es Mindestbasismaßnahmen gibt, daher wird "ja, versichert" manchmal als impliziter Beleg für eine gewisse Reife gelesen. Das ist eine Annahme der fragenden Partei, nicht eine Norm aus den angeführten Quellen.

Wenn Sie eine Police haben, kann die Antwort mit "ja" untersucht werden, sobald Sie die Police oder das Versicherungszertifikat als Beweismittel haben. Wenn Sie keine Police haben, ist "nein" die sachlich richtige Antwort – eine Anschlussfrage zu Ausgleichsmaßnahmen wird normalerweise separat gestellt, zum Beispiel zu dem Verfahren zur Behandlung von Sicherheitsvorfällen oder über Sicherungen und Wiederherstellungsvorkehrungen. Wenn Sie unsicher sind, ob die Frage nach der Police selbst geht oder nach der Deckung (zum Beispiel Deckung bei Ransomware versus Betriebsunterbrechung), lesen Sie den Fragetext wörtlich: "versichert gegen Cybervorfälle" ist breiter als "Cyberversicherung abgeschlossen", und das Kettendossier muss die Antwort auf die gestellte Frage abdecken, nicht auf eine verwandte Frage.

Keine der drei Quellen schreibt eine Cyberversicherung vor

Weder NIS2 Artikel 21 Absatz 2 noch Annex A der ISO/IEC 27001 noch das Cybersicherheitsgesetz nennt eine Versicherungspflicht. Die zehn Maßnahmen der NIS2 befassen sich mit Risikomanagement, Vorfallbehandlung, Geschäftskontinuität und dergleichen – eine Versicherung kommt darin nicht vor. Annex A kennt ebenfalls keine Sicherungsmaßnahme, die speziell eine Versicherung erfordert. Ein Kunde, der nach Versicherung fragt, tut dies daher auf eigene Initiative, unabhängig von dieser Regelung; die Antwort bleibt daher eine sachliche Ja/Nein-Frage mit einer Police als Beweismittel, nicht eine Compliance-Frage mit einer gesetzlichen Untergrenze.