Ist NIS2-Risiko über eine Cyber-Versicherung versicherbar?

Was Cyber-Versicherungen üblicherweise abdecken

Die GDV-Musterbedingungen sind eine unverbindliche Empfehlung; Anbieter können davon abweichen. Sie gliedern den Schutz in einen Service- und Kosten-Baustein (A2), einen Drittschaden-Baustein (A3) und einen Eigenschaden-Baustein (A4). Übliche Leistungsbereiche:

Kosten und Eigenschäden:

• Kosten externer Sachverständiger zur Ermittlung der Ursache und des Schadens (Forensik, A2-1)
• Wiederherstellung von Daten und Systemen
• Betriebsunterbrechungsschaden
• Kosten für Krisenkommunikation und PR (in den Musterbedingungen nur per besonderer Vereinbarung, A2-2.2)
• Nicht enthalten: Löse- und Erpressungsgelder sind in den Musterbedingungen ausgeschlossen (A1-17.6); einzelne Anbieter-Bedingungen können abweichen.

Drittschäden:

• Gesetzliche Haftpflichtansprüche wegen Datenschutzverletzungen (z. B. nach Art. 82 DSGVO; A3-4.1)
• Gesetzliche Schadensersatzansprüche Dritter wegen einer Informationssicherheitsverletzung (A3-1). Ansprüche aus vertraglichen Zusagen über die gesetzliche Haftpflicht hinaus sind ausgeschlossen (A3-3); Vertragsstrafen sind nur im Sonderbaustein E-Payment/PCI versichert (A3-4.2).
• Immaterielle Schäden wegen Persönlichkeits-, Namens-, Urheber- und Markenrechtsverletzungen infolge einer Informationssicherheitsverletzung (A3-1)

Service-Komponenten (in den GDV-Musterbedingungen nicht geregelt; ob ein Anbieter sie bietet, ergibt sich aus dessen Bedingungen):

• 24/7-Hotline für Krisenfälle
• Vorvermittlung von Forensik-Dienstleistern, IT-Security-Anwälten, PR-Beratern
• Präventive Beratungsleistungen (z.B. Phishing-Simulationen)

Die AVB Cyber des GDV (Stand Februar 2024) sind die Referenz für die folgenden Klauselverweise.

Bußgelder: Wo die Versicherbarkeit endet

Maßgeblich ist zunächst der Vertrag. Die GDV-Musterbedingungen schließen Schäden aus behördlichen Vollstreckungen oder Anordnungen, Strafen, Bußgelder sowie Punitive und Exemplary Damages gegen den Versicherungsnehmer aus, sofern keine abweichenden Regelungen getroffen sind (A1-17.10). Ob eine abweichende Vereinbarung, die ein Bußgeld selbst übernimmt, rechtlich Bestand hätte, ist eine Frage des Einzelfalls und vor Vertragsschluss zu klären.

Davon zu unterscheiden sind Anwalts-, Sachverständigen- und Verfahrenskosten in einem Bußgeldverfahren. Ob sie gedeckt sind, etwa über eine D&O- oder Rechtsschutzversicherung, hängt von den konkreten Bedingungen ab.

Konkret bedeutet das für NIS2: Die Bußgelder nach § 65 BSIG (Umsetzung von Art. 34 NIS2), bis 10 Mio. € für besonders wichtige und bis 7 Mio. € für wichtige Einrichtungen, bei mehr als 500 Mio. € Gesamtumsatz bis 2 % bzw. 1,4 % des weltweiten Umsatzes, sind nach den Musterbedingungen nicht gedeckt, sofern nichts Abweichendes vereinbart ist. Versicherbar sind vor allem die Folgen eines Vorfalls: Forensik, Datenwiederherstellung, Betriebsunterbrechung und gesetzliche Haftpflichtansprüche Dritter.

Ausschlüsse: Wo Compliance-Lücken zu Deckungslücken werden

Die GDV-Musterbedingungen arbeiten mit zwei Mechanismen. Ausgeschlossen sind Schäden, die vorsätzlich oder durch wissentliche Pflichtverletzung herbeigeführt wurden (A1-17.9); eine Kürzung wegen grob fahrlässiger Herbeiführung nach § 81 Abs. 2 VVG findet ausdrücklich nicht statt. Praktisch wichtiger sind die Obliegenheiten vor dem Versicherungsfall (A1-16): u. a. individuelle Zugänge und Passwort-Mindestanforderungen, zusätzlicher Zugriffsschutz für über das Internet erreichbare Server und Mobilgeräte, automatisch aktualisierter Schadsoftwareschutz, Patch-Management mit zeitnaher Installation von Sicherheitsupdates, mindestens wöchentliche Datensicherung mit regelmäßig geprüfter Wiederherstellung sowie die Einhaltung aller gesetzlichen, behördlichen und vertraglich vereinbarten Sicherheitsvorschriften. Bei vorsätzlicher Verletzung ist der Versicherer leistungsfrei, bei grob fahrlässiger kann er die Leistung nach der Schwere des Verschuldens kürzen (B3-4.2.1). Typische Prüfpunkte:

• Patch-Lücken über Wochen ohne Begründung, kann als grob fahrlässig gewertet werden
• Fehlende MFA auf über das Internet erreichbaren Systemen: Die Musterbedingungen nennen 2-Faktor-Authentifizierung bei Servern als Beispiel für den geforderten zusätzlichen Schutz (A1-16.1 b); für NIS2-Pflichtige ist MFA zudem Mindestmaßnahme nach § 30 Abs. 2 Nr. 10 BSIG
• Nicht durchgeführte Schulungen der Mitarbeitenden, für NIS2-Pflichtige eine Mindestmaßnahme nach § 30 Abs. 2 Nr. 7 BSIG
• Veraltete Backups ohne geprüfte Wiederherstellung: Die Musterbedingungen verlangen einen mindestens wöchentlichen Sicherungsprozess und die regelmäßige Prüfung der Wiederherstellung (A1-16.1 e)

Versicherbarkeit von Drittschäden bei NIS2-Vorfällen

Bei Vorfällen mit NIS2-Relevanz entstehen oft erhebliche Drittschäden, gegen die Versicherung greifen kann. Typische Konstellationen:

• Kettenwirkung bei B2B-Lieferketten: ein Cyber-Vorfall bei einem IKT-Dienstleister führt zu Produktionsausfällen bei seinen Kunden, die Kunden machen Schadenersatz geltend. Gedeckt ist nach den Musterbedingungen die gesetzliche Haftpflicht, nicht aber vertraglich erweiterte Haftung oder Vertragsstrafen (A3-3)
• Datenschutzansprüche nach Art. 82 DSGVO: Betroffene können bei Datenlecks immateriellen und materiellen Schadenersatz fordern
• Verbandsklagen von Verbraucherverbänden nach der Richtlinie (EU) 2020/1828, in Deutschland als Abhilfe- oder Musterfeststellungsklage nach dem Verbraucherrechtedurchsetzungsgesetz (§ 1 VDuG)
• Investorenklagen bei börsennotierten Unternehmen

Nach den Musterbedingungen sind gesetzliche Haftpflichtansprüche gedeckt (A3-1); Ansprüche auf Vertragserfüllung und Ansprüche aus vertraglichen Zusagen über die gesetzliche Haftpflicht hinaus sind ausgeschlossen (A3-2, A3-3). Wer in B2B-Verträgen Vertragsstrafen oder erweiterte Haftung zusagt, braucht dafür eine abweichende Vereinbarung. Die Versicherungssumme begrenzt die Leistung je Versicherungsfall und je Versicherungsjahr.

Auswahl-Kriterien für KMU-Policen

Bei der Auswahl einer Cyber-Police mit Fokus auf NIS2-Risiken sind folgende Punkte zu prüfen:

Praxis: Police und NIS2-Maßnahmen zusammen denken

Strategische Anbindung:

1. Police als Abgleich für Compliance: Die Antragsfragen des Versicherers zu Sicherheitsmaßnahmen sind vollständig und richtig zu beantworten (B3-1.1) und zeigen, welche Maßnahmen er konkret erwartet
2. Backup und Patch-Management verlangen sowohl § 30 Abs. 2 BSIG als auch die Musterbedingungen (A1-16.1 d, e); MFA ist NIS2-Mindestmaßnahme (§ 30 Abs. 2 Nr. 10 BSIG) und in den Musterbedingungen ein Beispiel für zusätzlichen Schutz von Servern
3. Vorfalls-Dokumentation standardisiert führen: Sie dient den Meldungen nach § 32 BSIG und den Anzeige-, Auskunfts- und Dokumentationsobliegenheiten gegenüber dem Versicherer (B3-3.2 bis B3-3.4)
4. Versicherungs-Makler in NIS2-Steuerungsgruppe einbinden, externe Sicht auf die eigenen Maßnahmen
5. Police regelmäßig anpassen, Wachstum, neue Sektoren, neue Risiken erfordern Deckungs-Update

FAQ

Sind D&O-Versicherungen bei Geschäftsleitungs-Haftung nach Art. 20 NIS2 hilfreich?

Nach § 38 Abs. 2 BSIG haften Geschäftsleitungen ihrer Einrichtung für schuldhaft verursachte Schäden nach den gesellschaftsrechtlichen Regeln, wenn sie ihre Umsetzungs- und Überwachungspflicht nach § 38 Abs. 1 BSIG verletzen. Solche Innenhaftungsansprüche sind der typische Anwendungsfall einer D&O-Police. Ob auch Verteidigungskosten oder Geldbußen gedeckt sind, regeln die jeweiligen Bedingungen; das ist vor Abschluss konkret zu erfragen.

Greift die Versicherung auch bei Lieferketten-Vorfällen?

Wenn ein Vorfall bei einem Zulieferer eintritt und beim versicherten Unternehmen einen Schaden auslöst, hängt die Deckung von der konkreten Police ab. Die GDV-Musterbedingungen schließen Schäden aus, die infolge des Ausfalls, der Unterbrechung oder Störung der Dienstleistung eines externen Dienstleisters entstehen, soweit sie die Verfügbarkeit der eigenen Daten oder Systeme beeinträchtigen (A1-2.2). Anbieter-Bedingungen können davon abweichen. In B2B-Konstellationen ist das ein zentraler Verhandlungspunkt, und ein Argument für eine sorgfältige Lieferanten-Auswahl.

Wie wirkt sich eine NIS2-Zertifizierung auf die Prämie aus?

Allgemein gültige Rabattsätze lassen sich nicht angeben. Ob und wie ein ISO-27001-Zertifikat oder nachgewiesene NIS2-Maßnahmen in Prämie und Deckung einfließen, legt der Versicherer über Antragsfragen und Tarif fest. Wichtig ist die vorvertragliche Anzeigepflicht: Gefahrerhebliche Umstände, nach denen der Versicherer in Textform gefragt hat, etwa zu Sicherheitsmaßnahmen, sind vollständig und richtig anzuzeigen (B3-1.1); nachträgliche Verschlechterungen können eine Gefahrerhöhung sein (B3-2).

Was, wenn die Versicherung den Vorfall nicht zahlt?

Die Frage entstand schon vor NIS2: bei vorsätzlicher Obliegenheitsverletzung ist der Versicherer leistungsfrei, bei grob fahrlässiger kann er die Leistung kürzen (B3-4.2.1 AVB Cyber). Im Streitfall entscheiden die Zivilgerichte. Vorbeugung ist günstiger als Streit: präzise Police, dokumentierte Maßnahmen, regelmäßiges Compliance-Audit.

Decken Versicherungen auch Reputation-Schäden ab?

Reine Reputationsschäden ohne konkreten Vermögensverlust sind nach den Musterbedingungen nicht versichert. Umsatzverluste zählen dort nur dann als Unterbrechungsschaden, wenn Daten oder Systeme infolge der Informationssicherheitsverletzung nicht zur Verfügung stehen oder nicht die übliche Leistung erbringen (A4-1.1.1). Kosten für Krisenkommunikation und PR sind nur per besonderer Vereinbarung versichert (A2-2.2); Höhe und Sublimit ergeben sich aus der Police.