Ein Versicherer, der eine Cyberversicherung anbietet, fordert normalerweise eine Kombination von Unterlagen an: einen Überblick, welche personenbezogenen Daten Sie verarbeiten und wofür, eine Beschreibung Ihrer technischen und organisatorischen Sicherheitsmaßnahmen, Nachweise dafür, dass Sie Vereinbarungen mit Lieferanten haben, die Daten in Ihrem Auftrag verarbeiten, und ein Protokoll für den Fall, dass etwas schiefgeht. Einige Versicherer fordern dies einzeln an, andere verarbeiten es in einem digitalen Fragebogen.
Es gibt keine gesetzlich vorgeschriebene Liste von Dokumenten für eine Cyberversicherung. Die DSGVO selbst legt eine Rechenschaftspflicht auf: eine Organisation muss nachweisen können, dass sie über den Schutz personenbezogener Daten nachgedacht hat und diesen geregelt hat. Wie dieser Nachweis aussieht, bestimmt der Versicherer selbst, nicht das Gesetz. Das ist genau das Detail, das in diesem Kaufmoment am häufigsten übersehen wird: Unternehmer suchen nach dem Formular oder dem Zertifikat, das ausreicht, während Versicherer in der Praxis vor allem sehen wollen, dass ein kohärentes Ganzes vorhanden ist.
Was ein Versicherer normalerweise sehen möchte
Der Kern der meisten Fragebögen ist ein Verarbeitungsverzeichnis: ein Überblick, welche personenbezogenen Daten Sie verarbeiten, zu welchem Zweck, wie lange Sie diese speichern und wer Zugang dazu hat. Darüber hinaus wird häufig nach den Datenverarbeitungsverträgen mit Parteien gefragt, die in Ihrem Auftrag Daten verarbeiten, wie Ihr Buchhaltungspaket, Ihr HR-System oder ein Marketingtool. Ein drittes wiederkehrendes Element ist das Datenschutzprotokoll: Wie erkennen Sie einen Vorfall, wen benachrichtigen Sie in Ihrer Organisation und wie beurteilen Sie, ob eine Meldung an die Autoriteit Persoonsgegevens erforderlich ist. Wer sich unsicher ist, ob ein Vorfall darunter fällt, kann das in ein paar Fragen sehen, wo eine Situation ungefähr steht.
Versicherer schauen darüber hinaus oft über die DSGVO hinaus. Fragen zu Sicherungen, Passwortrichtlinien, Zwei-Faktor-Authentifizierung und wer im Unternehmen auf welche Systeme zugreifen kann, gehören zur Informationssicherheit im weiteren Sinne. Dies überlappt sich mit Datenschutz, ist aber nicht dasselbe: ein Unternehmen kann ein ordentliches Verarbeitungsverzeichnis haben und gleichzeitig schwache technische Sicherheit haben, oder umgekehrt. Ein Überblick über die Maßnahmen, die Sie tatsächlich durchgeführt haben, hilft dabei, diese beiden miteinander zu verbinden; siehe auch wie darauf geschaut wird bei der Beurteilung von Daten und Datenschutz.
Warum Rechenschaftspflicht etwas anderes ist als ein Zertifikat
Eine häufig gestellte Frage ist, ob ein ISO-Zertifikat oder ein anderes Zertifikat den Nachweis ersetzt, den ein Versicherer sucht. Ein Zertifikat kann eine Rolle spielen, ersetzt aber selten die Frage nach der eigenen Situation: Welche Daten verarbeitet genau dieses Unternehmen, mit welchen Lieferanten arbeitet es zusammen und was passiert, wenn etwas schiefgeht. Aufsichtsbehörden und Versicherer schauen auf diesen Punkt auf ähnliche Dinge, aber mit einem anderen Ziel: die Aufsichtsbehörde beurteilt die Einhaltung des Gesetzes, der Versicherer schätzt ein Risiko ein, bevor er eine Police ausstellt. Dieser Unterschied erklärt, warum zwei Versicherer manchmal unterschiedliche Unterlagen fordern, während die zugrunde liegende Grundlage — das Verzeichnis, die Vereinbarungen, das Protokoll — immer dieselbe ist.
Was Sie schon vorbereiten können
Es ist sinnvoll, mit dem zu beginnen, was bereits vorhanden ist: welche Software und Lieferanten nutzt Ihr Unternehmen, und gibt es dafür einen Datenverarbeitungsvertrag. Im nächsten Schritt geht es darum, festzuhalten, was tatsächlich passiert: Welche Daten wo stehen, wer darauf zugreifen kann und wie lange sie gespeichert werden. Für Unternehmen, die dies zum ersten Mal erfassen, ist ein strukturierter Überblick über häufig gestellte Fragen ein guter Ausgangspunkt; siehe Antworten auf Fragen, die bei solchen Anfragen häufiger gestellt werden.
Wer zunächst verstehen möchte, wie eine solche Dokumentliste aufgebaut ist und worauf die Informationen basieren, kann das in der Wissensdatenbank nachlesen. Dort gibt es zu jedem Thema eine kurze Antwort mit Angabe der Quelle im offiziellen Text, damit Sie selbst überprüfen können, woher eine Anforderung stammt; schauen Sie beispielsweise in die Wissensdatenbank mit Erklärungen pro Thema bevor Sie mit einem Versicherer ins Gespräch gehen.
Von einzelnen Dokumenten zu einem laufenden Register
Das Schwierigste an diesem Kaufzeitpunkt ist nicht die Erstellung eines einzelnen Dokuments, sondern dessen Aktualisierung. Ein Verzeichnis von Verarbeitungstätigkeiten, das vor einem Jahr erstellt wurde und seitdem nicht aktualisiert worden ist, stimmt oft nicht mehr mit den Tools überein, die ein Unternehmen inzwischen nutzt. Ein System, das das Register mit der tatsächlich verwendeten Software mitwachsen lässt und nachverfolgt, welche Datenverarbeitungsverträge noch fehlen, spart Mühe in dem Moment, in dem ein Versicherer plötzlich danach fragt.
Ob dies für Ihr Unternehmen derzeit relevant ist und welche Dokumente Sie konkret benötigen, besprechen Sie am besten direkt mit dem Versicherer oder einem Berater; dieser Artikel bietet Erläuterungen, kein Rechtsberatung zu Ihrer spezifischen Police.
Möchten Sie zunächst selbst sehen, wie es in Ihrem Unternehmen etwa aussieht? Der kostenlose Quick-Check gibt in ein paar Fragen einen Überblick, und in der Wissensdatenbank finden Sie zu jedem Thema die kurze Antwort mit Quellenangabe. Wenn Sie das Register und die Überwachung danach regelmäßig pflegen möchten, lesen Sie auf was das System drumherum kostet was darin inbegriffen ist.