Was der Fragebogen ist und was nicht
Mit dem Fragebogen erfasst der Versicherer den Stand Ihrer IT-Sicherheit. Welche Fragen Ihr Versicherer stellt, welche Antworten er voraussetzt und was aus einer Antwort für den Vertrag folgt, steht in seinem Fragebogen und seinen Bedingungen. Dieser Ratgeber ersetzt beides nicht und gibt nicht die Anforderungen eines bestimmten Versicherers wieder.
Er ordnet die Themen, die in solchen Fragebögen üblicherweise abgefragt werden, und nennt das Dokument, mit dem Sie eine Antwort belegen können.
Themen, die üblicherweise abgefragt werden
| Thema | Typische Frage | Dokument im Lieferantenaudit-Paket |
|---|---|---|
| Mehr-Faktor-Anmeldung | Ist für E-Mail, Fernzugänge und administrative Konten eine Mehr-Faktor-Anmeldung eingerichtet? | Richtlinie Zugriffskontrolle, Passwörter und MFA |
| Administrative Konten | Sind Administratorrechte getrennt von den Alltagskonten und auf wenige Personen beschränkt? | Richtlinie Zugriffskontrolle, Passwörter und MFA |
| Datensicherung | Wird regelmäßig gesichert, liegt eine Kopie getrennt vom Netz, und wird die Wiederherstellung getestet? | Richtlinie Datensicherung |
| Updates | Werden Sicherheitsupdates zeitnah eingespielt? | Richtlinie mobiles Arbeiten und Endgeräte |
| Schadsoftware | Sind alle Geräte gegen Schadsoftware geschützt? | Richtlinie mobiles Arbeiten und Endgeräte |
| Schulung | Werden Beschäftigte regelmäßig geschult, etwa zu Phishing? | Schulungsnachweis |
| Vorfallbehandlung | Gibt es einen Ablauf für Sicherheitsvorfälle und erreichbare Notfallkontakte? | Richtlinie Umgang mit Sicherheitsvorfällen |
| Dienstleister | Wie werden IT-Dienstleister mit Zugriff auf Ihre Systeme ausgewählt und geprüft? | Richtlinie Lieferanten und Dienstleister |
Die Fragebögen unterscheiden sich im Umfang. Häufig kommen Fragen zu Umsatz, Branche, früheren Vorfällen und zur Verarbeitung personenbezogener Daten hinzu. Die beantworten Sie aus Ihren Unternehmensdaten, nicht aus einer Richtlinie.
Nur mit Ja antworten, was belegt ist
Eine Richtlinie belegt eine Regel, nicht ihre Umsetzung. Beantworten Sie eine Frage nur mit Ja, wenn die Maßnahme tatsächlich eingerichtet ist und Sie das zeigen können, zum Beispiel mit einem Protokoll, einer Liste oder einem Bildschirmfoto der Einstellung. Ist etwas nur teilweise umgesetzt, sagen Sie das und nennen Sie einen Termin.
Welche Folgen eine unzutreffende Antwort für den Versicherungsschutz haben kann, klären Sie mit Ihrem Versicherer oder Makler. Halten Sie Ihre Antworten und die Belege fest: Bei der Verlängerung kommen dieselben Fragen wieder.
Vorlagen statt leerem Blatt
Das Lieferantenaudit-Paket enthält die genannten Richtlinien und Nachweise als Word- und Excel-Vorlagen, dazu eine Maßnahmenübersicht, in der Sie den Stand jeder Maßnahme festhalten. Dieselben Themen fragen auch Kunden in Lieferantenfragebögen ab. Die Vorlagen sind Arbeitshilfen und keine Rechtsberatung. Eine Zusage, dass ein Versicherer Ihren Antrag annimmt, ist damit nicht verbunden.
Dieser Ratgeber gibt einen Überblick und ist keine Rechtsberatung.