Ausschlüsse, Bedingungen und Schaden
DSGVO, NIS-2 und Bußgelder: Was die Cyberversicherung für Unternehmen abdeckt
Wie sich DSGVO-Pflichten und das deutsche NIS-2-Umsetzungsrecht auf die Cyberversicherung auswirken, ob Bußgelder versicherbar sind und welche Kosten typischerweise gedeckt werden.
Die Cyberversicherung ersetzt typischerweise Kosten, die durch DSGVO- und NIS-2-Pflichten nach einem Vorfall entstehen, etwa Rechtsberatung, Benachrichtigung Betroffener, Forensik und die Abwehr von Schadensersatzansprüchen. Bußgelder sind dagegen ein Sonderfall: Ihre Versicherbarkeit ist rechtlich umstritten, und viele Policen decken sie nur, soweit das gesetzlich zulässig ist, oder schließen sie ganz aus. Verlassen Sie sich nicht darauf, dass eine Police Geldbußen übernimmt.
DSGVO: Pflichten, die einen Vorfall begleiten
Wird ein Schutzverletzungsfall bei personenbezogenen Daten bekannt, verlangt die DSGVO:
- Meldung an die Aufsichtsbehörde nach Artikel 33 unverzüglich, möglichst binnen 72 Stunden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für Betroffene
- Benachrichtigung der Betroffenen nach Artikel 34, wenn voraussichtlich ein hohes Risiko besteht
- Dokumentation aller Verletzungen nach Artikel 33 Absatz 5
- Schadensersatz nach Artikel 82 an Personen, die einen materiellen oder immateriellen Schaden erlitten haben
Die zuständige Aufsichtsbehörde ist in der Regel die Landesdatenschutzbehörde des Bundeslandes, in dem Ihr Unternehmen sitzt. Die Bundesbeauftragte (BfDI) ist vor allem für Bundesbehörden und bestimmte Telekommunikationsunternehmen zuständig. Die Kosten für Melde- und Informationsprozesse sind häufig Teil der Cyberdeckung.
NIS-2 in Deutschland: Stand und Bedeutung
Die EU-Richtlinie NIS-2 verpflichtet Unternehmen bestimmter Sektoren und Größen zu Risikomanagement und Meldungen. Deutschland hat sie durch das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz umgesetzt, das das BSI-Gesetz grundlegend ändert. Das Gesetz ist nach den bei Redaktionsschluss verfügbaren Angaben Ende 2025 in Kraft getreten (bitte beim BSI und im Bundesgesetzblatt gegenprüfen); prüfen Sie außerdem die genauen Pflichten, Registrierungsfristen und Ihre Betroffenheit beim BSI und im Bundesgesetzblatt. Wesentliche Elemente sind:
- Betroffenheit nach Sektor und Größe, unterschieden in besonders wichtige und wichtige Einrichtungen
- Risikomanagementmaßnahmen nach dem Stand der Technik, etwa Backup, Zugriffskontrolle, Schulung, Lieferkettensicherheit
- Gestufte Meldepflichten gegenüber dem BSI bei erheblichen Sicherheitsvorfällen
- Verantwortung der Geschäftsleitung, die Maßnahmen zu billigen und zu überwachen, und Schulungspflichten
- Bußgelder mit hohen Obergrenzen, die sich am Umsatz orientieren können
Ob Ihr Unternehmen betroffen ist, hängt von Branche, Mitarbeiterzahl und Umsatz ab. Das BSI bietet Hilfen zur Betroffenheitsprüfung. Wer betroffen ist, sollte Versicherungsschutz und Pflichten abstimmen.
Sind Bußgelder versicherbar?
Die Frage, ob eine Versicherung Geldbußen erstatten darf, ist in Deutschland juristisch nicht abschließend geklärt. Argumente dagegen: Eine Bußgeldübernahme könnte den Zweck der Sanktion unterlaufen; deshalb wird teils Sittenwidrigkeit oder Verstoß gegen gesetzliche Verbote angenommen. Argumente dafür: Gerade bei fahrlässigen Verstößen und im Unternehmenskontext sei Versicherung zulässig. In der Praxis lösen Versicherer das so:
| Gestaltung | Bedeutung für Sie |
|---|---|
| Ausschluss von Bußgeldern | Bußgelder tragen Sie selbst; Rechtsschutz in Verfahren kann gedeckt sein |
| Deckung „soweit rechtlich zulässig“ | Zahlung nur, wenn die Übernahme nach geltendem Recht erlaubt ist; im Streitfall unsicher |
| Deckung der Verfahrenskosten | Anwalts- und Verfahrenskosten werden getragen, die Geldbuße nicht |
| Persönliche Bußgelder gegen Geschäftsleitende | Meist nicht oder nur eingeschränkt; Abgrenzung zur D&O-Versicherung |
Rechnen Sie also nicht damit, dass eine Geldbuße erstattet wird. Planen Sie die Vermeidung durch Compliance.
Haftung der Geschäftsleitung und D&O
Bei Pflichtverletzungen im Bereich IT-Sicherheit können Geschäftsführer oder Vorstände persönlich in Anspruch genommen werden, etwa durch die Gesellschaft. Das ist ein Haftungsrisiko, das nicht automatisch durch die Cyberpolice gedeckt ist, sondern eher durch eine D&O-Versicherung (Managerhaftpflicht). Diese schützt gegen Ansprüche aus Pflichtverletzung, kann aber bestimmte Verstöße ausschließen. Klären Sie, wie Cyberpolice und D&O ineinandergreifen.
Worked Example: Datenabfluss mit Meldepflichten
Illustratives Beispiel: Ein Händler verliert 8.000 Kundendatensätze. Kostenpositionen (erfundene Beträge): Forensik 12.000 €, Rechtsberatung für Meldung und Kommunikation 6.000 €, Benachrichtigung Betroffener (Brief und Callcenter) 9.000 €, Abwehr zweier Schadensersatzforderungen 7.000 €. Summe 34.000 €. Diese Positionen liegen typischerweise im Bereich der Cyberdeckung. Ein Bußgeld, falls verhängt, wäre davon getrennt zu betrachten und je nach Bedingungen nicht gedeckt. Vermeiden Sie Bußgeld durch rechtzeitige Meldung und angemessene technische und organisatorische Maßnahmen.
Was Sie praktisch tun sollten
- Betroffenheit prüfen: Fallen Sie unter NIS-2? Dokumentieren Sie das Ergebnis.
- Meldewege festlegen: Wer meldet an Datenschutzaufsicht und BSI, wer entscheidet?
- Notfallplan mit Fristen (72 Stunden DSGVO, gestufte Meldung NIS-2) ausstatten.
- Policenbedingungen lesen: Welche Kosten, welche Bußgeldklausel, welche Sublimits?
- Verantwortung der Geschäftsleitung dokumentieren: Schulungen, Beschlüsse, Maßnahmenübersicht.
- Auftragsverarbeiter prüfen: Verträge, Meldepflichten, Sicherheitsniveau.
Der Ablauf nach einem Vorfall steht im Guide zur Schadenmeldung; die technischen Grundlagen finden Sie in der Abschluss-Checkliste.
Abstimmung zwischen Compliance und Versicherung
Datenschutz, NIS-2-Pflichten und Versicherung greifen ineinander und sollten im Betrieb nicht getrennt behandelt werden. Binden Sie Datenschutzbeauftragte, IT-Verantwortliche, Geschäftsleitung und Versicherungsverantwortliche in einen gemeinsamen Notfallprozess ein. Legen Sie fest, wer innerhalb welcher Frist welche Meldung vorbereitet und wer Entscheidungen über Benachrichtigung der Betroffenen trifft. Klären Sie mit dem Versicherer, welche Beratungsleistungen vorab freigegeben sind, damit im Ernstfall keine Zeit durch Abstimmung verloren geht. Prüfen Sie jährlich, ob sich gesetzliche Pflichten oder Ihre Betroffenheit verändert haben, etwa durch Wachstum oder neue Geschäftsfelder. Dokumentieren Sie Entscheidungen und Schulungen, denn sie zeigen Aufsichtsbehörden und Versicherern, dass Sie Ihre Pflichten ernst nehmen und angemessene Maßnahmen getroffen haben.
Häufige Fragen
Muss ich jede Datenpanne melden?
Nach Artikel 33 DSGVO ist jede Verletzung zu melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Betroffenen. Die Entscheidung muss dokumentiert werden.
Zahlt die Cyberversicherung Schadensersatz nach Artikel 82 DSGVO?
Haftpflichtansprüche Dritter sind häufig mitversichert, soweit die Bedingungen den Baustein enthalten und keine Ausschlüsse greifen.
Gilt NIS-2 auch für kleine Betriebe?
Die Betroffenheit hängt von Sektor und Größe ab. Sehr kleine Unternehmen sind häufig nicht unmittelbar erfasst, können aber als Zulieferer vertraglich betroffen sein.
Wo finde ich den aktuellen Gesetzestext?
Beim Bundesamt für Sicherheit in der Informationstechnik und im Bundesgesetzblatt über Gesetze im Internet.
Quellen
- BSI — NIS-2, Betroffenheitsprüfung und Meldewege
- BfDI — Datenschutzaufsicht und Hinweise zu Meldungen
- Datenschutzkonferenz — Zusammenschluss der Aufsichtsbehörden
- Gesetze im Internet — BSIG, BDSG und weitere Gesetze
