Die kurze Antwort
Prüfen Sie Fachabklärung, Wiederherstellung, Betriebsunterbruch, Haftpflicht gegenüber Dritten und Krisenmanagement getrennt. Die Police legt Bedingungen, Selbstbehalte, Wartefrist, Sublimiten und zugelassene Dienstleister fest. Kontaktieren Sie bei einem Vorfall rasch das Einsatzteam und den Versicherer; die Versicherungsmeldung ersetzt nicht die zu prüfenden gesetzlichen Meldungen.
1. Jeden Kostenposten einer Klausel zuordnen
Erstellen Sie mit den Personen, die den Betrieb kennen, eine Liste möglicher Kosten: Einsatz von Fachleuten, Wiederherstellung, Betriebsfortführung, Ansprüche Dritter und Krisenkommunikation. Suchen Sie für jeden Posten die Klausel, die Limite und die Leistungsvoraussetzungen heraus. Eine Cyber-Produktbezeichnung belegt nicht, dass alle diese Kosten übernommen werden.
Die Darstellung der Mobiliar ist ein Produktbeispiel, keine Norm oder Empfehlung. Übertragen Sie deren Bedingungen nicht auf Ihre Police. Die Frage eines Lösegelds erfordert eine gesonderte Prüfung des Vertrags und des geltenden Rahmens; eine automatische Deckung darf dafür niemals zugesichert werden.
2. Kontakte vor dem Vorfall vorbereiten
Bestimmen Sie den IT-Dienstleister, die intern verantwortliche Person, den Assistance-Dienst des Versicherers und die entscheidungsbefugte Person, die Ausgaben freigeben darf. Prüfen Sie, ob zugelassene Dienstleister oder eine vorgängige Zustimmung vorgeschrieben sind. Halten Sie diese Kontaktdaten so verfügbar, dass der Zugriff nicht ausschliesslich vom betroffenen System abhängt.
Prüfen Sie Selbstbehalt, Wartefrist und Sublimiten für jede relevante Deckung. Vergleichen Sie diese mit Ihren Möglichkeiten zur Betriebsfortführung: Welche Abläufe können aufrechterhalten werden und wer entscheidet über einen eingeschränkten Betrieb? Lassen Sie offene Vertragsfragen klären, ohne diese Arbeit mit einem technischen Sicherheitsaudit gleichzusetzen.
3. Reaktion organisieren und Spuren sichern
Ziehen Sie bei einem Vorfall gemäss dem vorgesehenen Verfahren rasch die Fachleute für die Vorfallbewältigung und den Versicherer bei. Das Unternehmen bestimmt eine Kontaktperson, die Informationen, Entscheidungen und Kosten koordiniert. Technische Arbeiten und die Spurensicherung erfolgen gemeinsam mit den Fachleuten, ohne riskante Eingriffe zu improvisieren.
Führen Sie eine Chronologie der bekannten Tatsachen, Entscheidungen und Ausgaben. Unterscheiden Sie Annahmen von bestätigten Feststellungen. Fragen Sie, wie die Zustimmung zu den Einsätzen einzuholen ist und wie deren Belege aufzubewahren sind. Diese Organisation unterstützt die Prüfung durch die Versicherung, ohne die für die Sicherheit der Personen und des Betriebs notwendigen Entscheidungen zu verzögern.
4. Versicherung und Meldungen unterscheiden
Die Meldung an das BACS betrifft insbesondere kritische Infrastrukturen, die der geltenden Meldepflicht unterstehen. Die Meldung an den EDÖB richtet sich nach den Voraussetzungen von Artikel 24 DSG, insbesondere nach dem hohen Risiko im Zusammenhang mit einer Verletzung der Sicherheit von Personendaten. Eine Meldepflicht innert vierundzwanzig Stunden darf nicht als allgemein für alle KMU gültig dargestellt werden.
Lassen Sie diese Pflichten sowie weitere allenfalls für das Unternehmen geltende Pflichten rasch mit den zuständigen Verantwortlichen prüfen. Die Meldung an den Versicherer ist ein separater Schritt. Halten Sie fest, wer die Beurteilung vornimmt, wer die Meldung übermittelt und welche Informationen bestätigt sind; koordinieren Sie auch die Kommunikationsverpflichtungen gegenüber Kunden und Partnern.
Häufige Fragen
Gehören Wiederherstellung und Betriebsunterbruch zur selben Deckung?
Nicht unbedingt. Prüfen Sie jeden Posten, seine Bedingungen und seine Limiten in der Police. Der technische Einsatz allein belegt keine Deckung für Ertragsausfall.
Genügt die Meldung an den Versicherer auch für die Behörden?
Nein. Für die Meldungen an das BACS oder den EDÖB gelten eigene Voraussetzungen. Lassen Sie die geltenden Pflichten getrennt von der Versicherungsmeldung prüfen.
Kann sofort ein beliebiger Dienstleister beauftragt werden?
Leiten Sie die notwendige Reaktion ein und prüfen Sie gleichzeitig rasch das in der Police vorgesehene Verfahren sowie die erforderlichen Zustimmungen oder zugelassenen Dienstleister. Stimmen Sie sich mit dem Versicherer ab und bewahren Sie Entscheidungen und Belege auf.