Mit NIS 2 wird Cybersicherheit stärker zur Managementaufgabe – mit unmittelbaren Auswirkungen auf Risikomanagement, Haftung und Versicherbarkeit. Dr. Helmut Tenschert zeigt auf, wie sich dadurch die Anforderungen an Unternehmen und Versicherungsberatung verändern und warum Prävention und Dokumentation an Bedeutung gewinnen.
Artikel von:
Dr. Helmut Tenschert
Versicherungsmakler und unabhängiger und zertifizierter Bildungsträger für Versicherungsmakler und -agenten
Mit dem Netz- und Informationssystemsicherheitsgesetz 2026, kurz NISG 2026, wurde die europäische NIS2-Richtlinie in Österreich verbindlich umgesetzt. Seit 1. Oktober 2026 gelten für zahlreiche Unternehmen neue Anforderungen an Cybersicherheit, Risikomanagement, Meldepflichten und die Verantwortung der Leitungsorgane. Nach Angaben der Wirtschaftskammer Österreich betrifft das neue Regime rund 4.000 Unternehmen und Einrichtungen ab mittlerer Größe aus 18 gesellschaftlich relevanten Sektoren. Das ist mehr als eine weitere Compliance-Vorschrift. Es ist ein Wendepunkt für die Versicherbarkeit moderner Unternehmensrisiken.
Für nicht unmittelbar durch das Gesetz betroffene Unternehmen wird davon auszugehen sein, dass sie als Vertragspartner großer Betriebe entsprechende Nachweise zu Cyber-Sicherheit und Cyber-Versicherung für die Sicherheit erbringen werden müssen, um Aufträge zu erhalten. NIS 2-pflichtige Kunden haben auch Sicherheitsrisken in der Lieferkette zu prüfen und zu berücksichtigen. Cyberrisiken, Vertrauensschäden, Datenmanipulationen, Fake-Dokumente, Social Engineering und Organhaftung lassen sich künftig nicht mehr getrennt betrachten. Wer digital arbeitet, auslagert, Lieferketten nutzt, Kundendaten verarbeitet oder automatisierte Prozesse einsetzt, muss nachweisen können, dass Risiken erkannt, bewertet, gesteuert und dokumentiert werden. Genau dieser Nachweis wird zur neuen Eintrittskarte in den Versicherungsschutz.
Vom technischen Risiko zur Leitungsaufgabe
Der entscheidende Punkt an NIS 2 ist nicht nur die Ausweitung des Anwendungsbereichs. Entscheidend ist die Verlagerung der Verantwortung: Cybersicherheit wird endgültig zur Managementaufgabe. Geschäftsführungen und Vorstände können sich nicht mehr darauf zurückziehen, dass IT-Sicherheit eine technische Spezialfrage sei. Leitungsorgane müssen Risiken verstehen, Maßnahmen veranlassen, Zuständigkeiten schaffen, Prozesse überwachen und im Anlassfall reagieren können.
Damit verschiebt sich auch die Versicherungsberatung. Es reicht nicht mehr, Cyberpolizze oder D&O-Deckung isoliert zu betrachten. Gefragt werden muss: Welche organisatorischen und technischen Mindestmaßnahmen bestehen? Wie werden Dienstleister kontrolliert? Gibt es Meldeprozesse, Schulungen und klare Verantwortlichkeiten? Und wie belastbar sind die Angaben im Antragsprozess?
Vertrauensschaden: Die neue Nähe zu Cyber und Compliance
Auch die Vertrauensschadenversicherung wird durch die neue Rechtslage mittelbar aufgewertet. Moderne Vertrauensschäden entstehen nicht mehr nur durch klassische Unterschlagung oder vorsätzliche Handlungen einzelner Mitarbeiter. Sie entstehen zunehmend durch digitale Täuschung, manipulierte Zahlungsanweisungen, gefälschte Dokumente, Fake-Identitäten, kompromittierte Kommunikation oder organisierte Betrugsmodelle. Die Grenzen zwischen Cyberereignis, Social Engineering, Kriminalitätsdeckung und Organverantwortung werden unschärfer. Für Makler und Versicherer bedeutet das: Deckungskonzepte müssen stärker als ganzheitliches Risiko gedacht werden. Cyber, Vertrauensschaden, D&O und gegebenenfalls Rechtsschutz sind keine Silos mehr, sondern Bausteine eines Risikofinanzierungskonzepts. Gleichzeitig wird der Präventionsnachweis wichtiger: Zahlungsfreigaben, Vier-Augen-Prinzipien, Identitätsprüfungen, Dokumentenvalidierung und Kontrollmechanismen müssen tatsächlich gelebt werden.
Der Beratungsprozess muss sich ändern
Für die Beratungspraxis folgt daraus eine klare Konsequenz: Makler müssen früher in die Risikoorganisation ihrer Kunden eintreten. Die bloße Abfrage von Umsatz, Mitarbeiteranzahl, IT-Dienstleister und Vorversicherung reicht nicht mehr. Künftig geht es um ein strukturiertes Verständnis der digitalen Wertschöpfungskette: Welche Systeme sind kritisch? Welche Daten sind geschäftsrelevant? Welche Dienstleister sind eingebunden? Welche Betrugsszenarien sind realistisch? Welche Managemententscheidungen und Maßnahmen sind dokumentiert?
Das verändert die Rolle des Maklers. Er wird stärker zum Übersetzer zwischen Recht, Technik, Management und Versicherung. Gerade im Mittelstand braucht es keine abstrakte Angstkommunikation, sondern eine pragmatische Risikolandkarte: Was ist gesetzlich erforderlich? Was erwartet der Versicherer? Was ist organisatorisch umsetzbar? Und welche Maßnahmen wirken am stärksten auf Haftungsvermeidung, Schadenprävention und Versicherbarkeit?
Haftung wird konkreter, Dokumentation wertvoller
Die neue Rechtslage verhindert nicht jeden Schaden. Aber sie erhöht den Maßstab dafür, was von einem ordentlichen Management erwartet werden darf. Im Schadenfall wird nicht nur gefragt, ob ein Angriff stattgefunden hat. Es wird gefragt, ob erkennbare Risiken angemessen behandelt, Verantwortlichkeiten geklärt, Warnsignale beachtet, gesetzliche Pflichten eingehalten und Angaben gegenüber dem Versicherer vollständig gemacht wurden. Damit wird Dokumentation zu einem haftungs- und versicherungstechnischen Schutzschild – nicht als Papierübung, sondern als Nachweis gelebter Sorgfalt. Unternehmen, die ihre Cyber- und Fraud-Risiken strukturiert analysieren, Maßnahmen priorisieren, Entscheidungen protokollieren und externe Abhängigkeiten kontrollieren, werden im Schadenfall besser argumentieren können. Wer lediglich auf eine Polizze vertraut, wird es schwerer haben.
Fazit: NIS 2 macht Prävention zur Beratungsdisziplin
NIS 2 ist kein reines IT-Thema. Es ist ein Management-, Haftungs- und Versicherungsthema. Für Versicherer wird Prävention stärker über Annahme, Kapazität und Konditionen entscheiden. Für Makler wird die Fähigkeit, Risiken zu erkennen, Präventionsmaßnahmen zu strukturieren und in ein tragfähiges Deckungskonzept zu übersetzen, zum zentralen Beratungsmehrwert. Und für Unternehmen gilt: Wer seine Risiken nicht kennt, nicht dokumentiert und nicht laufend steuert, wird künftig regulatorisch angreifbarer und schwerer versicherbar.
Die gute Nachricht ist: Prävention ist gestaltbar. Klare Verantwortlichkeiten, belastbare Kontrollmechanismen, dokumentierte Entscheidungen und ein strukturiertes Risikomanagement verbessern nicht nur die Sicherheit. Sie schaffen auch bessere Voraussetzungen für Versicherbarkeit und eine belastbare Verhandlungsposition am Versicherungsmarkt. Genau dort sollte moderne Beratung ansetzen.
Den ganzen Beitrag lesen Sie in der AssCompact Oktober-Ausgabe!
zurück zur Übersicht
sharing is caring
Das könnte Sie auch interessieren
