Cyberversicherung fürProduktion & Industrie

Produktionsbetriebe gelten als wichtige Einrichtungen unter NIS2, sobald sie 50 Mitarbeitende oder 10 Mio. € Jahresumsatz erreichen. Pflicht zu Risikomanagement, Lieferantensicherheit, Incident-Response, 24h-Frühwarnung, 72h-Erstmeldung und 1-Monats-Abschlussbericht. Bußgeld bis 7 Mio. € oder 1,4 % des Konzernumsatzes plus persönliche Geschäftsführerhaftung.

Internationaler Standard für die Cybersicherheit industrieller Automatisierungs- und Steuerungssysteme. Definiert vier Security Level (SL1–SL4) für Komponenten, Systeme und Lebenszyklen. NIS2-konforme Betreiber kritischer Anlagen müssen IEC 62443-Reifegrad nachweisen. TISAX, KRITIS und CRA verweisen darauf.

VDA-Branchenstandard, der von praktisch allen deutschen OEMs (Bosch, ZF, VW, BMW, Daimler, Audi, Porsche, Siemens) von Tier-1/2/3-Zulieferern verlangt wird. Audit-Stufen AL1, AL2, AL3 mit Wiederholungspflicht alle 3 Jahre. Ohne TISAX-Label kein Auftrag – seit 2024 zunehmend auch von Mittelstand gefordert.

Der CRA verpflichtet alle Hersteller vernetzter Produkte zu Security-by-Design, Schwachstellenmanagement, 24h-Meldepflicht aktiv ausgenutzter Schwachstellen und 5 Jahre Update-Pflicht. Betrifft jeden Maschinenbauer und Hersteller mit IoT-Komponenten. Verstoß: bis 15 Mio. € oder 2,5 % Konzernumsatz Bußgeld.

Ersetzt ab 14.01.2027 die alte Maschinenrichtlinie. Erstmals umfasst die EU-Maschinenverordnung explizit Cybersicherheit: Schutz vor Manipulation der Steuerung, sichere Software-Updates und Schutz von Bediendaten. Hersteller müssen Cyber-Aspekte in der CE-Konformitätsbewertung berücksichtigen.

Für einen KMU-Industriebetrieb mit 50–250 Mitarbeitenden liegen Jahresprämien zwischen 8.000 und 35.000 €. Mittelständische Maschinenbauer (250–1.000 MA, 50–500 Mio. € Umsatz) zahlen 30.000–120.000 € jährlich. Automotive-Tier-1-Zulieferer mit OEM-Bindung an Bosch/ZF/VW/BMW und entsprechender Schadenexposition verhandeln Prämien ab 150.000 € pro Jahr. Treiber: TISAX-Reifegrad, OT-Segmentierung, Backup-Strategie und Versicherungssumme.

Ja, spezialisierte Industrie-Tarife decken OT-Vorfälle explizit ab – inkl. Wiederherstellung der Maschinensteuerung, Hersteller-Rezertifizierung (Siemens, Rockwell, ABB, KraussMaffei, KUKA) und mechanischer Folgeschäden. Wichtig: Standard-Cyber-Policen ohne Industrie-Modul schließen OT oft aus. Auf Klauseln zu IEC 62443-Konformität, Industrial Control Systems und Maschinenbruch durch Cyber-Ereignis achten.

Versicherer empfehlen 2–5 Mio. € für KMU-Fertiger, 5–10 Mio. € für Mittelstand mit OEM-Bindung und 25–100 Mio. € für Tier-1-Automotive und größere Maschinenbauer. Begründung: Ein einzelner Bandstillstand bei VW oder BMW kostet 250.000 € pro Stunde Vertragsstrafe. Bei 21 Tagen Stillstand (Branchenschnitt) summiert sich allein die Strafzahlung auf zweistellige Millionenbeträge.

Ja, Maschinenhersteller benötigen zusätzlich eine erweiterte Cyber-Haftpflicht für Schäden, die ihre verkauften Maschinen bei Industriekunden verursachen – inklusive Fernwartungs-Vorfälle und Update-Backdoors. Mit Inkrafttreten des Cyber Resilience Act 2027 wird diese Drittschadendeckung obligatorisch. Klassische Produkthaftpflicht reicht für Cyber-bedingte Schäden in der Regel nicht aus.

Ja, marktführende Industrie-Cyberversicherer übernehmen vertraglich vereinbarte Pönalen gegenüber OEMs (Bosch, ZF, VW, BMW, Daimler, Siemens) bei verspäteter Lieferung durch Cyber-Ereignis. Auch die Kosten der TISAX-Recertification nach Vorfall sowie Krisenkommunikation gegenüber Lieferketten-Partnern sind in spezialisierten Tarifen abgedeckt. Lieferantenfreigabe-Entzug selbst ist nicht versicherbar, aber präventive Maßnahmen zur Erhaltung des Status werden bezuschusst.