# Hiscox CyberClear Start: die Bedingungen im Volltext > Ausgewertet von NAMMERT aus den veröffentlichten Bedingungen. Trotz Sorgfalt kann ein Wert falsch gelesen sein; rechtlich gilt nur das Bedingungswerk Ihres Vertrags in der dort genannten Fassung. Fehler bitte melden, wir korrigieren am selben Tag. - https://www.nammert.com/bedingungen-cyber-hiscox-cyberclear-start.php - Rechtlicher Träger: Hiscox SA, Niederlassung für Deutschland - Anfrage an den Makler: https://www.nammert.com/bedingungen-cyber-hiscox-cyberclear-start.php?household=single|couple|family|single_parent&deductible=0|1&over55=0|1&public_service=0|1&summary=…#anfrage - Original beim Versicherer (PDF): [Bedingungen Hiscox CyberClear Start 06/2022](https://brochureware.hiscox.de/sites/default/files/documents/bedingungen-hiscox-cyberclear-start_062022.pdf), Fassung Bedingungen Hiscox CyberClear Start 06/2022 ## Auswertung nach Prüfpunkten | Prüfpunkt | Regelung | Im Wortlaut | Fundstelle | | --- | --- | --- | --- | | Versicherungssumme je Versicherungsfall | laut Versicherungsschein | Die Leistung des Versicherers je Versicherungsfall ist auf die vereinbarte Versicherungssumme oder Entschädigungsgrenze beschränkt. | IV.8.1, Seite 12 | | Jahreshöchstleistung (Maximierung aller Versicherungsfälle eines Jahres) | ja, bis zur Versicherungssumme | Die Leistung des Versicherers je Versicherungsjahr ist auf die vereinbarte Jahreshöchstleistung beschränkt. | IV.8.2, Seite 12 | | Selbstbeteiligung Standard | ja, bis zur Versicherungssumme | Ein Versicherter beteiligt sich in jedem Versicherungsfall mit dem im Versicherungsschein vereinbarten Betrag an der Leistung des Versicherers (monetärer Selbstbehalt). | IV.7, Seite 12 | | Umsatzgrenze, bis zu der der Tarif gilt (Zielgruppe kleine und mittlere Betriebe) | nicht geregelt | | | | Geltungsbereich weltweit (auch Server und Tätigkeit im Ausland) | ja | Es besteht weltweiter Versicherungsschutz. | IV.4, Seite 11 | | Anspruchserhebungs- oder Feststellungsprinzip (Versicherungsfall ist die Entdeckung oder Geltendmachung) | nein | Der Versicherungsfall ist der tatsächliche Eintritt eines Ereignisses gemäß Ziffer I. | IV.1, Seite 11 | | Rückwärtsdeckung für bei Vertragsbeginn unbekannte Pflichtverletzungen und Angriffe | nicht geregelt | | | | Nachmeldefrist nach Vertragsende | nicht geregelt | | | | Mitversicherung von Tochtergesellschaften, Inhabern und Mitarbeitern | ja | bei Versicherungsbeginn bereits als rechtlich selbstständig existierende Gesellschaften innerhalb des EWR und UK, auf die der Versicherungsnehmer unmittelbar oder mittelbar einen beherrschenden Einfluss ausüben kann | IV.10.2, Seite 13 | | Kündigungsrecht des Versicherers nach einem Schadenfall | nicht geregelt | | | | Hackerangriff und unberechtigter Zugriff auf IT-Systeme | ja | auf das IT-System eines Versicherten, sofern die Angriffe die Veränderung, Beschädigung, Zerstörung, Löschung, Verschlüsselung, Kopie oder das Abhandenkommen von Daten zur Folge haben | I.1, Seite 3 | | Schadsoftware, Viren und Verschlüsselungstrojaner (Ransomware) | ja | Schadprogrammen, wie Viren, Würmern oder Trojanern, die sich im IT-System eines Versicherten ausbreiten; | I.1, Seite 3 | | Denial-of-Service-Angriffe (Überlastung von Servern und Websites) | ja | Denial-of-Service-Angriffen, durch die der Betrieb des IT-Systems eines Versicherten unterbrochen wird | I.1, Seite 3 | | Datendiebstahl und Datenschutzverletzung (Abfluss personenbezogener Daten) | ja | wenn die Datenrechtsverletzung ihrerseits auf einer Netzwerksicherheitsverletzung | II.2.6, Seite 5 | | Bedienfehler und Fehlbedienung durch Mitarbeiter ohne Angriff | nicht geregelt | | | | Technisches Versagen und Programmierfehler ohne Angriff | nicht geregelt | | | | Vorsätzliche Handlungen eigener Mitarbeiter (Innentäter) | ja | jede unzulässige Nutzung des IT-Systems eines Versicherten, insbesondere auch durch mitversicherte natürliche Personen. | I.1, Seite 3 | | Verlust oder Diebstahl mobiler Geräte mit Firmendaten | nicht geregelt | | | | Daten und Systeme bei externen Dienstleistern und in der Cloud mitversichert | nicht geregelt | | | | Notfall-Hotline rund um die Uhr mit Einsatz ohne vorherige Deckungszusage | ja | Hinsichtlich der Kosten für die Soforthilfe im Notfall fällt weder ein Selbstbehalt an, noch werden diese Kosten auf die Versicherungssumme angerechnet. | II.1.1, Seite 4 | | IT-Forensik (Ursache und Umfang des Angriffs ermitteln) | ja, bis zur Versicherungssumme | Der Versicherer ersetzt die Kosten eines Versicherten für externe IT-Forensik-Analysen zur Ermittlung der Ursache eines versicherten Ereignisses | II.2.2, Seite 4 | | Wiederherstellung von Daten und Software | ja, bis zur Versicherungssumme | die Wiederherstellung oder Reparatur elektronischer Daten, | II.2.5, Seite 5 | | Bereinigung und Wiederinbetriebnahme der IT-Systeme | ja, bis zur Versicherungssumme | die Isolation und Säuberung (insbesondere die Entfernung von Schadprogrammen) der IT-Hardware | II.2.5, Seite 5 | | Ersatz unbrauchbar gewordener Hardware nach einem Angriff | ja, bis zur Versicherungssumme | ersetzt der Versicherer auch die Kosten für die Neubeschaffung des betroffenen Teils der IT-Hardware | II.2.5, Seite 5 | | Kosten für Sicherheitsverbesserungen nach einem Schaden | ja, bis zur Versicherungssumme | Der Versicherer ersetzt die Honorare des Krisendienstleisters für eine Sicherheitsanalyse der konkret im Versicherungsfall identifizierten Schwachstelle | II.2.9, Seite 6 | | Krisenkommunikation und PR-Berater (Reputationsschutz) | ja, bis zur Versicherungssumme | Der Versicherer ersetzt die Kosten für Public-Relations-Maßnahmen eines Versicherten zur Erhaltung oder Wiederherstellung seiner öffentlichen Reputation. | II.2.4, Seite 5 | | Anwaltliche Beratung zu Melde- und Informationspflichten nach Datenschutzrecht | ja, bis zur Versicherungssumme | Der Versicherer ersetzt die Kosten eines Versicherten zur rechtlichen Prüfung eines versicherten Ereignisses | II.2.3, Seite 4 | | Benachrichtigung betroffener Personen und Aufsichtsbehörden | ja, bis zur Versicherungssumme | Kosten, die bei der Anzeige und Meldung der Datenrechtsverletzung infolge | II.2.6.2, Seite 5 | | Überwachung (Monitoring) für betroffene Personen und Callcenter | ja, bis zur Versicherungssumme | von maximal 12 Monaten Kreditüberwachungsdienstleistungen für alle Betroffenen bereitzustellen | II.2.8, Seite 6 | | Lösegeld bei Cybererpressung, soweit rechtlich zulässig | ja, bis zur Versicherungssumme | Der Versicherer ersetzt das gezahlte Lösegeld | II.2.7, Seite 6 | | Krisenberater und Verhandlungsführung bei Erpressung | ja, bis zur Versicherungssumme | der Betreuung bei der Abwicklung einer Lösegeldforderung. | II.2.1, Seite 4 | | Belohnung für Hinweise zur Ergreifung der Täter | nicht geregelt | | | | Präventionsleistungen (Schwachstellenscan, Schulung, Phishing-Simulation) | ja | Den Versicherten stehen während der Laufzeit dieses Vertrages, unabhängig davon, ob ein versichertes Ereignis gemäß Ziffer | II.1.2, Seite 4 | | Eigene Untergrenzen (Sublimits) für einzelne Kostenarten | ja | Für sämtliche Leistungen wegen einer Cyber-Betriebsunterbrechung On-Premises gilt die im Versicherungsschein ausgewiesene Entschädigungsgrenze. | II.3.1.5, Seite 7 | | Ertragsausfall durch Betriebsunterbrechung nach Cyberangriff | ja, bis zur Versicherungssumme | die im Versicherungsschein vereinbarte pauschale Tagessatzentschädigung. | II.3, Seite 6 | | Zeitlicher Selbstbehalt (Karenzzeit) vor Beginn der Ertragsausfallentschädigung | ja | Die Laufzeit des zeitlichen Selbstbehalts beginnt mit Eintritt der versicherten Cyber-Betriebsunterbrechung | II.3.1.4, Seite 7 | | Haftzeit für den Ertragsausfall | ja | unter Berücksichtigung des im Versicherungsschein vereinbarten zeitlichen Selbstbehalts und der Haftzeit | II.3, Seite 6 | | Mehrkosten zur Aufrechterhaltung des Betriebs (Ausweichlösungen, Überstunden) | nicht geregelt | | | | Betriebsunterbrechung auch durch Bedienfehler oder technisches Versagen | nicht geregelt | | | | Betriebsunterbrechung durch Angriff auf einen IT- oder Cloud-Dienstleister | ja, bis zur Versicherungssumme | Versicherungsschutz im Rahmen der Cyber-Betriebsunterbrechung bei Cloud-Ausfall besteht nur, wenn die Daten und das IT-System, die von dem versicherten Ereignis betroffen sind, der Herrschaftsgewalt oder Kontrolle eines dritten Dienstleisters | II.3.2.1, Seite 7 | | Betriebsunterbrechung durch behördliche Anordnung nach Datenschutzverletzung | nicht geregelt | | | | Ertragseinbußen durch Reputationsschaden nach einem Vorfall | nicht geregelt | | | | Social Engineering und Fake President (Überweisung nach Täuschung) | nicht geregelt | | | | Gefälschte Rechnungen und geänderte Kontodaten von Lieferanten (Payment Diversion) | nicht geregelt | | | | Missbrauch von Online-Banking und Zahlungsdaten durch Dritte | nicht geregelt | | | | Telefonmissbrauch (Gebühren durch gehackte Telefonanlage) | nicht geregelt | | | | Mehrkosten durch Missbrauch von Rechenleistung oder Cloud-Ressourcen (Cryptojacking) | nicht geregelt | | | | Warenbetrug über gefälschte Bestellungen oder Identitäten | nicht geregelt | | | | Nachweis- und Sorgfaltsauflagen für Betrugsschäden (Vier-Augen-Prinzip, Rückruf) | nicht geregelt | | | | Haftpflicht wegen Datenschutzverletzung (Ansprüche Betroffener) | nicht geregelt | | | | Verletzung der Vertraulichkeit fremder Geschäftsgeheimnisse | nicht geregelt | | | | Haftpflicht wegen Weitergabe von Schadsoftware oder Angriffen über eigene Systeme | nicht geregelt | | | | Medienhaftpflicht (Urheber-, Marken- und Persönlichkeitsrechte bei Online-Inhalten) | nicht geregelt | | | | Abwehr behördlicher Verfahren der Datenschutzaufsicht | nicht geregelt | | | | Bußgelder und Strafen der Datenschutzaufsicht, soweit versicherbar | nicht geregelt | | | | Vertragsstrafen der Kartenzahlungsbranche (PCI DSS) | nein | Kein Versicherungsschutz besteht wegen Schäden durch Vertragsstrafen, soweit diese nicht ausdrücklich mitversichert sind. | III.5, Seite 10 | | Kriegs- und staatliche Cyberoperationen ausgeschlossen | ja | Eine Cyber-Operation kann insbesondere dann einem Staat zugeschrieben werden, wenn die Regierung oder eine Sicherheitsbehörde (einschließlich Geheimdiensten und Verfassungsschutzbehörden) eines relevanten Staates dies öffentlich kommuniziert. | III.2.3, Seite 9 | | Ausfall von Strom, Internet oder öffentlicher Infrastruktur ausgeschlossen | ja | Kein Versicherungsschutz besteht wegen Schäden aufgrund einer Störung oder eines Ausfalls der öffentlichen oder privaten technischen Infrastruktur, die nicht vom Versicherungsnehmer selbst betrieben wird. | III.3, Seite 9 | | Leistungskürzung bei grober Fahrlässigkeit | keine | Führt eine mitversicherte natürliche Person einen Versicherungsfall grob fahrlässig herbei, so verzichtet der Versicherer darauf, gegen diese mitversicherte natürliche Person Regressansprüche geltend zu machen. | IV.13, Seite 14 | | Feste Pflichtliste zur IT-Sicherheit als Obliegenheit (Updates, Virenschutz, Firewall) | ja | Der Versicherte hat vor Eintritt des Versicherungsfalles die folgenden Obliegenheiten zu beachten und zu erfüllen. | IV.15, Seite 14 | | Pflicht zur regelmäßigen Datensicherung als Leistungsvoraussetzung | ja | Die Versicherten haben mindestens wöchentlich eine vollständige Datensicherung vorzunehmen. | IV.15.1, Seite 14 | | Pflicht zu Mehr-Faktor-Authentifizierung für Fernzugriff und E-Mail | ja | auf die Administratoren nur mit einer Zwei-Faktor-Authentifizierung oder aus einer separaten Domain zugreifen können | IV.15.1, Seite 14 | | Ausschluss bei veralteter, nicht mehr unterstützter Software | ja | hat der Betrieb dieser Altsysteme ausschließlich in einer isolierten Netzwerkumgebung ohne direkten Internetzugang und mit durchgehender Kontrolle des Datenverkehrs zu erfolgen. | IV.15.3, Seite 15 | | Ausschluss für unverschlüsselte mobile Geräte und Datenträger | nicht geregelt | | | | Ausschluss vertraglicher Haftungserweiterungen und Garantien | nicht geregelt | | | | Ausschluss bei Vertragsbeginn bekannter Sicherheitslücken oder Vorfälle | ja | Der Versicherungsschutz besteht für Versicherungsfälle, die während der Vertragslaufzeit eingetreten sind. | IV.3, Seite 11 | ## Volltext der Bedingungen: Bedingungen Hiscox CyberClear Start 06/2022 ```text [Seite 1] Hiscox CyberClear Start Bedingungen 06/2022 [Seite 2] Hiscox CyberClear Start Bedingungen 06/2022 Index Versicherungsbedingungen 3 I. Was ist versichert? 3 1. Netzwerksicherheitsverletzung 3 2. Cyber-Erpressung 3 II. Was leistet der Versicherer? 3 1. Assistance-Leistungen 3 2. Cyber-Eigenschaden 4 3. Cyber-Betriebsunterbrechung 6 III. Was ist nicht versichert? 8 IV. Allgemeine Regelungen 11 1. Versicherungsfall 11 2. Vorrangige Versicherung 11 3. Versicherter Zeitraum 11 4. Räumlicher Geltungsbereich und Non-Admitted-Countries 11 5. Kumulklausel 12 6. Fälligkeit von Entschädigungsleistungen für Cyber-Eigenschäden 12 7. Monetärer Selbstbehalt 12 8. Leistungsobergrenzen 12 9. Zahlung der Versicherungssumme 12 10. Versicherte 13 11. Repräsentanten 13 12. Mitversicherte natürliche Personen 14 13. Regressverzicht bei grober Fahrlässigkeit 14 14. Gefahrerhöhung 14 15. Obliegenheiten vor Eintritt des Versicherungsfalles 14 16. Obliegenheiten nach Eintritt des Versicherungsfalles 15 17. Prämienanpassung bei Umsatzänderung 16 2 [Seite 3] Hiscox CyberClear Start Bedingungen 06/2022 Versicherungsbedingungen I. Was ist versichert? Der Versicherer gewährt den Versicherten im Rahmen der nachstehenden Bedingungen Ver- sicherungsschutz für Vermögensschäden aufgrund folgender Ereignisse (Cyber-Schäden): • einer Netzwerksicherheitsverletzung; • einer Cyber-Erpressung. Versicherungsschutz besteht im Rahmen der nachstehenden Bedingungen, und soweit dies jeweils vereinbart ist, für Assistance-Leistungen, insbesondere in Form von Soforthilfe im Notfall gemäß Ziffer II.1.1., für Cyber-Eigenschäden gemäß Ziffer II.2. sowie für Cyber-Be- triebsunterbrechungsschäden gemäß Ziffer II.3. 1. Netzwerksicherheitsverletzung Eine Netzwerksicherheitsverletzung ist jeder unzulässige Zugriff auf das IT-System oder jede unzulässige Nutzung des IT-Systems eines Versicherten, insbesondere auch durch mitversicherte natürliche Personen. Zum IT-System des Versicherten gehören auch private IT-Geräte mitversicherter natürlicher Personen, sofern jene für die Tätigkeit für einen Versicherten eingesetzt werden („Bring your own device“). Eine Netzwerksicherheitsverletzung liegt insbesondere vor bei: • (Hacker-)Angriffen – gezielt und ungezielt – auf das IT-System eines Versicherten, sofern die Angriffe die Veränderung, Beschädigung, Zerstörung, Löschung, Ver- schlüsselung, Kopie oder das Abhandenkommen von Daten zur Folge haben; • Eingriffen in das IT-System des Versicherten zum Beispiel mit durch Täuschung (Phishing) erhaltenen Zugangsdaten von Mitarbeitern; • Schadprogrammen, wie Viren, Würmern oder Trojanern, die sich im IT-System eines Versicherten ausbreiten; • Denial-of-Service-Angriffen, durch die der Betrieb des IT-Systems eines Ver- sicherten unterbrochen wird. 2. Cyber-Erpressung Eine Cyber-Erpressung liegt vor, wenn einem Versicherten rechtswidrig mit einer Netz- werksicherheitsverletzung gemäß Ziffer I.1. gedroht wird und für die Nicht-Verwirklich- ung der Drohung ein Lösegeld verlangt wird. Als Lösegeld ist dabei jede Form einer Gegenleistung anzusehen, zum Beispiel in Form von Geld, Waren, Dienstleistungen, Handlungen oder Unterlassungen, die der Erpress- er von einem Versicherten oder einer mitversicherten natürlichen Person verlangt. II. Was leistet der Der Versicherer gewährt den Versicherten Versicherungsschutz in Form der nachstehenden Versicherer? Leistungen. Leistungen nach den Ziffern II.3.1. (Cyber-Betriebsunterbrechung On-Premises) und II.3.2. (Cyber-Betriebsunterbrechung bei Cloud-Ausfall) werden nur gewährt, wenn und soweit dies im Versicherungsschein durch Aufnahme einer diesbezüglichen Entschädigungs- grenze vereinbart wird. Soweit der Versicherungsschein keine diesbezügliche Entschädi- gungsgrenze enthält, sind diese Leistungsarten nicht vom Versicherungsschutz umfasst. 1. Assistance-Leistungen 1.1. Soforthilfe im Notfall Bei Bestehen einer konkreten Risikolage für einen Versicherten übernimmt der Versicherer bei entsprechender Verfügbarkeit die Bereitstellung und Kosten des Krisendienstleisters für eine erste Notfall- und Krisenunterstützung in Form von: • einer Experteneinschätzung zur Risikolage, • Empfehlungen für Sofortmaßnahmen zur Schadenbegrenzung, 3 [Seite 4] Hiscox CyberClear Start Bedingungen 06/2022 • Empfehlungen für Sofortmaßnahmen zur Ursachenermittlung, • einer ersten Bewertung der bisherigen Maßnahmen und • soweit erforderlich einer Ermittlung, ob eine Netzwerksicherheitsverletzung vorliegt. Eine konkrete Risikolage liegt vor, wenn aus Sicht eines Versicherten oder einer mitversicherten natürlichen Person der tatsächliche oder der künftige Eintritt eines versicherten Ereignisses gemäß Ziffern I.1. und I.2. aufgrund der objektiven Um- stände zu vermuten ist. Hinsichtlich der Kosten für die Soforthilfe im Notfall fällt weder ein Selbstbehalt an, noch werden diese Kosten auf die Versicherungssumme angerechnet. 1.2. Präventionsleistungen Den Versicherten stehen während der Laufzeit dieses Vertrages, unabhängig davon, ob ein versichertes Ereignis gemäß Ziffer I.1. und I.2. eingetreten ist, die im Versicherungsschein-Beiblatt und unter www.hiscox.de/cybercleargo näher beschriebenen Präventionsleistungen zur Verfügung. Hierzu gehört insbesondere der Zugriff auf • einen Cyber-Krisenplan, • ein Cyber-Training für Mitarbeiter und • die Hiscox Business Academy. 2. Cyber-Eigenschaden Der Versicherer gewährt im Rahmen der nachstehenden Bedingungen Versicherungs- schutz für Eigenschäden, wenn diese aufgrund eines versicherten Ereignisses gemäß Ziffern I.1. und I.2. entstehen. Sämtliche der nachfolgend aufgeführten Schaden- und Kostenpositionen stellen Eigen- schäden im Sinne dieser Bedingungen dar. Der Versicherer ersetzt die nachstehenden Schadenpositionen sowie alle angemessen- en und notwendigen Kosten. Kosten, die nicht auf Weisung oder Veranlassung des Versicherers entstehen, insbesondere Kosten eines ohne Zustimmung des Versicherers beauftragten Dienstleisters, werden nicht erstattet. 2.1. Kosten für Krisenmanagement Der Versicherer ersetzt die Kosten eines Versicherten für Krisenmanagement und Coaching. Hiervon umfasst sind insbesondere auch die Kosten • zur Unterstützung beim Aufbau eines Krisenstabs und der Befähigung zur Stabsarbeit, • für Materialien zur Befähigung des Krisenstabs und der generellen Stabs- arbeit, • der Koordination zwischen der forensischen Analyse und der Unter- nehmensleitung und • der Betreuung bei der Abwicklung einer Lösegeldforderung. 2.2. Kosten für IT-Forensik Der Versicherer ersetzt die Kosten eines Versicherten für externe IT-Forensik- Analysen zur Ermittlung der Ursache eines versicherten Ereignisses gemäß Ziffern I.1. und I.2. und für die Identifizierung der Betroffenen, sowie die Kosten für die Erstellung eines abschließenden Berichts zur forensischen Analyse. 2.3. Kosten für Rechtsberatung Der Versicherer ersetzt die Kosten eines Versicherten zur rechtlichen Prüfung eines versicherten Ereignisses gemäß Ziffern I.1. und I.2. und für Empfehlungen zur weiteren rechtlichen Vorgehensweise. 4 [Seite 5] Hiscox CyberClear Start Bedingungen 06/2022 2.4. Kosten für Public-Relations-Maßnahmen Der Versicherer ersetzt die Kosten für Public-Relations-Maßnahmen eines Ver- sicherten zur Erhaltung oder Wiederherstellung seiner öffentlichen Reputation. Hiervon umfasst sind auch die Kosten für die Gestaltung und das Versenden von Goodwill-Coupons (Preisnachlässe, Gutscheine, Rabatte o. Ä.) inklusive der Frankierung, nicht jedoch die gewährten Vorteile selbst. 2.5. Wiederherstellungskosten Der Versicherer ersetzt die Wiederherstellungskosten (insbesondere für den Krisendienstleister, weitere externe Dienstleister und interne Mehrkosten des Versicherten), die einem Versicherten durch • die Wiederherstellung der ursprünglichen Funktionsfähigkeit des IT- Systems, • die Wiederherstellung oder Reparatur elektronischer Daten, • den Aufbau provisorischer Zwischenlösungen, um den Betrieb eines Versicherten aufrechtzuerhalten oder zeitnah wieder aufzunehmen, oder • die Isolation und Säuberung (insbesondere die Entfernung von Schad- programmen) der IT-Hardware entstehen, wenn die Daten und das IT-System seiner alleinigen Herrschaftsgewalt unterliegen bzw. der Versicherte die vollständige Kontrolle darüber hat oder es sich um private IT-Geräte im Sinne von Ziffer I.1. handelt. Darüber hinaus ersetzt der Versicherer auch die o. g. Wiederherstellungskosten für die Daten und das IT-System des Versicherten, die nicht seiner alleinigen Herrschaftsgewalt unterliegen und über die er nicht die vollständige Kontrolle hat, wenn das versicherte Ereignis von dem Teil des IT-Systems des Versicherten ausgeht, der seiner alleinigen Herrschaftsgewalt unterliegt und über den er die vollständige Kontrolle hat. Soweit die Isolation und Säuberung der IT-Hardware technisch nicht möglich oder erheblich teurer als eine Neubeschaffung sind, ersetzt der Versicherer auch die Kosten für die Neubeschaffung des betroffenen Teils der IT-Hardware, welche dem technischen Stand der IT-Hardware, wie sie vor dem versicherten Ereignis gemäß Ziffern I.1. und I.2. bestand, entspricht. Ist dies nicht möglich oder wirt- schaftlich unangemessen, ersetzt der Versicherer die Kosten für neue IT-Hard- ware, welche dem technischen Stand der ursprünglichen IT-Hardware am nächsten kommt. 2.6. Benachrichtigungskosten Der Versicherer ersetzt die nachstehenden Kosten eines Versicherten für die Prü- fung und Erfüllung seiner gesetzlichen oder vertraglichen Informationspflichten, die durch einen Verstoß gegen gesetzliche Vorschriften oder vertragliche Verein- barungen eines Versicherten, die den Schutz personenbezogener, persönlicher oder geschäftlicher Daten bezwecken und ein den gesetzlichen Bestimmungen entsprechendes Schutzniveau vorsehen (Datenrechtsverletzung), entstehen, wenn die Datenrechtsverletzung ihrerseits auf einer Netzwerksicherheitsver- letzung gemäß Ziffer I.1. beruht: 2.6.1. Benachrichtigungskosten gegenüber Dateninhabern Im Rahmen der gesetzlichen oder vertraglichen Informationspflichten ent- stehende Kosten für die Benachrichtigung der Betroffenen. 2.6.2. Kosten für behördliche Meldeverfahren Kosten, die bei der Anzeige und Meldung der Datenrechtsverletzung infolge einer Netzwerksicherheitsverletzung gemäß Ziffer I.1. entsprechend den gesetzlichen Vorgaben entstehen. 5 [Seite 6] Hiscox CyberClear Start Bedingungen 06/2022 2.6.3. Nachgelagerte Kosten einer Benachrichtigung von Dateninhabern Kosten, um nach der Benachrichtigung der Betroffenen deren Anfragen zu beantworten. Hiervon umfasst sind insbesondere die Kosten durch die Beauftragung eines externen Callcenters oder die Kosten für die Erstellung einer Website. 2.7. Lösegeld Der Versicherer ersetzt das gezahlte Lösegeld bzw. bei Bezahlung eines Löse- geldes in Form von Kryptowährungen, Waren oder Dienstleistungen deren Markt- wert zum Zeitpunkt der Beschaffung. 2.8. Kosten für Kreditüberwachungsdienstleistungen Der Versicherer ersetzt die im Folgenden beschriebenen Kosten eines Versicher- ten für die laufende Beobachtung, Beurteilung und Auswertung der Konten der unmittelbar von einer Datenrechtsverletzung infolge einer Netzwerksicherheits- verletzung gemäß Ziffer I.1. Betroffenen (Kreditüberwachungsdienstleistungen). Dabei handelt es sich um die Kosten, die erforderlich sind, um für einen Zeitraum von maximal 12 Monaten Kreditüberwachungsdienstleistungen für alle Betroffenen bereitzustellen, soweit diese Kreditüberwachungsdienstleistungen innerhalb von 12 Monaten ab Kenntnis der Datenrechtsverletzung infolge einer Netzwerksicher- heitsverletzung gemäß Ziffer I.1. von einem Versicherten angeboten und vom Betroffenen genutzt werden. Versicherungsschutz besteht jedoch nur für Datenrechtsverletzungen, die ihrer- seits auf einer Netzwerksicherheitsverletzung gemäß Ziffer I.1. beruhen, die die Sozialversicherungsnummer, die Führerscheinnummer oder andere Ausweis-/ Kennnummern zum Gegenstand haben und die (in Kombination mit anderen Informationen) zur Eröffnung eines neuen Bankkontos oder eines neuen Ver- sicherungskontos verwendet werden können, sowie für Kreditüberwachungs- dienstleistungen, die gesetzlich vorgeschrieben sind. 2.9. Sicherheitsanalyse und Sicherheitsverbesserungen Der Versicherer ersetzt die Honorare des Krisendienstleisters für eine Sicherheits- analyse der konkret im Versicherungsfall identifizierten Schwachstelle und für kon- krete Empfehlungen zu Sicherheitsverbesserungen im unmittelbaren Zusammen- hang mit dem Versicherungsfall nach dessen Abschluss. 2.10. Schadenminderungskosten Der Versicherer ersetzt die Kosten eines Versicherten zur – auch erfolglosen – Abwendung oder Minderung eines Versicherungsfalles, soweit der Versicherte sie den Umständen nach für geboten halten durfte. 3. Cyber-Betriebsunterbrechung (sofern im Versicherungsschein hierfür eine oder mehrere Entschädigungsgrenzen ausgewiesen sind) Der Versicherer gewährt den Versicherten unter Berücksichtigung des im Versiche- rungsschein vereinbarten zeitlichen Selbstbehalts und der Haftzeit Versicherungs- schutz, wenn unmittelbar und ausschließlich durch ein versichertes Ereignis im Sinne der Ziffern I.1. und I.2. eine Cyber-Betriebsunterbrechung On-Premises (Ziffer II.3.1) oder eine Cyber-Betriebsunterbrechung bei Cloud-Ausfall (Ziffer II.3.2) verursacht wird und hierdurch den Versicherten ein Ertragsausfallschaden entsteht. In diesem Fall bezahlt der Versicherer den Versicherten für die Dauer des versicherten Zeitraums gemäß dieser besonderen Deckungsvereinbarung unter Abzug des im Versicherungs- schein vereinbarten zeitlichen Selbstbehalts die im Versicherungsschein vereinbarte pauschale Tagessatzentschädigung. 6 [Seite 7] Hiscox CyberClear Start Bedingungen 06/2022 3.1. Cyber-Betriebsunterbrechung On-Premises (sofern im Versicherungsschein hierfür eine Entschädigungsgrenze ausgewiesen ist) 3.1.1. Inhalt der Cyber-Betriebsunterbrechung On-Premises Versicherungsschutz im Rahmen der Cyber-Betriebsunterbrechung On- Premises besteht nur, wenn die Daten und der Teil des IT-Systems, die von dem versicherten Ereignis betroffen sind, der alleinigen Herrschaftsgewalt des Versicherten unterliegen oder er die vollständige Kontrolle darüber hat. 3.1.2. Begriff der Cyber-Betriebsunterbrechung On-Premises Eine versicherte Cyber-Betriebsunterbrechung On-Premises liegt vor, wenn unmittelbar und ausschließlich ein versichertes Ereignis gemäß Ziffern I.1. und I.2. zu einem Nutzungsausfall eines wesentlichen Teils des IT-Systems der Versicherten führt und die Produktion der Versicherten oder die Erbrin- gung von Dienstleistungen durch die Versicherten hierdurch vollständig oder teilweise unterbrochen ist. Ein Nutzungsausfall eines wesentlichen Teils des IT-Systems liegt vor, wenn mindestens 25 % der IT-Geräte, die zum Zeitpunkt des versicherten Ereignisses mit dem IT-System der Versicherten verbunden waren, voll- ständig und nicht nur vorübergehend nicht nutzbar sind. IT-Geräte im Sinne dieser Bedingungen sind Computer, Server (physisch und virtuell), virtuelle Maschinen, Mobile Devices, IoT-Geräte und speicher- programmierbare Steuerungen. 3.1.3. Versicherter Zeitraum Der versicherte Zeitraum und die Haftzeit beginnen mit Eintritt der ver- sicherten Cyber-Betriebsunterbrechung. Der versicherte Zeitraum endet zu dem Zeitpunkt, zu dem eine Cyber- Betriebsunterbrechung nicht mehr besteht, zu dem kein Nutzungsausfall eines wesentlichen Teils der zum IT-System der Versicherten gehörenden IT-Geräte mehr besteht, oder mit dem Ablauf der Haftzeit. Maßgeblich ist der Eintritt des frühesten der vorbezeichneten Ereignisse. 3.1.4. Zeitlicher Selbstbehalt Die Laufzeit des zeitlichen Selbstbehalts beginnt mit Eintritt der versicherten Cyber-Betriebsunterbrechung und endet mit Ablauf der im Versicherungs- schein bestimmten Zeit. Der zeitliche Selbstbehalt gilt als überschritten, wenn auch nach Ablauf der im Versicherungsschein bestimmten Zeit ein Nutzungsausfall eines wesentlichen Teils der zum IT-System der Versicher- ten gehörenden IT-Geräte besteht. Der monetäre Selbstbehalt gemäß Ziffer IV.7. ist nicht auf die Gesamt- entschädigungsleistung der Cyber-Betriebsunterbrechung On-Premises anzuwenden. 3.1.5. Anwendbarkeit der Entschädigungsgrenze Für sämtliche Leistungen wegen einer Cyber-Betriebsunterbrechung On- Premises gilt die im Versicherungsschein ausgewiesene Entschädigungs- grenze. 3.2. Cyber-Betriebsunterbrechung bei Cloud-Ausfall (sofern im Versicherungsschein hierfür eine Entschädigungsgrenze ausgewiesen ist) 3.2.1. Inhalt der Cyber-Betriebsunterbrechung bei Cloud-Ausfall Versicherungsschutz im Rahmen der Cyber-Betriebsunterbrechung bei Cloud-Ausfall besteht nur, wenn die Daten und das IT-System, die von dem versicherten Ereignis betroffen sind, der Herrschaftsgewalt oder Kontrolle eines dritten Dienstleisters (z. B. externes Rechenzentrum, Cloud-Anbieter) unterliegen, den ein Versicherter entgeltlich in Anspruch nimmt. 7 [Seite 8] Hiscox CyberClear Start Bedingungen 06/2022 Eine versicherte Cyber-Betriebsunterbrechung bei Cloud-Ausfall im Sinne dieser Bedingungen setzt zudem voraus, dass der dritte Dienstleister mind- estens ISO27001-zertifiziert und in Tier Level 3 gemäß TIA-942 (Telecom- munications Infrastructure Standard für Data Centers) eingestuft ist. 3.2.2. Begriff der Cyber-Betriebsunterbrechung bei Cloud-Ausfall Eine versicherte Cyber-Betriebsunterbrechung bei Cloud-Ausfall liegt vor, wenn unmittelbar und ausschließlich ein versichertes Ereignis gemäß Ziffern I.1. und I.2. zu einem vollständigen und nicht nur vorübergehenden Nutzungsausfall des Teils des IT-Systems der Versicherten führt, welcher der Herrschaftsgewalt und Kontrolle eines dritten Dienstleisters (z. B. externes Rechenzentrum, Cloud-Anbieter) unterliegt, und die Produktion der Versicherten oder die Erbringung von Dienstleistungen durch die Ver- sicherten hierdurch vollständig oder teilweise unterbrochen ist. 3.2.3. Versicherter Zeitraum Der versicherte Zeitraum und die Haftzeit beginnen mit Eintritt der ver- sicherten Cyber-Betriebsunterbrechung. Der versicherte Zeitraum endet zu dem Zeitpunkt, zu dem eine Cyber- Betriebsunterbrechung bei Cloud-Ausfall nicht mehr besteht, oder mit dem Ablauf der Haftzeit. Maßgeblich ist der Eintritt des frühesten der vorbe- zeichneten Ereignisse. 3.2.4. Zeitlicher Selbstbehalt Die Laufzeit des zeitlichen Selbstbehalts beginnt mit Eintritt der versicherten Cyber-Betriebsunterbrechung bei Cloud-Ausfall und endet mit Ablauf der im Versicherungsschein bestimmten Zeit. Der zeitliche Selbstbehalt gilt als überschritten, wenn auch nach Ablauf der im Versicherungsschein bestim- mten Zeit ein Nutzungsausfall des Teils des IT-Systems der Versicherten besteht, welcher der Herrschaftsgewalt und Kontrolle eines dritten Dienst- leisters unterliegt. Der monetäre Selbstbehalt gemäß Ziffer IV.7. ist nicht auf die Gesamtent- schädigungsleistung der Cyber-Betriebsunterbrechung bei Cloud-Ausfall anzuwenden. 3.2.5. Anwendbarkeit der Entschädigungsgrenze Für sämtliche Leistungen wegen einer Cyber-Betriebsunterbrechung bei Cloud-Ausfall gilt die im Versicherungsschein ausgewiesene Entschädi- gungsgrenze. III. Was ist nicht Wenn einer der nachfolgend aufgeführten Risikoausschlüsse vorliegt, besteht kein Ver- versichert? sicherungsschutz. Dies gilt für alle unter Ziffer II. aufgeführten Leistungen des Versicherers. 1. Vorsätzliche Schadenverursachung oder wissentliche Pflichtverletzung Kein Versicherungsschutz besteht wegen vorsätzlicher Schadenverursachung oder wissentlichen Abweichens von Gesetz, Vorschrift oder Anweisung des Auftraggebers durch einen Versicherten. Vom Versicherungsschutz umfasst bleiben Fälle einer vor- sätzlichen Schadenverursachung oder eines wissentlichen Abweichens von Gesetz, Vorschrift oder Anweisung des Auftraggebers durch den Leiter der Rechtsabteilung, der IT-Abteilung oder des Risikomanagements eines Versicherten. 2. Gewaltsame Auseinandersetzungen und Cyber-Operationen Kein Versicherungsschutz besteht wegen Schäden, die sich direkt oder indirekt im Zusammenhang mit einem der folgenden Ereignisse ergeben: 2.1. dem Einsatz physischer Gewalt eines Staates gegenüber einem anderen Staat (Krieg), unabhängig davon, ob Krieg erklärt wurde oder nicht, 8 [Seite 9] Hiscox CyberClear Start Bedingungen 06/2022 2.2. Invasion, Bürgerkrieg, Aufstand, Streik, Revolution, Aufruhr sowie militärischer oder anderer Formen der gewaltsamen Machtergreifung oder 2.3. dem unzulässigen Zugriff auf ein IT-System durch oder im Namen eines Staates im Territorium eines anderen Staates oder die unzulässige Nutzung eines IT- Systems durch oder im Namen eines Staates im Territorium eines anderen Staates (Cyber-Operation), wenn diese Cyber-Operation einem Staat zuge- schrieben werden kann und: • im Zuge eines Krieges ausgeführt wird und/oder • direkt oder indirekt zu einer Störung der Verfügbarkeit, Integrität oder Leistungsfähigkeit der kritischen Infrastruktur oder aber der Sicherheit oder Verteidigung eines anderen Staates führt. Eine Cyber-Operation kann insbesondere dann einem Staat zugeschrieben werden, wenn die Regierung oder eine Sicherheitsbehörde (einschließlich Ge- heimdiensten und Verfassungsschutzbehörden) eines relevanten Staates dies öffentlich kommuniziert. Ein relevanter Staat ist jeder Staat, • dessen Verfügbarkeit, Integrität oder Leistungsfähigkeit der kritischen Infrastruktur oder aber der Sicherheit oder Verteidigung durch die Cyber- Operation gestört wurde (betroffener Staat) oder • der Mitglied der Europäischen Union oder • der Mitglied der NATO ist. Bei widersprüchlichen Zuschreibungen innerhalb eines relevanten Staates ist die von der Regierung des jeweiligen Staates im Rahmen der offiziellen Kommu- nikation vorgenommene Zuschreibung maßgeblich. Bei widersprüchlichen Zu- schreibungen zwischen verschiedenen relevanten Staaten ist die Zuschreibung durch den betroffenen Staat maßgeblich. Hat der betroffene Staat keine Zu- schreibung vorgenommen, genügt die Zuschreibung durch einen relevanten Staat, auch wenn ein oder mehrere andere relevante Staaten diese nicht teilen oder ihr widersprechen. Sofern keine Zuschreibung einer Cyber-Operation durch einen relevanten Staat erfolgt, kann eine Cyber-Operation auch dann einem Staat zugeschrieben wer- den, wenn der Versicherer dies durch geeignete Beweise nachweist. Als kritische Infrastruktur im Sinne des vorliegenden Ausschlusses gelten alle in der jeweiligen Fassung des § 2 Nr. 10 BSIG einschließlich der dazugehörigen Verordnungen oder einer etwaigen Nachfolgeregelung sowie alle in entsprechen- den ausländischen Rechtsnormen als kritische Infrastruktur oder wesentliche Dienste (essential services) definierten Einrichtungen. 3. Technische Infrastruktur Kein Versicherungsschutz besteht wegen Schäden aufgrund einer Störung oder eines Ausfalls der öffentlichen oder privaten technischen Infrastruktur, die nicht vom Ver- sicherungsnehmer selbst betrieben wird. Zur öffentlichen und privaten Infrastruktur gehören: • Strom-, Gas-, Wasser- und Wasserstoffversorgung, • externe Netzstrukturen, die der überregionalen Informationsvermittlung dienen, insbesondere Telefon-, Internet-, Computer-, Daten- oder Funknetze, sowie Leistungen von Internet- und Telekommunikationsanbietern bzw. Providern, Satelliten, • Domain Name Systems (DNS), Internet Service Provider (ISP), Content Delivery Networks (CDN) oder Certificate Authorities (CA) sowie • alle weiteren vergleichbaren privaten Einrichtungen oder Einrichtungen der Gebietskörperschaften. 9 [Seite 10] Hiscox CyberClear Start Bedingungen 06/2022 4. Produktrückruf Kein Versicherungsschutz besteht wegen Schäden im Zusammenhang mit dem Rück- ruf eigener oder fremder Produkte oder Dienstleistungen. 5. Vertragsstrafen Kein Versicherungsschutz besteht wegen Schäden durch Vertragsstrafen, soweit diese nicht ausdrücklich mitversichert sind. 6. Glücksspiel Kein Versicherungsschutz besteht wegen Schäden infolge der Organisation oder des Ausrichtens von Preisausschreiben, Lotterien, Auslobungen oder sonstigen Glücks- spielen. 7. Finanzmarkttransaktionen Kein Versicherungsschutz besteht wegen Schäden infolge jedweder Form des Kaufs oder Verkaufs von Wertpapieren, Rohstoffen, Derivaten, Devisen, Anleihen oder ver- gleichbaren Wertanlagen. 8. Rechtswidriges Erfassen und Nutzen von Daten Kein Versicherungsschutz besteht, wenn ein Versicherter mit Kenntnis oder infolge grob fahrlässiger Unkenntnis eines Repräsentanten personenbezogene Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) oder entsprechender, auch aus- ländischer, Rechtsnormen rechtswidrig erfasst oder nutzt. 9. Patent- und Kartellrechtsverletzungen Kein Versicherungsschutz besteht wegen Ansprüchen aufgrund von Patentrechts- verletzungen oder Schäden aus dem Verlust der Patentierbarkeit sowie Kartellrechts- verletzungen. 10. Hoheitliche Eingriffe Kein Versicherungsschutz besteht im Zusammenhang mit hoheitlichen Eingriffen, insbesondere Beschlagnahme, (teilweise) Betriebseinstellung, (teilweise) Betriebs- schließung, Verstaatlichung, Zerstörung oder anderweitigen Maßnahmen einer Behörde oder sonstigen staatlichen Einrichtung. 11. Naturkatastrophen Kein Versicherungsschutz besteht wegen Schäden durch Erdbeben, Vulkanausbruch, Flutwelle, Flut, Feuer, Explosion, Wind, Blitzschlag, Frost, Sonneneruption, Asteroide- neinschlag, Magnetfeldverschiebung oder andere Naturereignisse. 12. Sachschäden Kein Versicherungsschutz besteht für Sachschäden. 13. Personenschäden Kein Versicherungsschutz besteht für Personenschäden. 14. Kernenergie, Radioaktivität, biologische und chemische Ursachen Kein Versicherungsschutz besteht für Schäden durch Kernenergie oder Radioaktivität und Schäden aufgrund biologischer oder chemischer Ursachen, einschließlich mittel- barer und unmittelbarer Folgeschäden. 10 [Seite 11] Hiscox CyberClear Start Bedingungen 06/2022 IV. Allgemeine 1. Versicherungsfall Regelungen Der Versicherungsfall ist der tatsächliche Eintritt eines Ereignisses gemäß Ziffer I., welches den Eigenschaden eines Versicherten unmittelbar herbeiführt. Für die Soforthilfe im Notfall gemäß Ziffer II.1.1., die Cyber-Eigenschäden in Form von Kosten für Krisenmanagement gemäß Ziffer II.2.1., die Kosten für IT-Forensik gemäß Ziffer II.2.2., die Kosten für Rechtsberatung gemäß Ziffer II.2.3. und die Kosten für Pub- lic-Relations-Maßnahmen gemäß Ziffer II.2.4. und die Benachrichtigungskosten gemäß Ziffer II.2.6. besteht unabhängig vom tatsächlichen Eintritt des Versicherungsfalles be- reits dann Versicherungsschutz, wenn der tatsächliche Eintritt eines Versicherungsfalles aufgrund der objektiven Umstände zu vermuten ist. 1.1. Serienschaden Mehrere im versicherten Zeitraum eingetretene oder vermutete Versicherungs- fälle, die auf derselben Ursache oder auf mehreren gleichen Ursachen, die in einem inneren, insbesondere sachlichen und zeitlichen Zusammenhang zuein- ander stehen, beruhen, gelten – auch wenn sie in unterschiedlichen Versiche- rungsperioden oder in der Nachmeldefrist eintreten – als ein Versicherungsfall, der in dem Zeitpunkt als eingetreten gilt, in dem der erste der zusammengefassten Versicherungsfälle eingetreten ist. 1.2. Beweiserleichterung bezüglich des Versicherungsfalles Kann der Beweis, dass ein Versicherungsfall eingetreten ist, nicht erbracht werden, so gilt der Eintritt des Versicherungsfalles bereits dann als bewiesen, wenn aufgrund objektiver Umstände keine vernünftigen Zweifel daran bestehen können, dass alternative Ursachen für den Eintritt des versicherten Schadens nicht in Betracht kommen. Voraussetzung für die Anwendung der Beweiserleichterung ist weiterhin, dass der Krisendienstleister durch den Versicherten eingeschaltet wurde und dass kein Verstoß der Versicherten gegen Anzeige- bzw. Mitwirkungsobliegenheiten im Versicherungsfall vorliegt. 2. Vorrangige Versicherung Ist ein Versicherungsfall oder ein Schaden auch unter einem anderen Versicherungs- vertrag versichert, so geht der vorliegende Vertrag vor. Dies gilt nicht, wenn es sich bei dem anderen Versicherungsvertrag um eine Cyber- Versicherung eines Versicherten handelt. In diesem Fall steht die vorliegende Versiche- rung erst im Anschluss an die Versicherungssumme der anderen Versicherung zur Ver- fügung. Versicherungsschutz besteht in Ergänzung zu der Leistung des anderen Ver- sicherers, soweit der Versicherungsschutz unter dem vorliegenden Vertrag weiter ist als unter dem anderen einschlägigen Versicherungsvertrag (Konditionendifferenzdeck- ung) oder der anderweitige Versicherungsschutz durch Zahlung verbraucht ist (Sum- menausschöpfungsdeckung). Erhält der Versicherte aus dem anderweitigen Versicherungsvertrag wegen dauerhafter Zahlungsunfähigkeit des anderen Versicherers keine Leistung, so leistet der Versicherer des vorliegenden Vertrags Zug um Zug gegen Abtretung der Leistungsansprüche des Versicherten. Bestreitet der andere Versicherer seine Leistungspflicht ganz oder teilweise, so leistet der Versicherer des vorliegenden Vertrags unter Eintritt in die Rechte des Versicherten vor. 3. Versicherter Zeitraum Der Versicherungsschutz besteht für Versicherungsfälle, die während der Vertrag- slaufzeit eingetreten sind. 4. Räumlicher Geltungsbereich und Non-Admitted-Countries Es besteht weltweiter Versicherungsschutz. Soweit es dem Versicherer aus rechtlichen Gründen nicht möglich ist, vertraglich 11 [Seite 12] Hiscox CyberClear Start Bedingungen 06/2022 geschuldete Leistungen im Ausland zu erbringen, sind diese Leistungen am Sitz des Versicherungsnehmers gegenüber dem Versicherungsnehmer zu erbringen. Einen Anspruch auf Erbringung von Leistungen hat in diesem Fall nur der Versicherungs- nehmer selbst. 5. Kumulklausel Die Leistungspflicht des Versicherers ist auf die höchste der vereinbarten Versiche- rungssummen begrenzt, wenn für einen Versicherungsfall oder Schaden über mehrere Versicherungsverträge derselben Versicherungsart (Vermögensschadenhaftpflicht-, Betriebshaftpflicht-, D&O-, Cyber- oder Sachversicherung bzw. entsprechende Hiscox Versicherungsprodukte im Ausland) der Hiscox-Gruppe (insbesondere der Risikoträger Hiscox SA, Hiscox Insurance Company Ltd., Lloyds Syndicate 33 und 3624) Versiche- rungsschutz besteht (Kumulfall). Eine Kumulierung der Versicherungssummen findet nicht statt. Sind für den Versicherungsfall oder Schaden in den betroffenen Versicherungsverträ- gen unterschiedliche Selbstbehalte vereinbart, so kommt in einem Kumulfall nur der niedrigere der vereinbarten Selbstbehalte zur Anwendung. 6. Fälligkeit von Entschädigungsleistungen für Cyber-Eigenschäden Die Entschädigung wird fällig, wenn die Feststellungen des Versicherers zum Grunde und zur Höhe des Anspruchs abgeschlossen sind. Der Versicherte kann zwei Wochen nach Meldung des Schadens den Betrag als Abschlagszahlung beanspruchen, der nach Lage der Sache mindestens zu zahlen ist, sofern keine Gründe für eine Aufschiebung der Zahlung vorliegen. Der Versicherer kann die Zahlung aufschieben, • wenn Zweifel an der Empfangsberechtigung des Versicherten bestehen; • wenn ein behördliches oder strafgerichtliches Verfahren gegen einen Versicherten oder einen Repräsentanten anhängig ist. 7. Monetärer Selbstbehalt Ein Versicherter beteiligt sich in jedem Versicherungsfall mit dem im Versicherungs- schein vereinbarten Betrag an der Leistung des Versicherers (monetärer Selbstbehalt). Der Versicherungsnehmer kann den im Versicherungsschein vereinbarten monetären Selbstbehalt um 25 % je Schadenfall reduzieren, wenn die im Versicherungsschein- Beiblatt und unter www.hiscox.de/cybercleargo näher beschriebenen Voraussetzungen zu dem Cyber-Training erfüllt werden. 8. Leistungsobergrenzen 8.1. Je Versicherungsfall Die Leistung des Versicherers je Versicherungsfall ist auf die vereinbarte Ver- sicherungssumme oder Entschädigungsgrenze beschränkt. Kosten oder ander- weitige Aufwendungen werden hierauf angerechnet. 8.2. Je Versicherungsjahr Die Leistung des Versicherers je Versicherungsjahr ist auf die vereinbarte Jahreshöchstleistung beschränkt. Kosten oder anderweitige Aufwendungen werden hierauf angerechnet. 9. Zahlung der Versicherungssumme Der Versicherer kann einem Versicherten im Versicherungsfall zu jedem Zeitpunkt die Versicherungssumme bzw. den noch nicht verbrauchten Teil der Versicherungssumme bzw. einer gegebenenfalls vereinbarten Entschädigungsgrenze auszahlen. In diesem Fall hat der Versicherer gegenüber den Versicherten keine weitere Leistungspflicht für diesen Versicherungsfall. 12 [Seite 13] Hiscox CyberClear Start Bedingungen 06/2022 10. Versicherte Versicherte sind: • der Versicherungsnehmer und • mitversicherte Unternehmen. 10.1. Versicherungsnehmer Der Versicherungsnehmer ergibt sich aus dem Versicherungsschein. 10.2. Mitversicherte Unternehmen Mitversicherte Unternehmen sind: • bei Versicherungsbeginn bereits als rechtlich selbstständig existierende Gesellschaften innerhalb des EWR und UK, auf die der Versicherungs- nehmer unmittelbar oder mittelbar einen beherrschenden Einfluss ausüben kann, • neue Tochtergesellschaften. Wird eine Gesellschaft durch Gründung oder Erwerb während der Vertragslaufzeit zu einer Tochtergesellschaft, gilt sie ab dem Zeitpunkt der Gründung oder des Erwerbs automatisch als mitversichertes Unternehmen. Entsprechendes gilt für Gesellschaften, die während der Vertragslaufzeit mit dem Versicherungsnehmer oder einer Tochtergesellschaft verschmolzen werden, ab dem Zeitpunkt des Voll- zugs der Verschmelzung. Dies gilt nicht für: • Gesellschaften mit im Vergleich zum Versicherungsnehmer insgesamt niedrigerem IT-Sicherheitsniveau, • Gesellschaften außerhalb des EWR und UK, • Gesellschaften, deren Gesellschaftszweck von dem des Versicherungs- nehmers abweicht, • IT-Unternehmen mit Fernzugriffsrechten auf die IT-Systeme ihrer Kunden oder • Kredit- oder Finanzdienstleistungsunternehmen sowie Pensionskassen. Gesellschaften mit im Vergleich zu dem Versicherungsnehmer insgesamt niedri- gerem IT-Sicherheitsniveau gewährt der Versicherer Versicherungsschutz für die Dauer von maximal 60 Tagen ab dem Zeitpunkt der rechtswirksamen Gründung, des Erwerbs, der Umwandlung oder der Verschmelzung, sofern eine Versicherung der Tochtergesellschaft beim Versicherer innerhalb der vorgenannten Frist ange- fragt wird. Die Deckung endet bereits vor Ablauf der 60 Tage, sobald der Ver- sicherer den Versicherungsschutz für die Tochtergesellschaft ablehnt oder der Versicherungsvertrag insgesamt endet. Beläuft sich der Umsatz der neu gegründeten, erworbenen oder verschmolzenen (Tochter-)Gesellschaft zum Zeitpunkt der Wirksamkeit der Gründung, des Er- werbs, der Umwandlung oder der Verschmelzung auf mehr als 20 % der konsoli- dierten Umsatzsumme des Versicherungsnehmers, so gilt sie nur vorbehaltlich einer Einigung über eine Bedingungs- und Prämienanpassung als mitversichertes Unternehmen. Nicht vom Versicherungsschutz umfasst sind Versicherungsfälle, für die aus einem anderen Versicherungsvertrag Versicherungsschutz besteht oder die einem Versicherten zum Zeitpunkt des Erwerbs oder der Gründung bekannt waren. 11. Repräsentanten Repräsentanten im Sinne dieses Vertrages sind: • die Mitglieder des Vorstandes (bei Aktiengesellschaften), • die Geschäftsführer (bei Gesellschaften mit beschränkter Haftung), 13 [Seite 14] Hiscox CyberClear Start Bedingungen 06/2022 • die Komplementäre (bei Kommanditgesellschaften), • die Gesellschafter (bei offenen Handelsgesellschaften), • die Gesellschafter (bei Gesellschaften bürgerlichen Rechts), • die Inhaber von Einzelfirmen, • die nach den gesetzlichen Vorschriften berufenen obersten Vertretungsorgane (bei anderen Unternehmensformen, z. B. Genossenschaften, Verbänden, Ver- einen, Körperschaften des öffentlichen Rechts, Kommunen), • der dem Vorstehenden entsprechende Personenkreis (bei ausländischen Unternehmen) oder • der Leiter der Rechtsabteilung, der IT-Abteilung oder des Risikomanagements. 12. Mitversicherte natürliche Personen Mitversicherte natürliche Personen im Sinne dieses Vertrages sind: • die angestellten Mitarbeiter der Versicherten, • die in den Betrieb der Versicherten eingegliederten Mitarbeiter von Zeitarbeits- unternehmen, • die in den Betrieb der Versicherten eingegliederten freien Mitarbeiter, soweit diese im Namen und Auftrag der Versicherten tätig werden. 13. Regressverzicht bei grober Fahrlässigkeit Führt eine mitversicherte natürliche Person einen Versicherungsfall grob fahrlässig her- bei, so verzichtet der Versicherer darauf, gegen diese mitversicherte natürliche Person Regressansprüche geltend zu machen. Dieser Regressverzicht gilt nicht gegenüber einem Repräsentanten eines Versicherten. 14. Gefahrerhöhung Eine Gefahrerhöhung liegt vor, wenn nach Abgabe der Vertragserklärung des Ver- sicherungsnehmers die tatsächlich vorhandenen Umstände so verändert werden, dass der Eintritt eines Versicherungsfalles oder die Vergrößerung eines Schadens wahr- scheinlicher wird. Eine Gefahrerhöhung liegt insbesondere bei folgenden Umständen vor: • Änderung des Geschäftszwecks eines Versicherten; • Aufnahme von Online-Handel; • erhebliche technisch-organisatorische Änderungen in der Informationssicher- heitsstruktur eines Versicherten wie zum Beispiel nachteilige Veränderungen im Informationssicherheitsmanagementsystem (ISMS), Veränderungen in der Daten- sicherungsstrategie oder Out- bzw. Insourcing von IT-Prozessen. Der Versicherer fragt einmal jährlich typische gefahrerhöhende Umstände ab (Prämien- regulierungsprozess). Unabhängig vom Prämienregulierungsprozess bleibt die gesetz- liche Pflicht des Versicherungsnehmers, nach Vertragserklärung ohne die Einwilli- gung des Versicherers keine Gefahrerhöhungen vorzunehmen oder von einem Dritten vornehmen zu lassen, bestehen. Kommt es trotzdem zu einer Gefahrerhöhung, hat der Versicherungsnehmer sie abweichend von den gesetzlichen Regelungen innerhalb eines Monats nach Kenntniserlangung anzuzeigen. 15. Obliegenheiten vor Eintritt des Versicherungsfalles Der Versicherte hat vor Eintritt des Versicherungsfalles die folgenden Obliegenheiten zu beachten und zu erfüllen. 15.1. Datensicherung Die Versicherten haben mindestens wöchentlich eine vollständige Datensicherung vorzunehmen. Für die Erstellung dieser Datensicherung ist eine Offline-Datensi- cherung mit dauerhafter physischer Trennung von den zu sichernden IT-Systemen oder eine unveränderbare Online-Datensicherung, auf die Administratoren nur 14 [Seite 15] Hiscox CyberClear Start Bedingungen 06/2022 mit einer Zwei-Faktor-Authentifizierung oder aus einer separaten Domain zu- greifen können, zu nutzen. Diese Datensicherung ist für mindestens 30 Tage aufzubewahren. 15.2. Patchmanagement Die Versicherten haben Sicherheitsupdates auf Servern und Clients (mobilen Ge- räten, Desktops und Terminals) sowie auf Netzwerkgeräten und Sicherheitssyste- men (z. B. Firewalls, Virenschutz) innerhalb von 30 Tagen nach Veröffentlichung des Updates durch den Hersteller einzuspielen. 15.3. Betrieb von Altsystemen Sofern die Versicherten Betriebssysteme nutzen, für die ihnen keine Sicherheits- updates mehr bereitgestellt werden (Altsysteme), hat der Betrieb dieser Altsys- teme ausschließlich in einer isolierten Netzwerkumgebung ohne direkten Internet- zugang und mit durchgehender Kontrolle des Datenverkehrs zu erfolgen. 15.4. Folgen einer Obliegenheitsverletzung vor Eintritt des Versicherungsfalles Verletzt ein Versicherter vorsätzlich oder grob fahrlässig eine Obliegenheit, die er vor Eintritt des Versicherungsfalles gegenüber dem Versicherer zu erfüllen hat, so kann der Versicherer innerhalb eines Monats, nachdem er von der Verletzung Kenntnis erlangt hat, den Vertrag fristlos kündigen. Der Versicherer hat kein Kün- digungsrecht, wenn der Versicherte nachweist, dass er die Obliegenheit weder vorsätzlich noch grob fahrlässig verletzt hat. Verletzt der Versicherte eine Obliegenheit vorsätzlich, so ist der Versicherer von der Verpflichtung zur Leistung frei. Bei grob fahrlässiger Verletzung der Obliegen- heit ist der Versicherer berechtigt, seine Leistung in dem Verhältnis zu kürzen, das der Schwere des Verschuldens des Versicherten entspricht. Der Versicherer bleibt zur Leistung verpflichtet, wenn der Versicherte nachweist, dass er die Obliegenheit nicht grob fahrlässig verletzt hat. Dies gilt auch, wenn der Versicherte nachweist, dass die Verletzung der Obliegenheit weder für den Eintritt oder die Feststellung des Versicherungsfalles noch für die Feststellung oder den Umfang der dem Versicherer obliegenden Leistung ursächlich war. Das gilt nicht, wenn der Versicherte die Obliegenheit arglistig verletzt hat. 16. Obliegenheiten nach Eintritt des Versicherungsfalles 16.1. Anzeige bestimmter Umstände Der Versicherte hat unverzüglich nach Kenntniserlangung: • den (vermuteten) Eintritt eines Versicherungsfalles beim Krisendienstleister und beim Versicherer anzuzeigen; • sofern eine Cyber-Betriebsunterbrechung gemäß Ziffer II.3.1. oder II.3.2. versichert ist - im Falle einer Cyber-Betriebsunterbrechung den Krisen- dienstleister und den Versicherer hierüber zu informieren und alle erforder- lichen Informationen zur Verfügung zu stellen; • im Falle einer Cyber-Erpressung - alle angemessenen Schritte zu unternehmen, um sicherzustellen, dass es sich um eine ernst zu nehmende Drohung handelt; - die zuständigen Ermittlungsbehörden hierüber zu informieren oder dem Krisendienstleister die Genehmigung zur Weitergabe dieser Informatio- nen zu geben. 16.2. Befolgung der Weisungen des Versicherers Der Versicherte ist verpflichtet, unter Befolgung der Weisungen des Versicherers nach Möglichkeit für die Abwendung und Minderung des Schadens zu sorgen und alles zu tun, was zur Klarstellung des Versicherungsfalles dient, sofern ihm dabei nichts Unbilliges zugemutet wird. Er hat den Versicherer bei der Schadenermitt- lung und -regulierung zu unterstützen, ausführlich und wahrheitsgemäß Bericht 15 [Seite 16] Hiscox CyberClear Start Bedingungen 06/2022 zu erstatten, alle Tatsachen, die den Versicherungsfall und die Schadenfolgen betreffen, mitzuteilen und alle nach Ansicht des Versicherers für die Beurteilung des Versicherungsfalles erheblichen Schriftstücke einzusenden. 16.3. Folgen einer Obliegenheitsverletzung nach Eintritt des Versicherungsfalles Verletzt der Versicherte eine der vorstehenden Obliegenheiten, ist der Versicherer von der Verpflichtung zur Leistung frei, wenn der Versicherte die Obliegenheit vorsätzlich verletzt hat. Im Falle einer grob fahrlässigen Verletzung der Obliegen- heit ist der Versicherer berechtigt, seine Leistung in einem der Schwere des Ver- schuldens des Versicherten entsprechenden Verhältnis zu kürzen. Die Beweislast für das Nichtvorliegen einer groben Fahrlässigkeit trägt der Versicherte. In jedem Fall bleibt der Versicherer zur Leistung verpflichtet, soweit die Verletzung der Obliegenheit weder für den Eintritt oder die Feststellung des Versicherungs- falles noch für die Feststellung oder den Umfang der Leistungspflicht des Ver- sicherers ursächlich ist. Dies gilt nicht, wenn der Versicherte die Obliegenheit arglistig verletzt hat. Bei Verletzung der Auskunfts- oder Aufklärungsobliegenheiten des Versicherten ist Voraussetzung für den Eintritt der Rechtsfolge der vollständigen oder teilweisen Leistungsfreiheit, dass der Versicherer den Versicherten auf diese Rechtsfolge in Textform hingewiesen hat. 17. Prämienanpassung bei Umsatzänderung Soweit die Prämie (Beitrag) in Abhängigkeit vom Umsatz der Versicherten berechnet wird, ist der Versicherungsnehmer verpflichtet, nach Aufforderung des Versicherers Änderungen des konsolidierten Jahresumsatzes abzüglich Umsatzsteuer in Textform anzuzeigen (Änderungsanzeige). Hierzu übersendet der Versicherer dem Versiche- rungsnehmer einen Fragebogen, der innerhalb von drei Monaten zu beantworten ist. Auf Verlangen des Versicherers sind die Angaben durch die Geschäftsbücher oder sonstige Belege nachzuweisen. Bei einer Änderung des Jahresumsatzes erfolgt eine Prämienanpassung für die ge- samte laufende Versicherungsperiode. Für frühere Versicherungsperioden wird keine Prämienanpassung vorgenommen. Unterlässt der Versicherungsnehmer die rechtzeitige Änderungsanzeige, kann der Ver- sicherer anstelle der Prämienanpassung die für die gesamte laufende Versicherungs- periode vereinbarte Prämie noch einmal verlangen. Wird die Änderungsanzeige inner- halb eines Monats nach Empfang der Nachzahlungsaufforderung des Versicherers nachgeholt, erlischt die Pflicht des Versicherungsnehmers zur nochmaligen Zahlung der Prämie und der Versicherer nimmt die Prämienanpassung vor. 16 ```