Cyberubezpieczenie dla przedsiębiorcy – co warto o nim wiedzieć?

Cyberatak może oznaczać dla przedsiębiorcy utratę danych, kosztowny przestój oraz poważne roszczenia klientów. Rozwiązaniem coraz częściej wybieranym przez właścicieli firm jest cyberubezpieczenie dla przedsiębiorcy, które ogranicza część tych ryzyk. Warto jednak pamiętać, że wypłata odszkodowania zależy od zakresu polisy, wyłączeń oraz działań podjętych przez firmę przed wystąpieniem incydentu i tuż po jego wykryciu. W artykule wyjaśniamy, czym dokładnie jest cyberpolisa, kto może z niej skorzystać i w jakich sytuacjach okazuje się ona niezbędna.

Działalność wielu firm opiera się dziś na poczcie elektronicznej, chmurze, systemach sprzedażowych, księgowych i bazach klientów, a przejęcie jednego z tych zasobów może mieć poważne konsekwencje. Cyberpolisa ma na celu ograniczenie finansowych skutków zdarzenia i zapewnienie dostępu do specjalistów. Nie zastępuje ona jednak kopii zapasowych, aktualizacji ani procedury reagowania.

Cyberubezpieczenie dotyczy przede wszystkim strat i odpowiedzialności związanych z systemami komputerowymi, danymi oraz usługami cyfrowymi. Może funkcjonować jako samodzielna polisa albo rozszerzenie innego ubezpieczenia. Najczęściej łączy pokrycie strat przedsiębiorcy, ochronę przed roszczeniami osób trzecich oraz organizację pomocy po incydencie.

Z polisy może skorzystać duże przedsiębiorstwo, mała firma lub osoba prowadząca jednoosobową działalność gospodarczą (JDG). Szczególnie przydatna może być dla sklepów internetowych, biur rachunkowych, kancelarii, placówek medycznych i podmiotów, które przechowują dane klientów albo nie mogą działać bez systemów IT.

Zakres działalności objętej ochroną może różnić się w zależności od ubezpieczyciela. Warta wskazuje przykładowo, że ubezpieczonym może być przedsiębiorca, w tym osoba prowadząca JDG, ale z oferty wyłączono niektóre obszary, m.in. działalność związaną z kryptowalutami, przetwarzaniem płatności, agregacją danych lub świadczeniem hostingu na rzecz osób trzecich.

Co może obejmować cyberpolisa?

Zakres ochrony cyberpolisy zależy od warunków konkretnej umowy, jednak najczęściej obejmuje ona trzy podstawowe obszary:

koszty ponoszone bezpośrednio przez przedsiębiorcę,
straty wynikające z przerwy w działalności,
odpowiedzialność wobec osób trzecich.

Pierwszą grupę stanowią koszty własne przedsiębiorcy. Jeżeli dojdzie do zaszyfrowania serwera przez ransomware, polisa może pokryć pracę informatyków śledczych, ustalenie źródła zdarzenia, usunięcie złośliwego oprogramowania oraz odtworzenie danych i systemów.

Drugim elementem jest przerwa w działalności. Niedostępność sklepu internetowego, systemu magazynowego albo programu do obsługi zamówień może prowadzić do utraty przychodów i dodatkowych wydatków. Polisa może zrekompensować utracony zysk netto oraz koszty podtrzymania działalności. Ochrona nie zawsze działa od pierwszej minuty awarii, a umowa może przewidywać okres wyczekiwania.

Trzecia grupa dotyczy odpowiedzialności wobec innych osób. Wyciek danych klientów może prowadzić do roszczeń cywilnych, postępowania przed organem nadzorczym i kosztów obrony prawnej. Polisa może obejmować odszkodowania, zadośćuczynienia, obsługę prawną, zawiadomienie osób, których dane dotyczą, a także określone kary, choć wyłącznie w zakresie dopuszczalnym przez prawo.

Ponadto zakres takiej polisy może obejmować również:

komunikację kryzysową i działania PR;
odpowiedzialność za przekazanie złośliwego oprogramowania;
oszustwo komputerowe lub fałszywą instrukcję płatniczą;
pomoc prawnika, specjalisty IT i eksperta od reputacji.

Suma ubezpieczenia, podlimity i udział własny

Cyberpolisy nie mają jednej kwoty ochrony. Suma jest określana w polisie i powinna odpowiadać możliwym kosztom incydentu. Przy ocenie ryzyka znaczenie mają m.in. przychody, rodzaj działalności, charakter danych, zależność od IT, zabezpieczenia i wcześniejsze szkody.

Polisa na milion złotych nie musi zapewniać tej kwoty przy każdym rodzaju szkody. Dla cyberwymuszenia, odtworzenia danych, kar administracyjnych lub usług ekspertów mogą obowiązywać niższe podlimity. Wypłaty mogą też pomniejszać łączny limit odpowiedzialności.

Znaczenie ma też udział własny, czyli część szkody ponoszona przez przedsiębiorcę. Przy przestoju może występować także okres wyczekiwania, co oznacza, że ubezpieczyciel odpowiada dopiero za przestój trwający dłużej niż okres wskazany w umowie.

Zobacz też:

Co obejmuje cyberubezpieczenie dla przedsiębiorcy?

Cyberpolisa chroni przed wieloma zagrożeniami w cyberprzestrzeni, ale nie pokrywa wszystkich problemów z komputerami. Zwykła awaria sprzętu, przerwa w dostawie energii albo błąd zewnętrznego systemu mogą nie zostać objęte, jeżeli nie mieszczą się w definicji cyberincydentu lub właściwego rozszerzenia.

Do typowych wyłączeń albo ograniczeń należą:

szkody wyrządzone umyślnie przez ubezpieczonego;
zdarzenia znane przed zawarciem polisy lub wskazaną w niej datą ciągłości;
szkody osobowe i rzeczowe;
koszty modernizacji systemów i usuwania wcześniejszych braków;
wojna, wojna w cyberprzestrzeni, sankcje i część zdarzeń systemowych;
straty przekraczające sumę lub właściwy podlimit;
działalność, systemy albo spółki niezgłoszone do ubezpieczenia;
koszty poniesione bez wymaganej zgody ubezpieczyciela.

Wyłączenia mogą być bardzo konkretne. Przykładowo Ogólne Warunki Ubezpieczenia (OWU) Warty przewidują, że w zakresie strat własnych ubezpieczonego ochrona nie obejmuje strat wynikających z „braku procedur tworzenia kopii zapasowych lub nieprzestrzegania obowiązujących procedur tworzenia kopii zapasowych”. Samo zadeklarowanie backupów w takim przypadku nie wystarcza. Firma powinna je rzeczywiście wykonywać i móc to wykazać.

Przed podpisaniem umowy należy zatem sprawdzić nie tylko katalog ubezpieczonych zdarzeń, ale również definicje, wyłączenia oraz warunki dodatkowe. Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) zwraca uwagę, że przedsiębiorcy wskazują właśnie ograniczenia zakresu i rosnącą liczbę wyłączeń jako jedne z problemów związanych z cyberpolisami.

POLECAMY

Prowadź bezpieczną ewidencję księgową w chmurze z dostępem 24/7
Automatyzuj procesy wystawiania faktur i zarządzania dokumentami kosztowymi
Korzystaj z szyfrowanego przesyłania danych do organów skarbowych

Zacznij bezpłatny 30 dniowy okres próbny bez żadnych zobowiązań!

Kiedy ubezpieczyciel może odmówić wypłaty?

Istnieją także sytuacje, kiedy ubezpieczyciel może odmówić wypłaty. Pierwszym ryzykiem jest podanie nieprawdziwych lub niepełnych informacji we wniosku. Ubezpieczyciel może pytać o kopie zapasowe, aktualizacje, zdalny dostęp, uwierzytelnianie wieloskładnikowe, konta administratorów, historię incydentów i procedury bezpieczeństwa. Zgodnie z art. 815 § 1 Ustawy z 23 kwietnia 1964 roku – Kodeks cywilny przedsiębiorca powinien ujawnić znane mu okoliczności, o które został zapytany. Poniżej dokładna treść tego artykułu:

Ubezpieczyciel nie odpowiada więc za skutki okoliczności, których z naruszeniem tego obowiązku nie podano do jego wiadomości.

Przykład 1.

Firma deklaruje regularne, odseparowane kopie danych. Po ataku okazuje się, że backup nie był tworzony od miesięcy albo został zaszyfrowany razem z głównym systemem. Taka rozbieżność może wpłynąć na odpowiedzialność, jeżeli informacja miała znaczenie dla oceny ryzyka i związek ze szkodą, ponieważ niepełne informacje dotyczące zasobów, procedur i zabezpieczeń mogą prowadzić do odmowy wypłaty odszkodowania albo ograniczenia wysokości świadczenia.

Drugim problemem jest opóźnione zgłoszenie. Polisa może wymagać niezwłocznego zawiadomienia ubezpieczyciela lub centrum reagowania. Zgodnie z art. 818 Kodeksu cywilnego naruszenie tego obowiązku z winy umyślnej lub wskutek rażącego niedbalstwa może prowadzić do zmniejszenia świadczenia, jeżeli opóźnienie zwiększyło szkodę albo uniemożliwiło ustalenie okoliczności. Nie każde spóźnienie oznacza więc automatycznie utratę całego odszkodowania.

Trzecim powodem jest brak działań ograniczających szkodę. Po wykryciu ataku przedsiębiorca powinien m.in. odizolować zainfekowane urządzenia, zabezpieczyć logi i powstrzymać dalszy wyciek. Artykuł 826 Kodeksu cywilnego nakazuje użycie dostępnych środków w celu zapobieżenia szkodzie lub zmniejszenia jej rozmiarów. Jeżeli przedsiębiorca umyślnie albo wskutek rażącego niedbalstwa tego nie zrobi, ubezpieczyciel może nie odpowiadać za szkody powstałe z tego powodu.

Odmowa lub ograniczenie wypłaty mogą nastąpić również wtedy, gdy firma bez konsultacji zapłaci okup, zawrze ugodę lub uzna odpowiedzialność wobec klienta bez wymaganej akceptacji. Sformatowanie urządzeń, usunięcie logów lub nieprzekazanie dokumentacji może dodatkowo utrudnić ustalenie przyczyn i wysokości szkody. Sama procedura udowodnienia roszczenia po cyberincydencie może być złożona i wymagać zgromadzenia szczegółowych dowodów.

Rażące niedbalstwo ma charakter kwalifikowany i nie można go utożsamiać z każdym błędem pracownika ani przypadkowym kliknięciem linku. Przy ocenie odpowiedzialności znaczenie ma również to, komu można przypisać dane zachowanie oraz jak OWU określają osoby reprezentujące ubezpieczonego i odpowiedzialność za działania pracowników. Zgodnie z art. 827 Kodeksu cywilnego w razie rażącego niedbalstwa ubezpieczającego lub ubezpieczonego odszkodowanie co do zasady się nie należy, chyba że umowa lub OWU przewidują inaczej albo wypłata odpowiada względom słuszności.

Jak wybrać cyberpolisę?

Przed podpisaniem umowy nie należy porównywać wyłącznie ceny i łącznej sumy ubezpieczenia. Najpierw trzeba ustalić, jakie zdarzenia mogą zatrzymać firmę i jakie koszty pojawią się bezpośrednio po incydencie. Wybierając cyberpolisę należy zapoznać się w szczególności z takimi aspektami umowy jak:

definicje cyberataku, naruszenia danych i przerwy w działalności;
sumę, podlimity, udział własny i okres wyczekiwania;
wymagane zabezpieczenia i sposób ich dokumentowania;
ochronę zdarzeń u dostawcy chmury, hostingu lub podwykonawcy;
termin oraz kanał zgłoszenia incydentu;
obowiązek uzyskania zgody przed poniesieniem kosztów;
zakres terytorialny oraz wyłączenia dotyczące wojny i sankcji.

Na polskim rynku cyberubezpieczenia oferują różne podmioty, w tym m.in. PZU, Warta, Allianz czy Generali.

Podsumowanie

Cyberubezpieczenie może ograniczyć finansowe skutki ransomware, wycieku danych, przestoju i roszczeń klientów. Jego wartość polega również na szybkim dostępie do informatyków, prawników i specjalistów od komunikacji kryzysowej. Polisa nie zastępuje jednak zabezpieczeń ani procedur. Przedsiębiorca powinien podać prawdziwe informacje podczas wypełniania wniosku, utrzymywać zadeklarowane środki bezpieczeństwa, znać zasady zgłoszenia incydentu i szybko ograniczać jego skutki. Dopiero połączenie właściwie dobranej ochrony z realnym zarządzaniem ryzykiem zwiększa szansę, że ubezpieczenie zadziała wtedy, gdy będzie potrzebne.