Ubezpieczenie cyber a OC działalności – czy OC obejmuje incydent
Po ataku ransomware albo wycieku danych firma ponosi dwa rodzaje kosztów: własne – przywrócenie systemów, informatyka śledcza, przestój – i roszczenia osób, których dane wyciekły. OC działalności zwykle odpowiada tylko na część drugiego problemu, a często wcale.
Opracowanie: redakcja Asevra · Aktualizacja:
Krótka odpowiedź
OC działalności pokrywa tylko roszczenia osób trzecich (art. 822 § 1 KC), więc nie płaci za własne koszty firmy po incydencie: odtworzenie danych, informatykę śledczą, przestój systemów czy obsługę zgłoszenia naruszenia. Wiele polis OC i majątkowych wyłącza też wprost szkody związane z incydentami cyfrowymi i danymi. Ubezpieczenie cyber łączy koszty własne incydentu z OC za naruszenie danych i bezpieczeństwa sieci – w zakresie i limitach z OWU.
Porównanie w tabeli
| Kryterium | Ubezpieczenie cyber | OC działalności |
|---|---|---|
| Na jakie ryzyko odpowiada | Incydent bezpieczeństwa: atak, złośliwe oprogramowanie, wyciek danych, błąd systemu – zależnie od OWU | Szkody wyrządzone osobom trzecim w związku z działalnością, głównie osobowe i rzeczowe |
| Koszty własne firmy po incydencie | Typowo w zakresie: reakcja na incydent, informatyka śledcza, odtworzenie danych i systemów, obsługa prawna, powiadomienia | Poza zakresem – OC płaci tylko osobom trzecim |
| Przestój systemów | Często w zakresie, z udziałem własnym czasowym | Poza zakresem; ubezpieczenie utraty zysku z polisy mienia zwykle wymaga szkody materialnej w mieniu |
| Roszczenia osób, których dane wyciekły (art. 82 RODO) | Sekcja OC cyber | Często wyłączone klauzulą dotyczącą danych i incydentów cyfrowych; czasem objęte w wąskim zakresie |
| Szkody wyrządzone klientom przez złośliwe oprogramowanie z systemów firmy | Sekcja OC bezpieczeństwa sieci | Zwykle wyłączone albo poza definicją szkody rzeczowej |
| Wymuszenie (ransomware) | Zależnie od OWU i przepisów – koszty obsługi, czasem okup | Poza zakresem |
| Oszustwa socjotechniczne, podmiana numeru rachunku | Czasem rozszerzenie z podlimitem | Poza zakresem; obszar ubezpieczenia od nadużyć (crime) |
| Kary administracyjne | Ubezpieczalność niepewna – zależy od przepisów i OWU | Poza zakresem |
| Wymogi przed objęciem ochroną | Ankieta bezpieczeństwa: uwierzytelnianie wieloskładnikowe, kopie zapasowe, aktualizacje | Standardowa ocena działalności |
Czego OC działalności nie obejmuje przy incydencie
Ubezpieczenie OC z definicji pokrywa odszkodowanie za szkody wyrządzone osobom trzecim, wobec których odpowiedzialność ponosi ubezpieczony (art. 822 § 1 KC). Po incydencie największą część kosztów ponosi jednak sama firma: specjaliści ustalający, co się stało, odtworzenie danych i systemów, utracony przychód w czasie przestoju, obsługa prawna i komunikacja z klientami. Żaden z tych kosztów nie jest roszczeniem osoby trzeciej.
Druga przeszkoda to wyłączenia. Wiele polis OC działalności i polis majątkowych zawiera klauzule wyłączające szkody związane z danymi elektronicznymi, oprogramowaniem i atakami na systemy. Nawet tam, gdzie takiej klauzuli nie ma, wyciek danych zwykle nie spełnia definicji szkody osobowej ani rzeczowej, na której opiera się OC działalności. Takie klauzule to typowe wyłączenia odpowiedzialności, więc ich brzmienie sprawdza się w OWU jeszcze przed zawarciem umowy.
Szukasz ubezpieczenia dla firmy?
Wskaż rodzaj ubezpieczenia i podaj dane kontaktowe. Formularz wypełnisz w kilka minut.
Obowiązki po naruszeniu danych
Incydent z danymi osobowymi uruchamia obowiązki z RODO niezależnie od ubezpieczenia. Administrator zgłasza naruszenie organowi nadzorczemu – w Polsce Prezesowi UODO – bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia (art. 33 RODO), a przy wysokim ryzyku dla osób zawiadamia także te osoby (art. 34 RODO). Osoba, która poniosła szkodę w wyniku naruszenia, może żądać odszkodowania (art. 82 RODO).
Polisa cyber zwykle finansuje pomoc w tych czynnościach – prawników, specjalistów od incydentów, powiadomienia – i obejmuje roszczenia z art. 82 RODO w sekcji OC. Zakres i limity ubezpieczenia cyber różnią się jednak między OWU.
Jak porównujemy
Tabela opiera się na art. 822 § 1 KC, przepisach RODO o naruszeniach danych (art. 33, 34, 82) oraz typowych konstrukcjach OWU cyber i OC działalności, w tym spotykanych w polisach wyłączeniach dotyczących danych i incydentów cyfrowych. Opis zakresu cyber jest typowy – rynek polis cyber jest zróżnicowany, a sekcje i limity różnią się między OWU.
Tabela nie obejmuje kar administracyjnych (ich ubezpieczalność wymaga oceny prawnej), obowiązków z ustawy o krajowym systemie cyberbezpieczeństwa ani kosztów ochrony. Nie opisuje też szczegółów ubezpieczenia crime (od nadużyć), którego granica z cyber zależy od definicji w OWU.
Kiedy firmy zwykle rozważają cyber, a kiedy poprzestają na OC działalności
Ubezpieczenie OC działalności gospodarczej rozważają firmy, które mogą wyrządzić szkody osobowe i rzeczowe klientom i osobom trzecim. To inne ryzyko niż incydent cyfrowy, więc obie polisy się nie zastępują.
Ubezpieczenie cyber rozważają częściej firmy, których działalność zależy od systemów i danych: sklepy internetowe, biura rachunkowe, kancelarie, placówki medyczne, firmy IT, producenci z automatyką linii, firmy przetwarzające dane wielu klientów. Bywa też wymagane przez kontrahentów w umowach. Zakres ochrony cyber dla konkretnej firmy ustala uprawniony dystrybutor ubezpieczeń po analizie jej systemów i umów.
Czytaj dalej
Zobacz też
PorównanieZdrowotne a abonament
Czym grupowe ubezpieczenie zdrowotne różni się od abonamentu medycznego dla pracowników?
PorównanieWadium w pieniądzu a gwarancja
Wadium wnieść w pieniądzu czy gwarancją wadialną?
PorównanieUbezpieczenie a samoubezpieczenie
Kiedy firma pokrywa straty sama, a kiedy przenosi je na ubezpieczyciela?
PorównanieOC działalności a zawodowe
Czym OC działalności różni się od OC zawodowego?
Pytania
Najczęstsze pytania
Czy ubezpieczenie mienia pokryje zniszczenie danych po ataku?
Zwykle nie. Ubezpieczenie mienia dotyczy rzeczy, a dane i oprogramowanie często nie są w nim mieniem ubezpieczonym albo są wyłączone. Część polis sprzętu elektronicznego obejmuje koszty odtworzenia danych po szkodzie w sprzęcie, ale nie po samym ataku.
Czy polisa cyber płaci okup za odszyfrowanie danych?
Zależy od OWU i od przepisów obowiązujących w danej sytuacji. Część polis obejmuje koszty obsługi wymuszenia, a niektóre – w określonych warunkach – sam okup, inne go wyłączają. Ta kwestia wymaga dokładnego sprawdzenia w warunkach.
Czy małe firmy zgłaszają naruszenia danych do UODO?
Obowiązek z art. 33 RODO dotyczy każdego administratora danych, niezależnie od wielkości. Zgłoszenia nie trzeba dokonywać, gdy jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych – ocenę trzeba jednak udokumentować.