Ubezpieczenie cyber dla firm – incydenty i wyciek danych
Ubezpieczenie cyber łączy ochronę kosztów własnych firmy po incydencie bezpieczeństwa z odpowiedzialnością wobec klientów i innych osób, których dane lub systemy ucierpiały. Zakres zależy od OWU, a dostęp do ochrony – od zabezpieczeń stosowanych w firmie.
Aktualizacja:
- Tylko uprawnieni dystrybutorzy ubezpieczeń z listy partnerów
- Bezpłatnie i bez zobowiązania do zawarcia umowy
- Tylko ubezpieczenia działalności firm (B2B)
Krótka odpowiedź
Ubezpieczenie cyber pokrywa skutki incydentów bezpieczeństwa informacji: koszty reakcji (informatyka śledcza, prawnicy, powiadomienia), odtworzenie danych i systemów, utratę zysku w czasie przestoju, a także roszczenia osób trzecich po wycieku danych lub zainfekowaniu ich systemów. Zakres każdej sekcji, limity i wyłączenia (np. wojna, awaria infrastruktury, kary) wynikają z OWU – i różnią się między umowami bardziej niż w większości ubezpieczeń.
Czym jest ubezpieczenie cyber
Polisa cyber to pakiet kilku ochron w jednej umowie. Incydentem jest zwykle nieuprawniony dostęp do systemów, złośliwe oprogramowanie (w tym ransomware, czyli szyfrowanie danych dla okupu), atak blokujący usługi (DDoS), utrata lub kradzież danych, a w szerszych wariantach także błąd pracownika lub awaria systemu.
- Szkody własne Koszty reakcji na incydent, odtworzenie danych i utracony zysk w czasie przestoju.
- Odpowiedzialność cywilna Roszczenia osób, których dane lub interesy naruszono (art. 822 Kodeksu cywilnego).
Klasyczne polisy majątkowe i OC coraz częściej wprost wyłączają szkody cyfrowe. Zwykłe OC firmy rzadko obejmuje incydent – granicę pokazuje zestawienie ubezpieczenie cyber a OC działalności.
Jakie ryzyka może obejmować
Przykładowe sytuacje
- Ransomware zaszyfrował serwery Firma nie wystawia faktur ani nie wysyła towaru przez kilka dni – polisa może pokryć odtworzenie systemów i utracony zysk po udziale własnym czasowym.
- Wyciek danych klientów sklepu internetowego Trzeba zgłosić naruszenie do Prezesa UODO, powiadomić klientów i odpowiedzieć na ich roszczenia.
- Złośliwe oprogramowanie trafiło do klienta Zainfekowany plik od firmy uszkodził systemy kontrahenta, który żąda odszkodowania.
- Atak DDoS na platformę sprzedażową Sklep jest niedostępny w szczycie sezonu – strata zależy od długości przestoju i limitu w polisie.
Część polis obejmuje też szkody w sprzęcie po ataku (tzw. bricking), oszustwa telekomunikacyjne oraz (jako rozszerzenie) straty z podmiany rachunku bankowego czy podszycia się pod zarząd. Te ostatnie zwykle należą do ubezpieczenia od nadużyć (crime); granicę między cyber i crime trzeba sprawdzić w obu umowach, by nie powstała luka.
Szukasz ubezpieczenia dla firmy?
Wskaż rodzaj ubezpieczenia i podaj dane kontaktowe. Formularz wypełnisz w kilka minut.
Jakie firmy zwykle je rozważają
Kontrahenci coraz częściej wymagają polisy cyber w umowach o przetwarzanie danych i w przetargach. Cyber rozważają firmy, które przetwarzają dużo danych osobowych lub finansowych albo są zależne od ciągłości systemów. Przy firmach świadczących usługi IT dla innych cyber uzupełnia OC zawodowe w IT.
- Ubezpieczenia firmy IT Incydenty we własnych systemach i przeniesienie ataku do klientów.
- Ubezpieczenia sklepu internetowego (e-commerce) Dane klientów, płatności i przestój platformy sprzedażowej.
- Ubezpieczenia placówek medycznych i gabinetów Wrażliwe dane medyczne pacjentów.
- Ubezpieczenia kancelarii prawnych i biur rachunkowych Poufne dokumenty i dane finansowe klientów.
- Ubezpieczenia firmy produkcyjnej Linie z automatyką zależne od ciągłości systemów.
- Ubezpieczenia operatora logistycznego i magazynu Systemy magazynowe i wysyłkowe, których przestój zatrzymuje dostawy.
Jaki zakres jest adekwatny dla konkretnej firmy, ocenia partner po analizie potrzeb. Cyber to jedno z kilku ubezpieczeń, które firmy łączą w program – pozostałe rodzaje ubezpieczeń dla firm zebraliśmy w przeglądzie.
Ustawa o krajowym systemie cyberbezpieczeństwa (NIS2)
Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa z 23 stycznia 2026 r., wdrażająca dyrektywę (UE) 2022/2555 (NIS2), weszła w życie 3 kwietnia 2026 r. Rozszerzyła krąg podmiotów objętych obowiązkami (podmioty kluczowe i ważne w wielu sektorach), m.in. w zakresie zarządzania ryzykiem, zgłaszania incydentów i odpowiedzialności kierownictwa. Ustawa nie nakłada obowiązku zawarcia ubezpieczenia cyber. Polisa nie zastępuje też obowiązków organizacyjnych i technicznych – ubezpieczyciel zwykle wymaga ich przestrzegania. To, czy firma jest objęta ustawą, warto ustalić z prawnikiem.
Co wpływa na zakres i koszt
- Branża i skala Przychody, liczba rekordów danych osobowych i płatniczych, zależność od systemów.
- Zabezpieczenia Uwierzytelnianie wieloskładnikowe (MFA) dla poczty i dostępu zdalnego, kopie zapasowe odseparowane od sieci, aktualizacje, ochrona stacji roboczych (EDR), szkolenia, plan reagowania na incydent.
- Dostawcy usług Chmura i outsourcing IT, od których zależy firma.
- Limity i podlimity Osobno dla przestoju, wymuszeń, kar i kosztów powiadomień.
- Historia incydentów Dotychczasowe incydenty i sposób ich obsługi.
- Udział własny Kwotowy i czasowy, np. przestój krótszy niż kilka godzin nie jest objęty.
Skalę straty w czasie przestoju możesz oszacować w kalkulatorze kosztu przestoju.
Najczęstsze wyłączenia i ograniczenia
Kary administracyjne z art. 83 RODO mogą sięgać 20 000 000 euro albo 4% całkowitego rocznego światowego obrotu przedsiębiorstwa, zależnie od tego, która kwota jest wyższa (dla części naruszeń górna granica to 10 000 000 euro lub 2%). To, czy i w jakim zakresie można je ubezpieczyć, zależy od prawa właściwego i treści OWU – w Polsce kwestia budzi wątpliwości, a wiele umów pokrywa je tylko wtedy, gdy prawo na to pozwala. Bezpieczniej traktować ochronę kar jako niepewną.
Na co zwrócić uwagę przed zawarciem umowy
- Definicja incydentu: czy obejmuje błąd pracownika i awarię systemu, czy tylko atak.
- Udział własny czasowy i okres odszkodowawczy w sekcji przestoju.
- Klauzula wojenna i sposób przypisania ataku.
- Zakres wymuszeń: czy okup jest objęty i pod jakimi warunkami.
- Czy polisa obejmuje incydent u dostawcy chmury lub usług IT (zależny przestój).
- Wymagane zabezpieczenia – zgodność odpowiedzi we wniosku ze stanem faktycznym.
- Dostęp do zespołu reagowania 24/7 i obowiązek korzystania z niego.
- Relacja z polisą crime, OC zawodowym i ubezpieczeniem sprzętu elektronicznego.
Przebieg typowego incydentu i jego koszty pokazuje przykład wycieku danych w sklepie internetowym. Przy pytaniach o zabezpieczenia we wniosku ważny jest obowiązek informacyjny przed umową.
Przydatne kalkulatory
Kalkulator kosztu przestoju pomaga oszacować stratę dzienną z powodu niedostępności systemów. Wynik jest orientacyjny i nie wskazuje limitu ani polisy.
Czytaj dalej
Zobacz też
UbezpieczenieNależności handlowe
Niewypłacalność i zwłoka odbiorców z odroczoną płatnością
UbezpieczenieOchrona prawna
Koszty prawnika, sądu i biegłych w sporach firmy
UbezpieczenieNadużycia (crime)
Sprzeniewierzenie, oszustwa i podmiana rachunku
UbezpieczenieNNW uczestników
Świadczenia po wypadku dla uczniów i uczestników
Pytania
Najczęstsze pytania
Czy polisa cyber zapłaci okup za odszyfrowanie danych?
Zależy od OWU i prawa. Część umów obejmuje okup jako koszt wymuszenia, zwykle pod warunkiem zgody ubezpieczyciela i zgłoszenia na policję; inne pokrywają tylko koszty reakcji i odtworzenia danych. Zapłata nie może naruszać przepisów o sankcjach.
Czy firma odpowiada za wyciek danych u dostawcy chmury?
Może odpowiadać. Firma pozostaje administratorem danych i odpowiada wobec klientów także wtedy, gdy dane przechowuje dostawca chmury. Przestój u dostawcy może też zatrzymać jej działalność. Sprawdź, czy polisa obejmuje incydent u dostawcy usług IT.
Czy cyber pokrywa przelew na fałszywy rachunek po przejęciu poczty?
Często nie w podstawowym zakresie – to ryzyko socjotechniczne, objęte rozszerzeniem lub polisą crime. Warto sprawdzić, która umowa i do jakiego limitu je obejmuje.
Ile czasu jest na zgłoszenie wycieku danych do UODO?
RODO wymaga zgłoszenia bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia. Polisa cyber często zapewnia doradztwo prawne i informatyczne, które pomaga w tym terminie ocenić incydent.
Czy mała firma może mieć ubezpieczenie cyber?
Tak – ochrona jest dostępna również dla małych firm, zwykle na podstawie krótszego wniosku. Wymagania dotyczące zabezpieczeń (MFA, kopie zapasowe) dotyczą jednak także ich.
Czym jest Asevra, a czym nie jest
Asevra jest portalem wiedzy – nie jest zakładem ubezpieczeń ani pośrednikiem i nie prowadzi dystrybucji ubezpieczeń. Asevra przekazuje zapytanie. Analizę potrzeb, doradztwo, propozycję ubezpieczenia i zawarcie umowy prowadzi partner.