Cyber-ubezpieczenie sprzedaje się dziś jak parasol w deszczu. Klient z zagranicy zażądał, broker zadzwonił, zarząd uznał, że „skoro wszyscy mają". Problem w tym, że polisa kupiona „żeby był papier" nie obroni Cię przed atakiem, a w razie szkody może nie wypłacić nic.
Przez ostatni rok widzieliśmy kilkanaście podobnych rozmów. Firma dostaje od ubezpieczyciela kwestionariusz na 6 stron — pytania o MFA, backupy, EDR, segmentację sieci, plan reagowania na incydent. Ktoś go wypełnia w pół godziny, zaznaczając „tak" tam, gdzie powinno być „częściowo" albo „planujemy". Polisa zostaje wystawiona. Po roku przychodzi ransomware, likwidator pyta o dowody — i się zaczyna.
Cyber-ubezpieczenie nie jest złe. Jest tylko źle rozumiane. To nie jest tarcza. To jest finansowa siatka bezpieczeństwa pod tarczą, która już musi istnieć.
Czego naprawdę żądają ubezpieczyciele
Polski rynek poszedł w ślad za niemieckim i brytyjskim. Standardowy kwestionariusz dla firmy 10-50 osób zawiera dziś co najmniej te punkty:
- MFA na każdym zdalnym dostępie — VPN, Microsoft 365, poczta webowa, panel administracyjny ERP. Nie „MFA na koncie admina", tylko MFA na każdym koncie, które loguje się spoza biura.
- EDR (nie zwykły antywirus) na wszystkich stacjach roboczych i serwerach. Lista akceptowanych produktów bywa wąska.
- Backupy offline lub immutable, z udokumentowanym testem odtworzenia minimum raz na kwartał.
- Segmentacja sieci — przynajmniej oddzielenie produkcji/maszyn od biura i od gości.
- Plan reagowania na incydent — jedna kartka A4 wystarczy, ale musi istnieć i ktoś musi być w niej wymieniony z imienia i nazwiska.
- Aktualizacje systemów w określonym oknie czasowym (typowo: krytyczne łatki do 14 dni).
Jeśli zaznaczysz „tak" tam, gdzie odpowiedź brzmi „nie do końca", a potem dojdzie do incydentu, ubezpieczyciel ma prosty argument: wprowadzenie w błąd przy zawarciu umowy. Wypłaty nie ma. Ten mechanizm nazywa się warranty i jest dziś w niemal każdej polisie cyber w Polsce.
Co polisa pokrywa, a co nie
Typowa polisa cyber dla MŚP w cenie 6–20 tys. zł rocznie pokrywa zwykle:
- koszty reagowania na incydent (informatyka śledcza, mediatorzy z ransomware, prawnik);
- przerwę w działalności (lost profit) po kilkudniowym przestoju;
- odpowiedzialność cywilną wobec klientów, których dane wyciekły;
- koszty powiadomień (RODO, klienci, kontrahenci);
- czasem — okup, choć coraz częściej jest to oddzielny rider, a wielu ubezpieczycieli już go nie sprzedaje.
Czego standardowo nie pokrywa:
- szkody wynikające z błędu konfiguracyjnego sprzed dnia zawarcia polisy (np. otwarty port RDP, o którym ktoś wiedział);
- ataki przez niezałatane systemy, dla których łatka była dostępna ponad 30 dni temu;
- straty po fraudzie typu „prezes prosi o przelew" (to BEC, często osobny produkt);
- kary regulacyjne — w PL praktycznie nigdy.
Czytaj tabelę wyłączeń, nie sumę ubezpieczenia. To w wyłączeniach kryją się powody, dla których 4 na 10 zgłoszeń kończy się odmową lub redukcją.
Realny przykład z naszego klienta
22-osobowe biuro rachunkowe pod Poznaniem rozważało polisę cyber za 9 800 zł rocznie po tym, jak jeden z większych klientów (kancelaria prawna) zapytał w ankiecie, czy mają „ubezpieczenie od ataków hakerskich". Broker przygotował ofertę szybko. Ubezpieczyciel wymagał: MFA na wszystkich kontach z dostępem zdalnym, EDR na 25 stacjach, backupów offline z kwartalnym testem odtworzenia, planu reagowania i polityki haseł zgodnej z ich szablonem.
Po przyjrzeniu się okazało się, że spełnione były 2 z 5 warunków. MFA było tylko na poczcie głównej, nie na panelu Comarch Optima OPT!MA Cloud. Antywirus był (Bitdefender w wersji business, ale nie EDR). Backupy szły na NAS w tej samej sieci co serwer księgowy. Planu reagowania nie było.
Klient stanął przed wyborem: podpisać polisę z odpowiedziami „tak" (i modlić się, że nikt nie sprawdzi) albo opóźnić ją o 4 miesiące i uporządkować podstawy. Wybrał drugą drogę. Łączny koszt podniesienia poziomu zabezpieczeń: 18 200 zł jednorazowo (wdrożenie EDR na 25 stanowiskach, drugi target backupu w innej lokalizacji, konfiguracja MFA na 4 systemach, dokumentacja) plus 3 600 zł rocznie za licencje EDR.
Po roku polisa kosztowała ich 8 400 zł zamiast 9 800 — ubezpieczyciel obniżył składkę widząc lepszy profil. Ale ważniejsze: w międzyczasie jeden z pracowników kliknął w phishing, EDR zatrzymał ładowanie payloadu, a backup offline przeszedł test odtworzenia na ostatnim audycie wewnętrznym. Polisa nie musiała wypłacać niczego — bo nie było czego wypłacać.
Kiedy ma sens, a kiedy to teatr
Polisa ma sens, jeśli:
- masz klientów (krajowych albo zagranicznych), którzy zaczynają wymagać dowodu polisy w kontraktach — typowo automotive, farmacja, sektor finansowy, niemieckie firmy produkcyjne;
- przerwa w działalności na 5 dni roboczych oznaczałaby dla Ciebie utratę kwoty, której nie zniesiesz z bieżącej gotówki;
- przetwarzasz wrażliwe dane osobowe i potencjalne zgłoszenia po RODO są realnym ryzykiem (biuro rachunkowe, kancelaria, klinika);
- masz już większość kontroli wymienionych w kwestionariuszu — wtedy polisa za 8–15 tys. zł jest sensownym dopełnieniem.
Polisa jest teatrem, jeśli:
- kupujesz ją zamiast MFA, backupów i EDR, traktując jako „skoro mam polisę, to nie muszę dbać";
- żaden z Twoich klientów jej nie wymaga, a Ty kupujesz pod presją medialną;
- masz mniej niż 10 osób, prosty stack (M365 + jeden ERP w chmurze) i Twoja maksymalna ekspozycja to dwa dni przestoju, które uniesiesz bez polisy.
Co zrobić, zanim podpiszesz
Zanim wpiszesz „tak" w kwestionariuszu, zrób krótki audyt z kimś, kto rozumie te wymagania w praktyce. Najczęściej 2–3 dni pracy wystarczają, żeby pokazać: które odpowiedzi są zgodne ze stanem faktycznym, gdzie są luki, ile kosztuje ich domknięcie i czy polisa po tym domknięciu będzie tańsza. Czasem okazuje się, że samo uporządkowanie podstaw daje większy zwrot niż polisa — bo redukuje prawdopodobieństwo incydentu, a nie tylko jego skutek finansowy.
Jeśli klient zagraniczny wymaga polisy „na wczoraj", a Ty wiesz, że nie spełniasz wszystkich warunków — powiedz to brokerowi. Lepsza polisa z wyższą składką i poprawnym kwestionariuszem niż „tania" polisa, która nie wypłaci. Brokerzy, którzy znają rynek, wiedzą, jak to ustawić.
Polisa cyber to siatka bezpieczeństwa pod tarczą, która już musi istnieć. Nie jest tarczą.