Ubezpieczenie cyber
Czego ubezpieczenie cyber oczekuje od pracowników i zarządu: kopie offline, uwierzytelnianie dwuskładnikowe, pierwsze kroki i zgłoszenie.
W 30 sekund
O co chodzi
Ubezpieczenie cyber to umowa, którą firma zawiera, aby poradzić sobie ze skutkami ataku informatycznego. Dla pracownika zwykle pozostaje niewidoczne aż do dnia, w którym dojdzie do incydentu: ubezpieczyciel może należeć do osób, które trzeba powiadomić, obok działu IT i właściwych przełożonych1.
Źródła przywołane w tej karcie to publiczne poradniki dotyczące bezpieczeństwa i postępowania w razie incydentu. Żadne z nich nie opisuje treści umowy ubezpieczenia: ani zakresu ochrony (koszty kryzysowe, odtworzenie danych, straty z przerwy w działalności, odpowiedzialność cywilna), ani wyłączeń, ani warunków stawianych przez konkretnego ubezpieczyciela. Karta nie omawia więc tych kwestii. Przedstawia to, co te źródła mówią o środkach bezpieczeństwa, jakich może wymagać ubezpieczyciel, oraz o krokach do wykonania w razie incydentu. Rzeczywiste warunki wynikają z umowy zawartej przez firmę.
Pytania wprost
Co obejmuje ubezpieczenie cyber?
Przywołane tu źródła tego nie mówią. Wspominają tylko, że firma ubezpieczeniowa z polisą cyber znajduje się wśród stron zaangażowanych w incydent1. Dokładny zakres, limity i wyłączenia zależą od umowy. Wskazać je może tylko zarząd albo osoba, która ją negocjowała.
Jakich środków bezpieczeństwa wymagają ubezpieczyciele?
Źródła nie podają listy wymagań ubezpieczycieli. Opisują natomiast środki zalecane przez instytucje publiczne: kopie zapasowe offline, uwierzytelnianie wieloskładnikowe, plan reagowania na incydenty135. Aby wiedzieć, które z nich ubezpieczyciel narzuca firmie, trzeba przeczytać jej umowę.
Dlaczego kopie zapasowe powinny być offline?
Wiele odmian ransomware szuka dostępnych kopii zapasowych, aby je usunąć lub zaszyfrować1. Kopia podłączona do komputera lub do sieci firmy może zostać zniszczona przez złośliwy program, stąd rada, by ją odłączyć lub przełączyć w tryb offline, gdy nie jest używana2.
Co zmienia uwierzytelnianie wieloskładnikowe?
Wymaga co najmniej dwóch elementów potwierdzających tożsamość: tego, co się wie, tego, co się posiada, lub tego, kim się jest3. Nawet gdy hasło zostanie skradzione, atakujący nie ma drugiego elementu3. Nie wszystkie metody są równie dobre: CISA pisze, że „any MFA is better than no MFA”, i zaleca dążenie do metod odpornych na phishing3. Brytyjskie NCSC również zaleca techniki lepiej chroniące przed phishingiem4.
1Co się zmienia dla pracowników1 min
Pracownik nie musi znać umowy. Ma jednak czynności do wykonywania, ponieważ część bezpieczeństwa opiera się na nim.
- Włączyć uwierzytelnianie dwuskładnikowe, gdy tylko jest dostępne w poczcie i usługach służbowych3.
- Nie zostawiać dysku z kopią zapasową stale podłączonego do swojego stanowiska2.
- Zgłaszać każde podejrzane zachowanie, na przykład wiadomość phishingową: program uświadamiający powinien wyjaśniać, jak ją rozpoznać i zgłosić1.
Praktyczne skutki zaniedbania tych czynności dla wypłaty odszkodowania nie są opisane w przywołanych tu źródłach. Zależą od postanowień umowy.
2Co się zmienia dla zarząduZarząd1 min
Zarząd wybiera środki i dba o aktualność planów. Przywołane tu źródła oczekują od niego kilku rzeczy.
- Opracować, utrzymywać i regularnie ćwiczyć plan reagowania na incydenty oraz plan komunikacji, w tym egzemplarz papierowy i wersję offline1.
- Powiązać ten plan z wznowieniem działalności, ciągłością działania i zarządzaniem kryzysowym5.
- Regularnie testować kopie zapasowe, także ich odtwarzanie12.
- Jeśli kopiami zarządza zewnętrzny dostawca, określić w umowie jego wymagania dotyczące bezpieczeństwa1.
- Informować kadrę kierowniczą na bieżąco w trakcie kryzysu, a ubezpieczyciel może należeć do stron, które trzeba poinformować1.
NCSC pisze, że żadne zabezpieczenie nie jest doskonałe: „Incidents can and will happen”5. Tylko dobre przygotowanie pomaga sobie z nimi dobrze poradzić5.
3Co mówi tekstTekst urzędowy1 min
Żadne z przywołanych tu źródeł nie jest aktem prawnym o ubezpieczeniu cyber. Teksty prawne, które wspominają, dotyczą danych osobowych.
RODO nakłada obowiązek wewnętrznego dokumentowania naruszeń ochrony danych osobowych i zgłaszania do CNIL tych, które powodują ryzyko naruszenia praw i wolności osób6. Gdy ryzyko jest wysokie, trzeba też poinformować osoby, których dotyczy naruszenie6. Obowiązek zgłoszenia do CNIL wynika z art. 33 RODO i dotyczy wszystkich administratorów danych. Art. 34 nakazuje informować osoby w razie wysokiego ryzyka6.
Zgłoszenia dokonuje się bez zbędnej zwłoki. Gdy brakuje informacji, można je przesłać w dwóch etapach: zgłoszenie wstępne w miarę możliwości w ciągu 72 godzin, a następnie zgłoszenie uzupełniające. Po upływie 72 godzin trzeba wyjaśnić powody opóźnienia6.
CNIL wskazuje również, że jeśli naruszenie jest następstwem cyberataku, zaleca się złożenie zawiadomienia na komisariacie lub w żandarmerii oraz udostępnienie śledczym technicznych dowodów6. Kopie zapasowe podlegają tym samym reżimom prawnym co dane źródłowe, a w przypadku danych osobowych w razie udowodnionego zaniedbania może powstać odpowiedzialność cywilna lub karna2.
4Stan wdrożenia1 min
Przywołane tu źródła nie podają stanu wdrożenia ram prawnych właściwych dla ubezpieczenia cyber we Francji ani obowiązku zawarcia takiej polisy. Ustalone jest natomiast zgłoszenie do CNIL przewidziane przez RODO6.
Wśród standardów NIST przedstawia swoje Cybersecurity Framework 2.0 jako dokument służący ograniczaniu ryzyka cyberbezpieczeństwa w przemyśle, administracji i organizacjach7. NCSC przypomina cykl życia opisany przez NIST: identyfikacja, ochrona, wykrywanie, reagowanie, odtwarzanie5. Co do samego incydentu, źródło amerykańskie jest skierowane do specjalistów IT: zaleca zidentyfikować dotknięte systemy i natychmiast je odizolować w skoordynowany sposób, a urządzenie wyłączyć tylko wtedy, gdy nie da się go odłączyć od sieci1. Radzi komunikować się telefonicznie, a nie przez narzędzia, które mogą być monitorowane1. Zaleca też zabezpieczyć dowody ulotne (pamięć, dzienniki bezpieczeństwa, bufory zapory sieciowej) i zebrać przydatne dzienniki1. Przewiduje poinformowanie stron zaangażowanych, do których może należeć ubezpieczyciel, oraz zgłoszenie incydentu amerykańskim organom (CISA, FBI)1. W praktyce firma postępuje według własnego planu reagowania. Jeśli naruszenie dotyczy danych osobowych, zgłoszenie do CNIL należy przesłać bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin6. W trakcie dochodzenia źródło zaleca szukać śladów złośliwego oprogramowania poprzedzającego atak („dropper”), ponieważ atak ransomware może ujawnić wcześniejsze, nierozwiązane przejęcie sieci1. Podczas odtwarzania zaleca uważać, by nie zainfekować ponownie zdrowych systemów1. Zespoły mogą też przejrzeć dzienniki antywirusa lub EDR, aby wykryć inne dotknięte systemy1.
Karta
- Identyfikator
- CP-385
- Skrzydło
- 6. Ład korporacyjny i GRC
- Kompetencja Brain
- Chronić dane (safeguard_data)
- Odruch Brain
- cr-063
- Schemat
- G3 · Przekrój anatomiczny
- Języki
- de, en, es, fr, it, nl, pl, pt
- Źródła
- Źródła sprawdzone 3 listopada 2026: 7
ŹródłaŹródła: 7
- CISA, „#StopRansomware Guide | CISA”. https://www.cisa.gov/stopransomware/ransomware-guide (dostęp 3 listopada 2026)
- Cybermalveillance.gouv.fr, „Pourquoi et comment bien gérer ses sauvegardes ?”, 13 listopada 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/sauvegardes (dostęp 3 listopada 2026)
- CISA, „More than a Password”. https://www.cisa.gov/MFA (dostęp 3 listopada 2026)
- NCSC (Royaume-Uni), „Multi-factor authentication for your corporate online services”, 26 września 2024. https://www.ncsc.gov.uk/collection/mfa-for-your-corporate-online-services (dostęp 3 listopada 2026)
- NCSC (Royaume-Uni), „Incident management”, 19 września 2019. https://www.ncsc.gov.uk/collection/incident-management (dostęp 3 listopada 2026)
- CNIL, „Notifier une violation de données personnelles”, 24 maja 2018. https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles (dostęp 3 listopada 2026)
- NIST, „Cybersecurity Framework”. https://www.nist.gov/cyberframework (dostęp 3 listopada 2026)
Zacytuj ten artykuł
Brain, „Ubezpieczenie cyber”, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp385_pl_2026,
author = {Brain},
title = {Ubezpieczenie cyber},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pl/articles/ubezpieczenie-cyber-wymogi-szkoda/},
note = {CC BY 4.0}
}