Kyberpojištění pro malé a střední firmy: co obvykle kryje, jaké podmínky klade a jak souvisí s bezpečnostní službou

Kyberpojištění obvykle kryje dvě skupiny nákladů: vlastní škody pojištěné firmy (náklady na reakci na incident a forenzní analýzu, obnovu dat a systémů, ušlý zisk z přerušení provozu, náklady na oznámení dotčeným osobám) a odpovědnost vůči třetím osobám (nároky zákazníků nebo partnerů po úniku dat či přenosu škodlivého kódu, náklady na obhajobu). Rozsah, limity, spoluúčasti a výluky se mezi pojistkami výrazně liší a pojistné podmínky jsou rozhodující – tento článek popisuje jen obecné principy, ne konkrétní produkty. Pojišťovny zpravidla posuzují úroveň zabezpečení dotazníkem a často vyžadují vícefaktorové ověření, zálohy oddělené od sítě, ochranu koncových stanic a aktualizace; spravovaná bezpečnostní služba pomáhá tyto podmínky splnit a doložit. Pojištění nenahrazuje zabezpečení ani zákonné povinnosti a nekryje pokuty tam, kde to právo nebo podmínky vylučují.

Článek patří do sekce chyby a zdroje.

Co pojistky obvykle obsahují

Typické výluky a omezení (obecně)

• nesplnění podmínek zabezpečení uvedených v dotazníku nebo smlouvě (např. chybí vícefaktorové ověření),
• známé incidenty před začátkem pojištění,
• válečné a státem řízené útoky – formulace se liší a bývají předmětem výkladu,
• pokuty a sankce – pojistitelnost správních pokut je sporná a pojistky je často vylučují nebo kryjí jen tam, kde to právo dovoluje,
• zlepšení systémů po incidentu (upgrade nad původní stav),
• výpadek infrastruktury třetí strany (internet, elektřina, cloud) – závisí na podmínkách.

Konkrétní znění si vždy přečtěte; u složitějších pojistek je vhodný pojišťovací makléř nebo advokát.

Dotazník a souvislost s bezpečnostní službou

Pojišťovny obvykle chtějí vědět:

1. Máte vícefaktorové ověření pro poštu, vzdálený přístup a administrátorské účty?
2. Máte zálohy oddělené od produkční sítě a testujete obnovu?
3. Máte EDR nebo jinou ochranu na všech stanicích a serverech, ideálně s dohledem?
4. Jak rychle aplikujete bezpečnostní aktualizace?
5. Školíte zaměstnance (phishing)?
6. Máte plán reakce na incident?

Pozor: pravdivost odpovědí je zásadní. Nepravdivá odpověď v dotazníku může vést ke krácení nebo odmítnutí plnění. Pokud vám poskytovatel MSSP nebo MDR službu zajišťuje, nechte si od něj odpovědi potvrdit (např. pokrytí EDR na všech zařízeních) a uchovejte si měsíční reporty jako doklad.

Pojištění a retainer: kdo vám pomůže při incidentu

Mnoho pojistek obsahuje asistenční linku a síť specialistů pojišťovny. Pokud máte vlastní MDR nebo retainer na reakci na incidenty, vyjasněte předem:

• zda můžete použít svého poskytovatele a zda pojišťovna jeho náklady proplatí,
• komu volat jako prvnímu (často pojišťovně – kvůli podmínkám plnění),
• jaké doklady pojišťovna potřebuje (časová osa, forenzní zpráva, faktury).

Modelový pohled na náklady (ilustrativně)

Smyšlená firma se 40 uživateli zvažuje vážný incident s výpadkem 5 pracovních dnů. Ilustrativní odhad nákladů:

S pojištěním (modelově) by firma nesla spoluúčast a časovou spoluúčast u přerušení provozu; zbytek do limitu by mohla nést pojišťovna, pokud byly splněny podmínky. Bez pojištění nese vše. Čísla jsou smyšlená a slouží jen k pochopení struktury. Jak vychází ochrana sama, spočítáte v kalkulačce vlastní tým vs. služba a v modelových výpočtech.

Dohled nad pojišťovnami

Pojišťovny v Česku dohlíží Česká národní banka. Pojistnou smlouvu a podmínky se vyplatí porovnat s pomocí registrovaného zprostředkovatele; registr zprostředkovatelů vede ČNB. Pojištění odpovědnosti podnikatele obecně (mimo kybernetická rizika) je samostatné téma.

Související: typické chyby při nákupu, GDPR a hlášení incidentů.

Spoluúčast a časová spoluúčast: modelový výpočet

Smyšlená pojistka: spoluúčast 50 000 Kč na vlastní škody, časová spoluúčast u přerušení provozu 12 hodin, limit 2 000 000 Kč. Firma z tabulky výše má výpadek 5 pracovních dnů s ušlou marží 60 000 Kč denně.

• Ušlá marže 300 000 Kč; prvních 12 hodin (modelově půl pracovního dne, 30 000 Kč) nese firma.
• Ostatní vlastní škody 460 000 Kč (reakce, obnova, právní rada); spoluúčast 50 000 Kč.
• Pojišťovna by v tomto modelu mohla plnit (300 000 − 30 000) + (460 000 − 50 000) = 680 000 Kč, firma nese 80 000 Kč – za předpokladu, že byly splněny všechny podmínky a nejde o výluku.

Způsob výpočtu ušlého zisku a časové spoluúčasti se v podmínkách liší; toto je jen ilustrace struktury.

Podklady, které si připravte

• popis prostředí a opatření (stejný jako pro poptávku služby),
• doklad o vícefaktorovém ověření, zálohách a ochraně stanic (report poskytovatele),
• plán reakce na incident a kontakty,
• historie incidentů za poslední roky,
• smlouvy s poskytovateli bezpečnostních a IT služeb.

Časté otázky

Kryje kyberpojištění pokutu od ÚOOÚ nebo NÚKIB?

Často ne, nebo jen v omezeném rozsahu, pokud to právo a podmínky dovolují. Ověřte konkrétní znění pojistných podmínek a nespoléhejte na to.

Sníží spravovaná služba pojistné?

Může pomoci splnit podmínky a doložit je; zda a jak to ovlivní pojistné, záleží na pojišťovně. Netvrdíme konkrétní slevu.

Potřebuji kyberpojištění, když mám zálohy a MDR?

Zálohy a MDR snižují pravděpodobnost a dopad incidentu, ale nekryjí ušlý zisk, nároky třetích osob ani náklady právní rady. Pojištění je rozhodnutí o přenosu zbytkového rizika.

Zdroje

• Česká národní banka – dohled nad pojišťovnami, registr zprostředkovatelů
• Národní úřad pro kybernetickou a informační bezpečnost – doporučení k zabezpečení
• Úřad pro ochranu osobních údajů – ohlášení porušení zabezpečení
• Zákony pro lidi – občanský zákoník (pojistná smlouva)