Cyberatak w małej firmie — czy OC działalności wystarczy?

Krótko: zwykle nie. OC działalności chroni Cię, gdy wyrządzisz komuś szkodę przy pracy — ale skutków cyberataku na Twoją własną firmę (zaszyfrowane dane, przestój, informatyk na noc, zgłoszenie do UODO) najczęściej nie obejmuje. Do tego służy ubezpieczenie cyber dla małej firmy. W biurze w Katowicach słyszymy często: „Kto by się włamywał do mnie, mam trzy komputery”. Niestety, właśnie małe firmy bywają łatwym celem, bo rzadziej mają kopie zapasowe i procedury.

Październik to Europejski Miesiąc Cyberbezpieczeństwa, więc to dobry moment, żeby sprawdzić, jak Twoja firma wypada na tym polu — także od strony polisy.

Ile jest cyberataków w Polsce?

Coraz więcej. Według raportu rocznego CERT Polska za 2025 r. zespół zarejestrował ponad 260 tys. incydentów bezpieczeństwa — rekordowo dużo — a zgłoszeń było ok. 658 tys. Zdecydowaną większość incydentów stanowią różne oszustwa internetowe, w tym phishing, czyli fałszywe wiadomości podszywające się pod bank, kuriera czy kontrahenta. Pełny raport i bieżące ostrzeżenia znajdziesz na cert.pl.

Nie chodzi o to, żeby się bać. Chodzi o to, żeby wiedzieć, co zrobić, gdy coś się wydarzy, i kto za to zapłaci.

Czego nie obejmuje OC działalności?

OC działalności (więcej o nim w naszym wpisie o OC dla JDG w 5 sytuacjach) odpowiada na pytanie: „Kto zapłaci, jeśli zaszkodzę klientowi?”. Po cyberataku problemy są najczęściej inne:

• Szkoda jest u Ciebie, nie u klienta. Zaszyfrowany komputer, utracona baza, kilka dni bez pracy — to Twoja własna strata. OC działalności z zasady jej nie pokrywa.
• Koszty reakcji. Informatyk od incydentów, odzyskiwanie danych, prawnik od RODO — w typowym OC takich pozycji nie ma.
• Wyłączenia w OWU. W wielu OWU OC działalności są wyłączenia dotyczące danych elektronicznych, wirusów czy naruszenia przepisów o ochronie danych osobowych. Czasem da się dokupić rozszerzenie, ale zwykle z niskim limitem.
• Kary administracyjne. Kary nałożone przez urząd z reguły nie są ubezpieczalne albo są wyłączone. To samo zwykle w polisie cyber — warto o tym wiedzieć od razu.

Dlatego OC działalności i ubezpieczenie cyber to dwie różne rzeczy. Jedno nie zastępuje drugiego.

Jakie są typowe scenariusze ataku?

Ransomware, czyli zaszyfrowane dane. Pracownik otwiera załącznik „faktura.zip”, a rano wszystkie pliki na komputerach i serwerze są zaszyfrowane. Na ekranie żądanie okupu. Firma stoi, klienci czekają.

Wyciek danych klientów. Ktoś przejmuje skrzynkę mailową albo dostęp do programu z bazą klientów. Jeśli wyciekły dane osobowe, masz obowiązki z RODO. Zgodnie z art. 33 RODO naruszenie trzeba zgłosić do Prezesa UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia — chyba że ryzyko dla osób, których dane dotyczą, jest mało prawdopodobne. Przy wysokim ryzyku trzeba też zawiadomić same te osoby (art. 34). Zgłoszenie składa się elektronicznie przez formularz UODO (np. przez biznes.gov.pl). 72 godziny to naprawdę mało, gdy jednocześnie gasisz pożar w firmie.

Podmieniony numer konta na fakturze. Oszust włamuje się do poczty Twojego kontrahenta (albo Twojej) i wysyła „poprawioną” fakturę z nowym numerem rachunku. Przelew idzie do oszusta. To tzw. fraud albo socjotechnika. Uwaga: w wielu polisach cyber to osobne rozszerzenie z własnym, często niższym limitem — albo nie ma go wcale. Trzeba o to zapytać wprost.

Przestój. Nawet jeśli dane uda się odtworzyć, przez kilka dni nie wystawiasz faktur, nie przyjmujesz zamówień, nie obsługujesz klientów. Dla małej firmy kilka dni bez pracy to realna dziura w budżecie.

Co obejmuje ubezpieczenie cyber dla małej firmy?

Zakres zależy od towarzystwa i wariantu, ale polisy cyber zwykle składają się z kilku części:

• Pomoc po incydencie (często całodobowa infolinia). Informatycy, którzy ustalają, co się stało, i pomagają zatrzymać atak. Dla małej firmy bez własnego działu IT to bywa najcenniejsza część polisy.
• Odtworzenie danych i systemów. Koszty odzyskania danych z kopii, ponownej instalacji, czasem wymiany oprogramowania.
• Prawnik i obowiązki z RODO. Pomoc w ocenie, czy i jak zgłosić naruszenie do UODO, jak zawiadomić klientów.
• PR i komunikacja. Gdy o wycieku dowiadują się klienci, liczy się dobrze napisany komunikat.
• OC wobec klientów i kontrahentów. Gdy ktoś domaga się odszkodowania, bo jego dane wyciekły z Twojej firmy albo zainfekowałeś mu system.
• Utracony zysk z przestoju. Zwykle po upływie tzw. okresu karencji (np. kilkunastu godzin od incydentu) i do limitu z polisy.
• Okup. Traktowany w polisach bardzo różnie — bywa wyłączony, bywa obwarowany zgodą ubezpieczyciela. Nie zakładaj, że „polisa zapłaci hakerom”.

Bez cennika, bo cena polisy cyber zależy od branży, przychodów, liczby rekordów z danymi osobowymi, wybranych limitów i tego, jak firma jest zabezpieczona.

Czego wymagają ubezpieczyciele?

Przed zawarciem umowy wypełnisz ankietę. Pytania są konkretne, a odpowiedzi mają znaczenie przy wypłacie. Najczęściej chodzi o:

• Kopie zapasowe — regularne, i przynajmniej jedna przechowywana osobno (offline albo w chmurze z wersjonowaniem), żeby atak nie zaszyfrował też kopii.
• Uwierzytelnianie dwuskładnikowe (2FA) — na poczcie, bankowości, zdalnym dostępie.
• Aktualizacje — systemu, programów, routera. Nieaktualne oprogramowanie to otwarte drzwi.
• Program antywirusowy i firewall.
• Procedura płatności — np. zmianę numeru konta kontrahenta potwierdzasz telefonicznie pod znany numer, nie odpowiadając na maila.

Odpowiadaj zgodnie z prawdą. Jeśli w ankiecie zaznaczysz kopie zapasowe, a po ataku okaże się, że ich nie było, możesz mieć problem z wypłatą. To zresztą dobra lista kontrolna sama w sobie — nawet bez polisy.

Co zrobić w pierwszych godzinach po ataku?

1. Odłącz zainfekowane komputery od sieci (nie wyłączaj ich na siłę, jeśli informatyk tego nie zaleci).
2. Masz polisę cyber? Zadzwoń na infolinię z polisy, zanim zaczniesz cokolwiek „naprawiać”.
3. Zapisz, co i kiedy zauważyłeś — od tego momentu biegnie czas na zgłoszenie do UODO.
4. Przy oszustwie z przelewem od razu zadzwoń do banku i zgłoś sprawę na policję.
5. Incydent możesz zgłosić do CERT Polska przez formularz na cert.pl.

Najczęstsze pytania

Prowadzę jednoosobową firmę. Czy ubezpieczenie cyber ma sens?
Jeśli masz dane klientów w komputerze lub w chmurze, wystawiasz faktury i robisz przelewy przez internet — warto przynajmniej porównać oferty. Polisy cyber są dziś przygotowane także dla JDG i małych firm.

Czy polisa cyber zwróci pieniądze z przelewu na fałszywe konto?
Tylko jeśli ma rozszerzenie o oszustwa (fraud, socjotechnika) i tylko do jego limitu. To jedno z pierwszych pytań, które warto zadać przy porównaniu ofert.

Czy ubezpieczenie zapłaci karę z UODO?
Zwykle nie — kary administracyjne najczęściej są wyłączone. Polisa może za to pokryć koszty prawnika i obsługi zgłoszenia.

Mam OC działalności z rozszerzeniem o dane osobowe. Czy to wystarczy?
Takie rozszerzenie zwykle dotyczy roszczeń klientów, nie Twoich własnych kosztów i przestoju. Sprawdź limit i zakres — chętnie zrobimy to z Tobą.

Sprawdzimy, co już masz

Masz OC działalności i nie wiesz, czy obejmuje cokolwiek „cyber”? Napisz albo zadzwoń: 601 525 369, ubezpieczenia@ajama.pl — sprawdzimy Twoją polisę za darmo, bez zobowiązań, i porównamy oferty cyber kilku towarzystw. Więcej o tym, co robimy dla firm, przeczytasz na stronie o ubezpieczeniach firmowych. Biuro: ul. Lubuska 10 w Katowicach, pon–pt 9–16.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 33 i 34 — EUR-Lex
• Urząd Ochrony Danych Osobowych
• CERT Polska: Raport roczny z działalności CERT Polska w 2025 roku
• Ministerstwo Cyfryzacji: Cyberbezpieczeństwo zaczyna się i kończy na człowieku — SECURE 2026
• Komisja Europejska: European Cybersecurity Month (ECSM) 2026
• CERT Polska: zgłoś incydent

Wpis ma charakter informacyjny i nie stanowi oferty. Zakres ochrony zależy od ogólnych warunków konkretnego towarzystwa.