Cyberpolisa a ransomware nie oznacza automatycznie, że ubezpieczyciel po prostu zapłaci żądany okup. W zależności od warunków umowy ochrona może obejmować informatykę śledczą, odzyskanie danych, utracony zysk, obsługę prawną, komunikację kryzysową i koszty wymuszenia. Każdy wydatek musi jednak mieścić się w zakresie, limitach i procedurze polisy.
Wyobraź sobie poniedziałek rano. System księgowy nie działa, dokumenty mają obce rozszerzenia, a na ekranie pojawia się żądanie zapłaty w kryptowalucie. Po chwili okazuje się, że przestępcy skopiowali również bazę klientów i grożą jej publikacją.
Pierwsza myśl właściciela brzmi: „mam cyberubezpieczenie, więc jestem bezpieczny”. To za mało. O wyniku szkody mogą przesądzić definicje w OWU, podlimity, zadeklarowane zabezpieczenia i działania podjęte w pierwszych godzinach.
Stan informacji: 14 września 2026 r. Opracowanie serwisu Igora Gawrysia, przygotowane z pomocą AI na podstawie materiałów CERT Polska, UODO i publicznie dostępnych informacji ubezpieczycieli. Opisane przykłady są hipotetyczne. Szczegółowy zakres zawsze wynika z polisy, OWU i dokumentu ubezpieczenia.
!Cyberpolisa a ransomware - komunikat o okupie na ekranie komputera
Najkrótsza odpowiedź: co może pokryć polisa?
Ransomware to złośliwe oprogramowanie, które blokuje urządzenie lub szyfruje dane, a następnie służy do wymuszenia zapłaty. Współczesny atak często ma dwa etapy: najpierw kradzież informacji, później ich zaszyfrowanie. Firma może więc jednocześnie stracić dostęp do systemów i stanąć przed groźbą ujawnienia danych.
Cyberpolisa może finansować znacznie więcej niż sam okup. Przykładowy zakres obejmuje:
- całodobową pomoc zespołu reagowania na incydenty,
- informatykę śledczą i ustalenie sposobu włamania,
- izolację zagrożenia oraz bezpieczne odtworzenie systemów,
- odzyskanie albo odtworzenie danych,
- utracony zysk i dodatkowe koszty działania podczas przestoju,
- analizę naruszenia danych osobowych i pomoc prawną,
- powiadomienie klientów oraz działania komunikacyjne,
- obronę przed roszczeniami osób trzecich,
- obsługę wymuszenia cybernetycznego, jeśli przewiduje ją umowa.
Nie każda polisa zawiera wszystkie te elementy. Mogą mieć osobne limity, udział własny i okres wyczekiwania. Dlatego porównanie dwóch ofert wyłącznie po sumie ubezpieczenia prowadzi do błędnych wniosków.
Czy ubezpieczyciel zapłaci okup po ataku ransomware?
Odpowiedź brzmi: czasami polisa może obejmować koszty związane z wymuszeniem, ale nie jest to bezwarunkowa obietnica zapłaty okupu.
Przed podjęciem decyzji trzeba między innymi:
- sprawdzić, czy wymuszenie cybernetyczne jest objęte zakresem;
- ustalić podlimit i udział własny dla tego świadczenia;
- zawiadomić ubezpieczyciela wymaganym kanałem;
- uzyskać zgodę na negocjacje i koszty, jeśli wymaga jej umowa;
- ocenić legalność płatności oraz ryzyko sankcyjne;
- sprawdzić, czy istnieje bezpieczna możliwość odtworzenia danych;
- uwzględnić, że zapłata nie gwarantuje działającego klucza ani usunięcia skradzionych informacji.
CERT Polska w swoim poradniku ransomware odradza płacenie okupu. Wskazuje, że nie ma gwarancji odzyskania danych, a zapłata finansuje przestępców i zachęca ich do dalszych ataków. Decyzji nie należy podejmować samodzielnie ani pod presją zegara wyświetlanego przez napastnika.
Publiczny opis produktu PZU pokazuje, że na rynku występują rozwiązania obejmujące koszty związane z wymuszeniem cybernetycznym oraz odzyskiwaniem danych zaszyfrowanych przez ransomware. Ten przykład nie przesądza jednak o zakresie konkretnej oferty. Wiążące są aktualne OWU, polisa i uzgodnione klauzule.
Tabela: jaki koszt i gdzie szukać ochrony?
| Skutek ataku | Element ochrony, którego szukasz | Co sprawdzić w OWU |
|---|---|---|
| Zaszyfrowane serwery i komputery | reakcja na incydent, informatyka śledcza | lista akceptowanych dostawców, zgoda na koszty |
| Utrata lub uszkodzenie danych | odtworzenie danych i oprogramowania | definicja danych, limit, zakres usług chmurowych |
| Brak sprzedaży przez kilka dni | przerwa w działalności | okres wyczekiwania, sposób liczenia utraconego zysku |
| Kradzież danych klientów | koszty naruszenia prywatności | analiza prawna, zawiadomienia, monitoring, podlimity |
| Roszczenie kontrahenta | odpowiedzialność cywilna cyber | koszty obrony, ugody, terytorium ochrony |
| Żądanie okupu | wymuszenie cybernetyczne | zgoda ubezpieczyciela, negocjator, legalność płatności |
| Kryzys wizerunkowy | komunikacja i PR | czas dostępności pomocy, limit i zatwierdzeni specjaliści |
| Powtórny atak po odtworzeniu | usunięcie przyczyny i monitoring | czy koszty zabezpieczenia systemu mieszczą się w ochronie |
Najważniejszy wniosek: jedna szkoda może uruchomić kilka sekcji polisy. Każda z nich może mieć inny limit. Suma ubezpieczenia 1 mln zł nie musi oznaczać, że cała kwota jest dostępna na przestój albo odzyskanie danych.
Hipotetyczna szkoda: dlaczego okup nie musi być największym kosztem
Załóżmy, że mała firma usługowa zostaje odcięta od systemu na pięć dni. Napastnik żąda 40 tys. zł. Firma nie płaci, bo specjaliści potwierdzają możliwość odtworzenia danych z bezpiecznej kopii.
Rachunek nadal może obejmować:
- analizę techniczną i zabezpieczenie dowodów,
- przygotowanie czystego środowiska,
- odtworzenie serwerów, urządzeń i kont,
- pracę prawników oceniających naruszenie danych,
- nadgodziny pracowników oraz obsługę klientów w trybie awaryjnym,
- utracony zysk w czasie przestoju,
- komunikację do klientów i kontrahentów,
- dodatkowy monitoring po uruchomieniu systemów.
To nie jest kosztorys prawdziwego zdarzenia, lecz mapa kategorii wydatków. Pokazuje, dlaczego pytanie „czy polisa pokryje okup?” jest zbyt wąskie. Dla ciągłości firmy większe znaczenie może mieć szybki dostęp do specjalistów i poprawnie skonstruowana ochrona przerwy w działalności.
7 zapisów, które trzeba sprawdzić przed zakupem
1. Definicja incydentu i ransomware
Sprawdź, czy umowa obejmuje złośliwe oprogramowanie, nieuprawniony dostęp, szyfrowanie danych i wymuszenie. Zobacz również, czy ochrona dotyczy błędu pracownika, na przykład otwarcia załącznika phishingowego.
2. Podlimity zamiast samej sumy ubezpieczenia
Odzyskanie danych, przestój, PR i wymuszenie mogą mieć własne, znacznie niższe limity. Poproś o przedstawienie ich na jednej stronie i porównaj z realnym kosztem awarii.
3. Okres wyczekiwania przy przestoju
Ochrona może uruchamiać się dopiero po określonej liczbie godzin. Ustal, czy po przekroczeniu tego czasu polisa rozlicza całą przerwę, czy tylko okres następujący po wyczekiwaniu.
4. Systemy własne i dostawcy zewnętrzni
Firma może działać w chmurze, korzystać z zewnętrznego hostingu, księgowości albo operatora płatności. Sprawdź, czy awaria takiego dostawcy jest zdarzeniem objętym ochroną i którzy usługodawcy są uznawani za kluczowych.
5. Wymagane zabezpieczenia
Ankieta ubezpieczeniowa nie jest formalnością. Jeżeli deklarujesz MFA, odseparowane kopie, aktualizacje lub szkolenia, zabezpieczenia powinny działać przez cały okres ochrony. Zachowuj dowody testów odtworzeniowych, aktualizacji i przeglądów uprawnień.
6. Zdarzenia rozpoczęte przed zawarciem umowy
Napastnik może pozostawać w sieci długo przed wykryciem. Przeczytaj definicję daty zdarzenia, datę retroaktywną i zasady dotyczące znanych okoliczności. Nowa polisa nie służy do finansowania incydentu, o którym firma już wiedziała.
7. Procedura zgody na wydatki
Ustal, pod jaki numer dzwonić przez całą dobę, kto wybiera informatyków i czy możesz zlecić działania bez wcześniejszej zgody. W kryzysie nie ma czasu na pierwsze czytanie OWU.
Najczęstsze powody sporu o wypłatę
Samo wystąpienie ransomware nie przesądza o wypłacie. Problem może pojawić się, gdy:
- firma podała nieprawdziwe informacje w ankiecie ryzyka;
- wymagane MFA albo kopie zapasowe faktycznie nie działały;
- znana, krytyczna luka przez długi czas nie została usunięta;
- zdarzenie lub system nie mieści się w definicjach umowy;
- wydatek poniesiono bez wymaganej zgody;
- ubezpieczony nie zachował dowodów i utrudnił analizę incydentu;
- strata mieści się poniżej udziału własnego lub w okresie wyczekiwania;
- został wyczerpany podlimit właściwy dla danej kategorii kosztów.
Nie oznacza to, że każde niedopatrzenie automatycznie odbiera ochronę. Skutek zależy od treści umowy, okoliczności i związku zaniedbania ze szkodą. Właśnie dlatego deklaracje w ankiecie warto potwierdzić z osobą odpowiedzialną za IT, zamiast zaznaczać odpowiedzi „na wyczucie”.
Co zrobić po wykryciu ransomware, aby nie utrudnić likwidacji szkody?
- Odłącz zainfekowane urządzenia od sieci. Nie podłączaj dysków z kopiami i nie uruchamiaj przypadkowych narzędzi.
- Uruchom plan reagowania. Wyznacz jedną osobę koordynującą działania techniczne, prawne i biznesowe.
- Zawiadom ubezpieczyciela. Skorzystaj z numeru alarmowego w polisie i zapytaj o zatwierdzonych specjalistów.
- Zachowaj dowody. Zabezpiecz notatkę okupową, wiadomości, logi, przykładowe zaszyfrowane pliki i chronologię działań.
- Zgłoś incydent do CERT Polska. Formularz jest dostępny pod adresem incydent.cert.pl.
- Oceń naruszenie danych osobowych. Ransomware może naruszać poufność, integralność lub dostępność danych.
- Dokumentuj koszty i przestój. Zapisuj decyzje, faktury, godziny pracy i procesy, których nie dało się realizować.
Jeśli chcesz przejść przez pełną kolejność działań, skorzystaj z poradnika cyberatak w firmie - pierwsze 24 godziny.
Ransomware a obowiązki wobec UODO
Atak cybernetyczny nie zawsze oznacza obowiązek zgłoszenia do Prezesa UODO, ale trzeba przeprowadzić i udokumentować ocenę. UODO wyjaśnia, że utrata dostępu do danych wskutek zaszyfrowania może być naruszeniem ochrony danych osobowych.
Jeżeli naruszenie może powodować ryzyko dla praw lub wolności osób, administrator zgłasza je bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny od stwierdzenia. Przy wysokim ryzyku może być konieczne także zawiadomienie osób, których dane dotyczą. Brak wszystkich informacji nie musi blokować zgłoszenia wstępnego.
Cyberpolisa może zapewnić pomoc prawną i sfinansować część działań, ale odpowiedzialność za prawidłową ocenę oraz wykonanie obowiązków nadal spoczywa na administratorze danych.
Jak przygotować firmę, zanim pojawi się żądanie okupu?
Najlepsza likwidacja szkody zaczyna się przed atakiem. Minimum organizacyjne to:
- kopie zapasowe odseparowane od środowiska produkcyjnego;
- regularne testy odtwarzania, a nie tylko komunikat „backup wykonany”;
- MFA na poczcie, kontach administracyjnych i dostępie zdalnym;
- szybkie aktualizowanie systemów oraz urządzeń sieciowych;
- ograniczenie uprawnień administratora;
- szkolenia z phishingu i bezpiecznej obsługi załączników;
- spis kluczowych systemów, danych i dostawców;
- papierowa lub offline'owa lista kontaktów alarmowych;
- ćwiczenie scenariusza ransomware z udziałem kierownictwa i IT.
Takie działania ograniczają szkodę, ułatwiają rzetelne wypełnienie ankiety i mogą wpływać na dostępność oraz warunki ochrony.
Jak porównać dwie cyberpolisy?
Przygotuj prosty scenariusz: firma nie ma dostępu do poczty i systemu sprzedaży przez siedem dni, trzeba odtworzyć dane, zbadać wyciek i obsłużyć roszczenie klienta. Następnie poproś o pokazanie, jak każda oferta odpowiada na poszczególne koszty.
Porównaj:
- zakres zdarzeń, a nie nazwę produktu;
- sumę główną oraz wszystkie podlimity;
- udział własny i okresy wyczekiwania;
- ochronę dostawców chmurowych;
- dostępność zespołu reagowania 24/7;
- wymagania techniczne utrzymywane przez cały rok;
- zasady finansowania negocjacji i wymuszenia;
- definicję przestoju oraz sposób liczenia straty.
Więcej elementów oferty znajdziesz w poradniku cyberubezpieczenie małej firmy - koszt, zakres i wyłączenia.
Wniosek
Cyberpolisa może bardzo pomóc po ransomware, ale jej największą wartością nie zawsze jest możliwość pokrycia okupu. Często ważniejsze są szybka reakcja specjalistów, bezpieczne odtworzenie danych, finansowanie przestoju i pomoc przy naruszeniu prywatności.
Przed zakupem sprawdź, co dokładnie uruchamia ochronę, jakie obowiązują podlimity i jak wygląda procedura pierwszego kontaktu. Po ataku nie improwizuj i nie zatwierdzaj kosztownych działań bez konsultacji. Jeśli chcesz porównać zakresy cyberpolis dla swojej firmy, umów rozmowę i przygotuj listę systemów, zabezpieczeń oraz maksymalnego możliwego przestoju.
Źródła i metodologia
- CERT Polska, Poradnik ransomware - definicja zagrożenia, prewencja, reakcja i rekomendacja dotycząca okupu.
- CERT Polska, formularz zgłoszenia incydentu - kanał zgłaszania zdarzeń.
- UODO, w jakim terminie należy zgłosić naruszenie - ocena ryzyka i termin 72 godzin.
- PZU, ubezpieczenie od ryzyk cybernetycznych i związanych z RODO - publiczny przykład zakresów występujących w produkcie ubezpieczeniowym; szczegóły określają aktualne dokumenty umowy.
- Dostęp do źródeł: 14 września 2026 r. Tabela i scenariusz kosztów są autorską syntezą redakcyjną służącą porównaniu ofert, a nie opisem konkretnej szkody.
- Zdjęcie ilustracyjne: Pixabay, zdjęcie 2320941. Zdjęcie nie przedstawia opisanego zdarzenia.