2 godzin temu
Cyberpolisa przenosi część straty finansowej na ubezpieczyciela. Nie przenosi odpowiedzialności za architekturę systemów, ciągłość działania ani zależność od dostawców technologii. To rozróżnienie nabiera znaczenia właśnie teraz, gdy ochrona ubezpieczeniowa tanieje, a skutki awarii technologicznych pozostają jednym z największych ryzyk biznesowych.
W drugim kwartale 2026 r. globalne stawki cyberubezpieczeń spadły średnio o 4 proc. Był to już dwunasty kolejny kwartał spadków. Marsh wskazuje na dużą podaż kapitału i konkurencję między ubezpieczycielami, dzięki którym firmy mogą negocjować nie tylko niższe ceny, ale także wyższe limity i szerszy zakres ochrony. Jednocześnie cyberincydenty pozostają według Allianz Risk Barometer najważniejszym globalnym ryzykiem biznesowym w 2026 r.; wskazało je 42 proc. respondentów.
Rynek rośnie mimo spadających cen. Munich Re szacuje wartość globalnych składek cybernetycznych w 2025 r. na blisko 15 mld dolarów i prognozuje około 28 mld dolarów w 2030 r. Problemem nie jest więc dostępność ubezpieczenia. Problem zaczyna się tam, gdzie firma traktuje polisę jako substytut kontroli nad własną technologią.
Najbardziej kosztowne incydenty dobrze pokazują skalę tej różnicy.
Po ataku ransomware na Change Healthcare w 2024 r. UnitedHealth Group wykazał 2,2 mld dolarów bezpośrednich kosztów reakcji oraz kolejne 867 mln dolarów skutków zakłócenia działalności. Liczbę osób, których dane zostały dotknięte incydentem, firma oszacowała później na około 190 mln.
Źródłem problemu nie była egzotyczna technika ataku. Podczas przesłuchania w Kongresie CEO UnitedHealth Andrew Witty potwierdził, iż jeden z krytycznych systemów Change Healthcare nie miał wdrożonego MFA. Firma przejęła Change Healthcare w 2022 r.; Witty mówił również o starszych technologiach, które były w trakcie modernizacji.
To przypadek długu technologicznego, który przestał być problemem IT i stał się pozycją liczonymą w miliardach dolarów. Polisa może uczestniczyć w finansowaniu skutków. Nie usuwa jednak skutków niepełnej integracji po przejęciu, braku kontroli dostępu czy zależności od krytycznego systemu.
Jeszcze wyraźniej widać to po awarii CrowdStrike z lipca 2024 r. Nie doszło do cyberataku. Wadliwa aktualizacja systemu wystarczyła, aby zakłócić funkcjonowanie firm na całym świecie. Delta Air Lines oszacowała bezpośredni wpływ na przychody na około 380 mln dolarów, a dodatkowe koszty operacyjne na 170 mln dolarów. W ciągu pięciu dni przewoźnik odwołał około 7 tys. lotów.
Dla rynku ubezpieczeniowego CrowdStrike był szczególnie istotny właśnie dlatego, iż przyczyną nie był atak. CyberCube szacował globalne ubezpieczone straty na 400 mln–1,5 mld dolarów, wskazując jednocześnie na istotne ograniczenia polis. Ochrona związana z przerwą w działalności wskutek awarii systemu nie zawsze jest standardem, a jeżeli występuje, może mieć osobny limit. Typowy okres oczekiwania przed uruchomieniem ochrony business interruption wynosi 8–12 godzin, choć spotykany zakres to 6–24 godziny.
W praktyce kilka godzin różnicy w czasie odtworzenia systemów może więc decydować nie tylko o wysokości straty, ale również o tym, jaka jej część w ogóle znajdzie się w zakresie ubezpieczenia.
Dane Verizon pokazują, iż presja przenosi się przy tym z pojedynczych zabezpieczeń na zdolność organizacji do zarządzania całym środowiskiem technologicznym. W DBIR 2026 wykorzystanie podatności stało się najczęstszą metodą początkowego dostępu do systemów i odpowiadało za 31 proc. naruszeń. W 2025 r. organizacje usunęły w pełni jedynie 26 proc. krytycznych podatności znajdujących się w katalogu aktywnie wykorzystywanych luk CISA, a mediana czasu ich pełnego usunięcia wzrosła do 43 dni. Ransomware pojawiało się w 48 proc. analizowanych naruszeń.
Regulacje idą w tym samym kierunku. Obowiązująca od stycznia 2025 r. DORA nie sprowadza odporności cyfrowej sektora finansowego do posiadania ochrony ubezpieczeniowej. Wymaga zarządzania ryzykiem ICT, testowania odporności, obsługi incydentów oraz kontroli ryzyka związanego z zewnętrznymi dostawcami technologii.
Ubezpieczenie technologiczne pozostaje instrumentem finansowym: pozwala zamienić część nieprzewidywalnej straty na przewidywalny koszt składki. Dojrzałość operacyjna decyduje o czymś innym — czy awaria pozostanie incydentem technicznym, czy zamieni się w kryzys płynności, sprzedaży i reputacji. Polisa zaczyna działać dopiero po wystąpieniu zdarzenia. Jakość architektury, kopii zapasowych, zarządzania podatnościami i procedur odtworzeniowych decyduje o jego skali.
