Ubezpieczenie cyber 2026 — koszt dla firmy, ransomware, RODO, procedura

TL;DR

Cyber-policy w Polsce w 2026 r. to dynamicznie rosnący segment rynku — składki wzrosły o 30–60% w ostatnich 3 latach (po fali ransomware 2022–2024), a zakres pokrycia rozszerzył się o kary RODO (do 20 mln EUR lub 4% globalnego obrotu rocznego), koszty ransomware (okup + przywrócenie systemu + komunikacja z mediami), business email compromise (BEC — fałszywe maile podszywające się pod dostawców/zarząd), social engineering, koszty incident response (IR) i PR, a także utratę zysku po cyberincydencie. Dla MŚP (10–50 pracowników) typowa polisa cyber z SG 1–5 mln PLN kosztuje 2 000–8 000 PLN/rok, dla średniej firmy 50–250 osób z SG 10–25 mln PLN — 8 000–35 000 PLN/rok, dla dużych korporacji z obrotem >100 mln PLN — 50 000–500 000 PLN+/rok. Większość polis jest claims-made z datą retroaktywną — kluczowe zachowanie ciągłości. Standardowe wyłączenia: świadome działanie, war/cyber-war, naruszenia popełnione przed datą retroaktywną, brak podstawowych zabezpieczeń (MFA, kopie zapasowe), bring-your-own-device bez kontroli. Top brokerzy w PL: Gallagher, Marsh, Aon, Howden, EIB, Mentor.

Zastrzeżenie: Materiał ma charakter informacyjny i edukacyjny, nie stanowi porady ubezpieczeniowej ani prawnej. Cyber-policy jest jednym z najszybciej zmieniających się segmentów rynku — zakres ochrony i wyłączenia bywają znacząco różne między ubezpieczycielami. Przed zakupem zapoznaj się z OWU i skonsultuj się z licencjonowanym brokerem.

Czym jest cyber-policy i dlaczego klasyczne OC nie wystarcza

Cyber-policy (ubezpieczenie ryzyk cybernetycznych) to specjalistyczna polisa pokrywająca skutki finansowe incydentów cyfrowych. Klasyczne OC działalności gospodarczej (patrz ubezpieczenie-firmy-jdg-spolki-2026-oc-dzialalnosci-mienie-utrata-zysku-koszt) nie obejmuje typowo:

• ransomware i innych złośliwych programów,
• okupu (osobny element rozważań etyczno-prawnych — niektóre polisy go nie pokrywają w ogóle),
• przywrócenia systemu i danych z backupu,
• kar administracyjnych za naruszenie RODO/GDPR,
• kosztów powiadomienia osób, których dane wyciekły,
• kosztów monitoringu kredytowego dla poszkodowanych,
• kosztów PR i zarządzania kryzysowego po wycieku,
• utraty zysku z powodu przestoju systemów IT,
• roszczeń osób trzecich z tytułu wycieku ich danych.

Wszystkie te elementy łączy cyber-policy. W 2024–2025 kary UODO za naruszenia RODO w Polsce wzrosły zauważalnie — w sektorze finansowym, zdrowotnym i e-commerce zdarzały się kary kilkudziesięciotysięczne i kilkuset tysięcy złotych za pojedyncze incydenty. RODO przewiduje maksymalną karę 20 mln EUR lub 4% globalnego obrotu rocznego, która z dyskrecją organu może być wymierzona w skrajnych przypadkach.

Zakres typowej cyber-policy 2026

Polski rynek (PZU, Warta, Allianz, AIG, Chubb, Hiscox, CNA Hardy, Beazley jako ubezpieczyciele wiodący — w pakietach lub bezpośrednio) oferuje pokrycie w czterech głównych blokach:

1. First-party (szkody własne firmy)

• Ransomware/extortion: koszty okupu (gdy polisa to dopuszcza), koszty przywrócenia systemu, danych, ekosystemu IT;
• Incident response (IR): koszty zatrudnienia firmy IR (np. Mandiant, Crowdstrike, polska Niebezpiecznik, Trend Micro), forensic, threat hunting, eradykacja;
• Business interruption (BI cyber): utrata zysku w okresie przestoju spowodowanego incydentem cyfrowym (osobny BI od klasycznego — pokrywa awarie systemów, nie pożar);
• Restoration of data: koszty odtworzenia danych, jeśli backup nie wystarcza;
• Reputational harm / PR: koszty agencji PR, komunikacji kryzysowej, media response;
• Cyber crime: business email compromise (BEC) — phishing podszywający się pod CEO/CFO/dostawcę, w wyniku którego firma przelewa pieniądze na konto przestępcy, fraudulent funds transfer, social engineering — manipulacja pracowników w celu uzyskania dostępu lub wykonania przelewu.

2. Third-party (roszczenia osób trzecich)

• Roszczenia za wyciek danych — klienci, których dane osobowe wyciekły, mogą żądać odszkodowania (RODO daje takie prawo);
• Roszczenia kontrahentów — naruszenie poufności danych biznesowych, IP, tajemnicy handlowej;
• Naruszenie umów — gdy z powodu incydentu firma nie wykonuje SLA wobec klientów.

3. Regulatory (kary i postępowania)

• Kary RODO/UODO — pokrycie do limitu polisy (maks. 20 mln EUR / 4% obrotu); w niektórych jurysdykcjach kary administracyjne nie są ubezpieczalne ze względu na public policy, w PL praktyka jest mieszana — sprawdź klauzulę;
• Koszty postępowań — eksperci, prawnicy, biegli;
• Koszty audytu po incydencie — niektóre polisy pokrywają audyt zgodności i poprawienie zabezpieczeń.

4. Notification & monitoring

• Koszt powiadomienia osób, których dane wyciekły — listownie, mailowo, koszty call center;
• Credit monitoring services — dla osób fizycznych poszkodowanych (zwłaszcza istotne dla danych finansowych);
• Hotline dla poszkodowanych.

Ile to kosztuje — widełki 2026

Składka cyber zależy od: branży, obrotu, liczby pracowników, liczby przetwarzanych rekordów osobowych, dojrzałości zabezpieczeń (MFA, EDR, backup, segregacja sieci, plan IR), historii incydentów. Przybliżone widełki rynkowe dla zdrowych firm bez historii szkód:

Czynniki obniżające składkę o 20–50%:

• MFA wdrożone we wszystkich systemach (zwłaszcza poczcie),
• Endpoint Detection & Response (EDR) we wszystkich endpointach,
• segregacja sieci (privilege management, zero trust),
• offline/immutable backup z testowaniem przywracania,
• formalny plan incident response + ćwiczenia (tabletop),
• audyt bezpieczeństwa w ostatnich 12 miesiącach,
• standardy ISO 27001 / SOC 2 / NIS 2.

Czynniki podwyższające składkę o 30–100%:

• brak MFA, w szczególności na koncie e-mail (główny wektor BEC),
• legacy systems (Windows 7, niewspierane bazy danych),
• brak EDR — tylko klasyczny antywirus,
• brak testowanego backupu (lub backup tylko online),
• duża baza danych klientów (>100 000 rekordów PII),
• branża wysokiego ryzyka (zdrowotna, finansowa, e-commerce),
• historia incydentów w ostatnich 3 latach.

Top ubezpieczyciele i brokerzy cyber w Polsce

Ramka prawna — RODO, NIS 2, ustawa o krajowym systemie cyberbezpieczeństwa

Cyber-policy działa w kontekście kilku regulacji, których naruszenie skutkuje karami pokrywanymi przez polisę:

• RODO (2018) + ustawa o ochronie danych osobowych: kary do 20 mln EUR lub 4% globalnego obrotu rocznego (wyższa wartość). UODO w PL aktywny w sektorze zdrowotnym, finansowym, e-commerce i edukacji.
• NIS 2 (Dyrektywa UE, transpozycja PL 2024): rozszerza obowiązek raportowania incydentów na większą liczbę podmiotów (energetyka, transport, zdrowie, finanse, dostawcy cyfrowi, infrastruktura krytyczna). Naruszenie obowiązków raportowania = kara do 10 mln EUR lub 2% obrotu.
• Ustawa o krajowym systemie cyberbezpieczeństwa: obowiązki dla operatorów usług kluczowych i dostawców usług cyfrowych w PL.
• DORA (Digital Operational Resilience Act, 2025): wymagania dla sektora finansowego — ubezpieczyciele, banki, instytucje płatnicze, fundusze. Zaostrzone wymagania co do zarządzania ryzykiem ICT i raportowania incydentów.
• AI Act (2024–2027 stopniowe wejście): dodatkowe obowiązki dla systemów AI wysokiego ryzyka, w tym audyty bezpieczeństwa.

W ramach tej regulacji cyber-policy ma kilka zastosowań: pokrywa kary administracyjne (gdy ubezpieczalne), koszty postępowań, eksperckich, audytów po incydencie. Część polis ma osobny regulatory limit (np. 5 mln PLN tylko na kary i postępowania).

Co pokrywa, co NIE pokrywa — wyłączenia kluczowe

Pokrywa typowo:

• ransomware (z lub bez okupu — zależy od polisy);
• BEC, social engineering, fraudulent funds transfer (zwykle z subli mitem);
• koszty IR, forensic, eradykacji;
• BI cyber (utrata zysku w okresie przestoju);
• third-party claims (klienci/kontrahenci);
• kary administracyjne (do limitu, gdy ubezpieczalne);
• koszty notification + credit monitoring;
• koszty PR i komunikacji kryzysowej;
• system restoration.

Standardowe wyłączenia — uważaj:

• Świadome działanie / oszustwo wewnętrzne — pracownik, który celowo wykrada dane, NIE jest pokryty (chyba że osobna klauzula employee dishonesty);
• War / cyber-war exclusion — atak przypisany państwu obcemu (np. NotPetya 2017 został odmówiony jako act of war przez wielu ubezpieczycieli; precedens Mondelez vs Zurich). W 2026 r. na rynku trwa dyskusja, większość polis ma rozróżnienie między war a cyber operations — kluczowe są precyzyjne klauzule;
• Naruszenia popełnione przed datą retroaktywną — claims-made wymaga, aby zdarzenie było po dacie retro;
• Brak podstawowych zabezpieczeń — wiele polis w 2025–2026 ma warranty (warunki) wymagające MFA, regularnych aktualizacji, backupu offline. Niespełnienie → odmowa wypłaty;
• Bring-your-own-device (BYOD) bez kontroli — używanie prywatnych urządzeń pracowników w sieci firmowej bez zarządzania (MDM) jest często wyłączeniem;
• Insider trading / wykorzystanie informacji poufnej — szkody z tego tytułu są wyłączone;
• Patentowe spory IP — to inna kategoria polis;
• Strata wartości firmy — utrata kapitalizacji giełdowej po wycieku danych zwykle nie jest pokryta;
• Ekonomiczne sankcje (OFAC, UE) — okup wypłacony podmiotowi z listy sankcyjnej jest uncovered i wręcz może stanowić naruszenie prawa.

Procedura w razie incydentu — krok po kroku

Krok 1 — zatrzymaj rozprzestrzenianie. Odetnij zarażone systemy od sieci, ale nie wyłączaj (logi pamięci RAM ważne dla forensic).

Krok 2 — uruchom plan IR. Komunikacja: kto, kiedy, jak. Izolacja danych. Backup offline jest nietknięty? Sprawdź.

Krok 3 — zgłoś ubezpieczycielowi NIEZWŁOCZNIE (zwykle 24–72h). Większość polis ma panel preferowanych dostawców IR i prawniczych — korzystaj z nich, inaczej koszty mogą nie zostać pokryte.

Krok 4 — RODO 72h. Jeśli wyciekły dane osobowe → zgłoszenie do UODO w ciągu 72 godzin od stwierdzenia naruszenia. Brak zgłoszenia = osobna kara.

Krok 5 — komunikacja z osobami poszkodowanymi. Jeśli ryzyko dla praw i wolności jest „wysokie" → obowiązkowe powiadomienie osób fizycznych. Polisa zwykle pokrywa koszty.

Krok 6 — forensic + eradykacja. Firma IR przeprowadza analizę, identyfikuje wektor, eradykuje malware, weryfikuje czystość systemów.

Krok 7 — notyfikacje regulacyjne dodatkowe. NIS 2 (jeśli dotyczy), KNF (sektor finansowy), branżowe.

Krok 8 — postępowanie i komunikacja. PR, media response, komunikacja z klientami, kontrahentami.

Krok 9 — odbudowa i lessons learned. Audyt poincydentowy, rekomendacje, zmiana polityki, ćwiczenia.

Krok 10 — proces likwidacji szkody. Składanie dowodów, faktur, raportu IR. Wypłata trwa zwykle 3–6 miesięcy w przypadku dużych szkód.

Przykłady — 5 case'ów

Case 1 — Ransomware w MŚP IT (40 osób). Atak Lockbit, zaszyfrowane laptopy 25 osób + serwer ERP. Backup offline z poprzedniego dnia. Brak danych osobowych klientów. Koszt: 250 000 PLN (IR 120k, restoration 50k, BI 80k). Polisa 2 mln SG, składka 5 000 PLN/rok — w pełni pokryta.

Case 2 — BEC u importera (e-commerce, 30 osób). Phishing na CFO, fałszywy mail od „dostawcy" z prośbą o zmianę numeru konta. Przelew 380 000 PLN na konto przestępcy, niemożliwy do odzyskania. Polisa: subli mit BEC 500 000 PLN. Wypłata 380k − franszyza 25k = 355k PLN. Składka 6 000 PLN/rok.

Case 3 — Wyciek danych z e-commerce (250 000 klientów). Atak SQL injection, wyciek emaili + hashowanych haseł + dat urodzenia. Notyfikacje, credit monitoring 12 mies. dla części klientów, kara UODO 180 000 PLN, koszty PR 120 000 PLN, postępowania 80 000 PLN. Łącznie 480 000 PLN. Polisa SG 5 mln PLN, składka 12 000 PLN/rok — w pełni pokryta.

Case 4 — Kara RODO za niezabezpieczone dane medyczne (klinika prywatna). Niewłaściwa konfiguracja serwera FTP, dostęp publiczny do dokumentacji medycznej 8 000 pacjentów. Kara UODO 350 000 PLN, koszty postępowania 80 000 PLN, PR 50 000 PLN. Cyber-policy z klauzulą RODO i regulatory limit 1 mln PLN — pełna ochrona.

Case 5 — Cyberatak w banku spółdzielczym (DDoS + próba phishingu na pracowników). Brak realnej szkody (zatrzymano), ale koszt IR 200 000 PLN, raporty do KNF, audyt poincydentowy. Polisa pokryła IR i koszty audytu w ramach polisy regulatory.

Zmiany 2024 → 2025 → 2026

• 2024: wprowadzenie cyber-war exclusion przez większość ubezpieczycieli po precedensach Mondelez, Merck. Klauzule precyzują rozróżnienie między państwowo-sponsorowanym atakiem a klasycznym cyberprzestępstwem.
• 2025: wzrost składek 30–60% w segmentach najbardziej dotkniętych ransomware (zdrowie, edukacja, sektor publiczny). Wprowadzenie warranty (warunków) wymagających MFA, EDR, offline backup, planu IR. Bez nich — odmowa polisy lub odmowa wypłaty.
• 2026: dynamiczny wzrost rynku cyber w Polsce (+25–40% rocznie według danych PIU). Nowe produkty: cyber dla mikro (JDG, freelancerzy), cyber dla agencji marketingowych (DSP, reklama), cyber dla SaaS (SLA-driven BI). Coraz większa rola brokerów specjalistycznych — CyberCube, Coalition.

W obszarze regulacji: pełne wdrożenie NIS 2 w PL (od stycznia 2025), DORA dla sektora finansowego (od stycznia 2025), AI Act stopniowo (2026–2027). Każda z regulacji generuje nowe obowiązki — i nowe zastosowania cyber-policy.

Pułapki i typowe błędy

1. Mylenie cyber-policy z polisą OC działalności — to dwie różne polisy, klasyczne OC nie pokrywa ransomware.
2. Polisa bez klauzuli BEC/social engineering — często osobny moduł, łatwo go pominąć przy zakupie. To najczęstszy typ cyberprzestępstwa w MŚP.
3. Niedeklarowanie pełnego zakresu działalności — jeśli nie zadeklarujesz, że masz e-commerce, polisa może nie pokryć incydentu z tej linii.
4. Brak warranty compliance — kupujesz polisę, polisa wymaga MFA we wszystkich kontach, ale w firmie tylko 50% kont ma MFA → odmowa wypłaty.
5. Brak ciągłości claims-made — przy zmianie ubezpieczyciela utrata daty retroaktywnej skutkuje brakiem pokrycia incydentów sprzed zmiany.
6. Ignorowanie subli mitów — pełna SG 5 mln PLN, ale subli mit BEC tylko 250 000 PLN. Sprawdź każdy podlim.
7. Błąd w 72h RODO — niezgłoszenie naruszenia w terminie = osobna, niepokrywalna kara.
8. Płacenie okupu bez konsultacji — niektóre adresy cyberprzestępców są na liście sankcyjnej OFAC/UE. Płacenie = naruszenie sankcji + brak pokrycia z polisy.
9. Brak testowania backupu — polisa wymaga regularnych testów restore. Brak testów = możliwa odmowa.
10. Pomijanie cyber-policy w pakiecie firmy — wiele MŚP kupuje OC + mienie + BI, ale „nie potrzebują cyber". Statystyki PIU 2025 pokazują, że MŚP są głównym celem ransomware (mniejsza dojrzałość zabezpieczeń niż w korporacjach).

Methodology — skąd dane

• Składki i SG: porównania ofert PZU, Warty, Allianza, AIG, Chubb, Hiscox, Beazley, dane brokerów (Marsh, Aon, Gallagher, Howden, EIB) za 2025–2026;
• Statystyki incydentów: raporty PIU 2025, dane CERT Polska, raporty Coalition Cyber Insurance Claims Report 2025, AGCS Allianz Risk Barometer 2025–2026, CrowdStrike Global Threat Report 2025;
• Kary RODO: komunikaty UODO, baza decyzji Prezesa UODO 2024–2026, zestawienia kar EDPB;
• Regulacje: ustawa o krajowym systemie cyberbezpieczeństwa, NIS 2 (transpozycja PL), DORA, AI Act, RODO;
• Wyłączenia i klauzule: OWU PZU Cyber, Allianz Cyber Pro, AIG CyberEdge, Chubb Cyber Enterprise, Hiscox CyberClear.

Wszystkie kwoty są przybliżonymi widełkami rynkowymi 2026, indywidualna wycena zależy od profilu ryzyka, dojrzałości zabezpieczeń i zakresu polisy.

FAQ

Czy mała firma (2–5 osób) potrzebuje cyber-policy? Coraz częściej tak, zwłaszcza jeśli przetwarza dane klientów lub ma kontakt z kontrahentami przez e-mail. Składka dla mikro to 1 000–3 000 PLN/rok — relatywnie tanio jak na ochronę przed BEC, który dotyka właśnie małe firmy.

Czy polisa pokryje płacenie okupu ransomware? Większość polis w 2026 r. pokrywa, ale: (a) tylko po zgodzie ubezpieczyciela, (b) tylko gdy odbiorca okupu nie jest na liście sankcyjnej, (c) zwykle z osobnym subli mitem, (d) etyka: część organizacji odradza płacenie, bo finansuje przestępczość i nie gwarantuje odzyskania danych.

Czy mogę mieć polisę cyber, jeśli nie mam pełnego MFA? Coraz trudniej. W 2025–2026 większość ubezpieczycieli wymaga MFA jako warunek polisy. Bez MFA — odmowa polisy lub bardzo wysoka składka.

Czy klasyczne OC działalności obejmuje wyciek danych klientów? Standardowo NIE. Tylko cyber-policy lub osobna klauzula RODO w OC działalności.

Czy polisa cyber pokrywa atak phishingowy na pracownika prywatnie (e-mail prywatny)? Tylko jeśli atak rozprzestrzenił się na infrastrukturę firmy. Sam atak na konto prywatne pracownika to nie incydent firmowy.

Co jeśli atak nastąpił przez podwykonawcę? Większość polis pokrywa vendor-related incidents — atak przez third-party/supply chain. Sprawdź klauzulę.

Jak długo trwa likwidacja szkody cyber? Typowo 3–6 miesięcy dla średnich szkód, do 12+ miesięcy dla dużych incydentów. Forensic, ustalenie wektora, ocena szkody zajmują czas.

Czy są certyfikaty/audyty obniżające składkę? Tak: ISO 27001, SOC 2 Type II, NIS 2 compliance, audyt CertIK lub innych firm bezpieczeństwa. Mogą obniżyć składkę 15–30%.

Podsumowanie

Cyber-policy w 2026 r. to niezbędny element pakietu ubezpieczeń każdej firmy przetwarzającej dane lub działającej online. Klucz:

• Ransomware, BEC, social engineering, kary RODO — to są dziś główne ryzyka, klasyczne OC nie wystarcza;
• SG 1–5 mln PLN dla MŚP to typowe minimum, dla firm większych 10–50 mln PLN;
• Składki 2 000–8 000 PLN/rok dla MŚP są zwykle dobrze zoptymalizowane przy podstawowych zabezpieczeniach;
• Warranty (MFA, EDR, backup, plan IR) są warunkiem polisy — wdrożenie ich jest tańsze niż nieubezpieczona szkoda;
• Claims-made + retroactive date — kluczowe zachowanie ciągłości przy zmianie ubezpieczyciela;
• Broker specjalistyczny (Gallagher, Marsh, Aon, Howden) zwykle daje znacznie lepsze warunki niż polisa od pośrednika ogólnego.

Decyzja o zakresie cyber-policy zależy od indywidualnego profilu ryzyka i sektora działalności. Warto rozważyć konsultację z licencjonowanym brokerem oraz przegląd dojrzałości zabezpieczeń (audyt) przed zakupem polisy.

Disclaimer końcowy: Materiał ma charakter informacyjny i edukacyjny, nie stanowi porady ubezpieczeniowej, prawnej ani z zakresu cyberbezpieczeństwa. Konkretny zakres ochrony zależy od OWU danego ubezpieczyciela. Przed zakupem polisy zapoznaj się z OWU i skonsultuj się z licencjonowanym brokerem.