Kibernetska tveganja podjetij: krovni vodnik po kritjih, obveznostih in odgovornosti vodstva

Tri finančne posledice enega incidenta

Podjetja kibernetsko tveganje pogosto ocenjujejo skozi strošek IT obnove. V praksi so posledice tri in vsaka ima svojo zavarovalno logiko:

1. Lastna škoda – forenzika, obnova sistemov in podatkov, nadomestna oprema, krizno komuniciranje, morebitno plačilo v postopku izsiljevanja.
2. Izpad poslovanja – dnevi ali tedni brez proizvodnje, naročil, spletne prodaje ali logistike. Ta postavka je pogosto večja od stroška obnove.
3. Odgovornost do tretjih – zahtevki strank in partnerjev, stroški obveščanja posameznikov, postopek pri Informacijskem pooblaščencu, pogodbene kazni.

Celovit pregled kritij po teh treh sklopih, vključno z izpadom spletne trgovine in globami po GDPR, najdete v prispevku Kibernetska zaščita in zavarovanje kibernetskih tveganj.

Cyber ali Crime: dve polici, ki se ne prekrivata

V praksi se najpogostejši spor z zavarovalnico ne nanaša na višino limita, temveč na vprašanje, katera polica je pristojna.

Cyber polica se sproži ob dogodku v informacijskem sistemu: vdor, šifriranje podatkov z izsiljevalskim virusom, izpad sistemov, uhajanje osebnih podatkov.

Crime polica se sproži ob premoženjski prevari: podjetje samo nakaže sredstva na napačen račun, ker je nekdo ponaredil identiteto direktorja ali podtaknil spremenjene bančne podatke dobavitelja. Sistem ni bil nujno vdrt – zloraba je bila socialna, ne tehnična.

Če podjetje ima le Cyber polico brez razširitve za prevaro, tak dogodek pogosto ostane nekrit. Mehanizem prevare, postopek povratne verifikacije (callback) in strukturo kritja podrobno razlaga prispevek CEO Fraud in prestreženi računi.

NIS2 in osebna odgovornost vodstva

Z direktivo NIS2 in njenim prenosom v slovenski pravni red se obveznosti glede upravljanja kibernetske varnosti razširijo na bistveno večji krog podjetij, vključno s proizvodnjo, logistiko, energetiko, zdravstvom in ponudniki digitalnih storitev.

Bistvena sprememba za odločevalce ni tehnična, ampak upravljavska: vodstvo mora obvladovanje kibernetskih tveganj odobriti in nadzirati, poznati ukrepe in zagotavljati usposabljanje. Če tega ne stori, se lahko poleg sankcije za podjetje odpre tudi vprašanje osebne odgovornosti članov organov vodenja.

Ta presek med regulativo in zavarovanjem pomeni, da NIS2 skladnost naslavljata dve polici hkrati: Cyber za dogodek in D&O za osebno odgovornost vodstva. Podrobno analizo obveznosti, razvrstitve subjektov in prepletanja polic najdete v prispevku Direktiva NIS2: Ali vodstvo osebno odgovarja za kibernetski vdor?.

Kaj zavarovalnica pričakuje, preden izda polico

Kibernetsko zavarovanje ni nadomestilo za varnostne ukrepe – je prenos preostanka tveganja. Zavarovalnice zato praviloma zahtevajo tehnični minimum:

• večfaktorska avtentikacija za oddaljeni dostop, e-pošto in administratorske račune,
• varnostne kopije z vsaj eno kopijo, ločeno od omrežja, in preverjenim postopkom obnovitve,
• redno namestitev popravkov in podprte različice sistemov,
• segmentacija omrežja med pisarniškim in proizvodnim okoljem,
• usposabljanje zaposlenih in dokumentiran postopek ob incidentu.

Če stanje ob prijavi škode odstopa od tega, kar je bilo prijavljeno v vprašalniku, lahko zavarovalnica zavrne kritje. Vprašalnik je zato treba izpolnjevati skupaj z IT ekipo, ne po spominu.

Prvih 24 ur: zakaj postopek vpliva na izplačilo

Pri kibernetskih dogodkih je hitrost ključna, a nepremišljena reakcija pogosto uniči dokaze in oteži izplačilo. Priporočen okvir:

1. Izolacija prizadetih sistemov brez brisanja podatkov in dnevnikov.
2. Takojšnja prijava zavarovalnici – večina polic vključuje 24/7 odzivno ekipo in forenziko, ki ju je treba aktivirati prek zavarovalnice, ne mimo nje.
3. Ocena obveznosti obveščanja – Informacijski pooblaščenec, prizadeti posamezniki, pogodbeni partnerji, pristojni organ po NIS2.
4. Dokumentiranje izpada za obračun izgube prihodka.

Splošni okvir ravnanja ob veliki škodi, vključno z odgovornostmi in evidencami, opisuje prispevek Protokol ob nastanku velike škode, pripravo na daljšo prekinitev pa Načrt neprekinjenega poslovanja (BCP).

Kako uporabiti ta vodnik v praksi

Za pregled kibernetske izpostavljenosti priporočamo naslednji vrstni red:

1. Opredelite, kateri sistemi ustavijo prihodek, če odpadejo za en teden.
2. Preverite, ali imate Cyber kritje in ali vključuje izpad poslovanja ter stroške obveščanja.
3. Preverite, ali imate kritje za prevaro (Crime) in kakšen je limit.
4. Ugotovite, ali sodite v obseg NIS2, in preverite, kaj to pomeni za vodstvo.
5. Uskladite tehnične ukrepe z izjavami v zavarovalnem vprašalniku.

Če želite police in ponudbe primerjati po enakih izhodiščih, nas kontaktirajte.