Cyberubezpieczenia dla MŚP 2026 — co obejmują, ile kosztują i kiedy polisa naprawdę chroni

W 2025 roku CERT Polska zarejestrował 260 783 incydenty cyberbezpieczeństwa — o 152% więcej niż rok wcześniej. Każdego dnia notowano blisko 2 000 zdarzeń. Firmy były celem 129 z 179 ataków ransomware odnotowanych przez CERT w całym roku — to nie przypadek ani kradzież przy okazji. To zaplanowane operacje wymierzone w przedsiębiorstwa, które mają pieniądze, dane lub dostęp do większych kontrahentów.

Mimo to wśród polskich właścicieli małych firm temat cyberubezpieczenia trafia do kategorii „może kiedyś”. Pokazujemy, co taka polisa faktycznie obejmuje, ile kosztuje typowe rozwiązanie dla firmy zatrudniającej kilkanaście osób oraz — co równie ważne — przy jakich warunkach ubezpieczyciel odmówi Ci wypłaty.

Dlaczego MŚP jest celem, a nie tylko „ofiarą przy okazji”

Przez lata funkcjonował mit, że hakerzy polują wyłącznie na wielkie firmy z grubymi portfelami. Dane temu przeczą. Firmy z przychodem poniżej 2 mld USD — czyli w praktyce niemal wszystkie polskie MŚP — ponoszą średni koszt incydentu na poziomie 246 000 USD, wynika z NetDiligence 15th Annual Cyber Claims Study. To nie jest kwota z kosmosu dla firmy z 20 pracownikami: utrata systemów IT, odtworzenie danych, koszty prawne i przerwa w działalności mogą realnie zagrozić istnieniu biznesu.

Małe firmy są atakowane z trzech konkretnych powodów:

• Słabsza ochrona. Brak dedykowanego działu IT oznacza opóźnione aktualizacje, słabe hasła, brak monitoringu sieci i niezaszyfrowane dyski. Atakujący wiedzą, że tu bariera wejścia jest niska.
• Wartościowe dane. Nawet mała firma handlowa przechowuje dane klientów, numery kart, PESEL-e i informacje bankowe. Dane zdrowotne w gabinecie lekarskim czy dane finansowe w biurze rachunkowym to dla atakujących łakomy kąsek.
• Wektor wejścia do większych firm. Według raportu IBM Cost of Data Breach 2025, 15% wszystkich naruszeń danych dotyczy tzw. supply chain — atakujący dostają się do dużej firmy przez słabiej chronionego dostawcę, podwykonawcę lub partnera IT. Jeśli obsługujesz dużą korporację, Twoje systemy mogą być mostem do ich sieci.

Dla właściciela firmy szczególnie niepokojący jest jeden fragment z IBM Cost of Data Breach 2025: 49% organizacji inwestuje w cyberbezpieczeństwo dopiero po tym, jak zostały zaatakowane. To nie jest strategia — to wyścig z negatywnym scenariuszem, który można było przerwać wcześniej.

Co to jest cyberubezpieczenie i czym różni się od standardowej polisy

Pierwsze pytanie, które słyszymy od klientów: „czy moja polisa OC działalności nie pokrywa już takich sytuacji?“. Odpowiedź jest prosta: nie. Standardowe ubezpieczenia OC działalności, ubezpieczenia majątkowe ani polisy D&O nie obejmują kosztów związanych z incydentami cyfrowymi — chyba że zakup dodatkowego rozszerzenia był świadomy.

Cyberubezpieczenie to produkt osobny, projektowany specjalnie pod kątem ryzyk informatycznych. Różnica jest widoczna na pierwszym lepszym przykładzie: jeśli ransomware zablokuje Twoje systemy na 3 dni i firma straci przychód, polisa OC nie wypłaci ani złotówki. Polisa cyber — tak.

Rynek produktów cyberubezpieczeniowych jest w Polsce stosunkowo młody, ale oferta rozwinęła się szybko. Według danych Swiss Re i Hiscox Cyber Readiness Report 2025, zaledwie 10-20% przedsiębiorstw z sektora MŚP ma w portfelu dedykowany produkt cyberubezpieczeniowy (wg Swiss Re i Hiscox). Na rynkach takich jak USA, Wielka Brytania czy Niemcy ten odsetek jest kilkukrotnie wyższy — w Polsce dopiero rośniemy do poziomu, który uzasadnia większa świadomość ryzyka i wchodzące przepisy NIS2.

Co obejmuje dobra polisa cyber dla małej firmy

Typowa polisa obejmuje dwie grupy kosztów.

Koszty własne (first-party)

To wydatki, które firma ponosi bezpośrednio po incydencie:

• Odtworzenie danych i systemów — praca specjalistów IT, zakup nowego oprogramowania lub sprzętu po ataku niszczącym. Przy pełnym ransomware obejmuje to licencje, konfigurację i migrację.
• Zarządzanie incydentem cyfrowym — wynagrodzenie firmy forensics (badanie śledcze), która ustali zakres naruszenia i zabezpieczy dowody. To obowiązek przy naruszeniu danych osobowych wymagającym zgłoszenia do UODO.
• Utrata przychodów — jeśli systemy były niedostępne, polisa może pokryć utracony zysk za czas przestoju. Ważne: zwróć uwagę na waiting period (karencję) — wiele polis nie pokrywa pierwszych 6-12 godzin przerwy.
• Zarządzanie kryzysowe i PR — koszty komunikacji z klientami i mediami po wycieku danych. Zniszczenie reputacji może być droższe niż odtworzenie technicze systemów.
• Okup ransomware — wiele polis zawiera klauzulę pokrycia płatności okupu, choć zakres jest często ograniczony osobnym sublimitem.
• Powiadomienia klientów i podmiotów — RODO nakłada obowiązek poinformowania osób, których dane zostały naruszone. Przy bazie 10 000 klientów koszty notyfikacji (prawne, pocztowe, call center) mogą być znaczące.
• Koszty zewnętrznych ekspertów IT — jeśli własny dział IT nie jest w stanie samodzielnie obsłużyć incydentu, polisa finansuje stawkę zewnętrznego specjalisty od bezpieczeństwa, który często jest uruchamiany przez ubezpieczyciela z preapproved listy dostawców.

Odpowiedzialność cywilna wobec osób trzecich (third-party)

• OC za naruszenie danych osobowych — jeśli klient pozywa Cię za wyciek jego danych, polisa pokrywa koszty obrony prawnej i ewentualne odszkodowanie zasądzone przez sąd.
• Obsługa postępowania UODO — koszty prawnika reprezentującego firmę w postępowaniu administracyjnym. Sama kara pieniężna UODO jest zazwyczaj wyłączona z ochrony (kary publicznoprawne bywają nieobjęte polisą), ale obsługa procedury — już często tak.
• Roszczenia kontrahentów — jeśli incydent u Ciebie spowodował straty u klientów lub dostawców (np. zatrzymanie procesu zakupowego lub ujawnienie tajemnicy handlowej kontrahenta).
• Naruszenia praw własności intelektualnej wynikające z incydentu — rzadsze, ale ubezpieczyciele coraz częściej włączają tę klauzulę w standardowy zakres.

Ważne: Standardowa polisa OC działalności ani ubezpieczenie majątkowe firmy nie obejmuje strat cybernetycznych. To odrębne produkty. Sprawdź warunki swoich obecnych polis — wielu właścicieli firm zakłada, że są chronieni, a w rzeczywistości nie są.

Ile kosztuje polisa cyber dla MŚP w 2026

Ceny są zróżnicowane i zależą od branży, rocznego przychodu, liczby rekordów danych w systemach, historii incydentów i dojrzałości zabezpieczeń IT. Poniższe widełki są orientacyjne dla małych firm polskich — każda polisa wymaga indywidualnej oceny ryzyka przez ubezpieczyciela:

Dane z rynku globalnego potwierdzają trend wzrostowy: według S&P Global Ratings składki w 2026 roku rosną o 15-20% w porównaniu do roku poprzedniego. Dla branż wysokiego ryzyka (opieka zdrowotna, finanse, e-commerce z dużymi bazami danych) wzrosty mogą sięgać 50% powyżej średniej rynkowej.

Jak to zestawić z realnym ryzykiem? Przy pełnym incydencie ransomware w firmie z 10-20 pracownikami — odtworzenie systemów, koszty przestoju, obsługa prawna i notyfikacje klientów — typowy rachunek wynosi od 50 000 do 300 000 PLN. Roczna składka wynosząca 5 000-10 000 PLN wygląda w tym kontekście jak sensowny wydatek operacyjny, nie jak luksus.

Kiedy ubezpieczyciel NIE wypłaci — najczęstsze wykluczenia

To jest fragment, który właściciele firm najczęściej pomijają przy zakupie polisy. Dane są niepokojące: 27% roszczeń dotyczących naruszeń danych jest całkowicie lub częściowo odrzucanych przez ubezpieczycieli (dane z raportu Digital Chiefs 2026 na podstawie danych branżowych).

1. Niezaktualizowane oprogramowanie

Polisy coraz częściej zawierają klauzulę wymagającą utrzymywania aktualności systemów operacyjnych i oprogramowania antywirusowego. Jeśli atak był możliwy przez podatność, dla której patch istniał od miesięcy — a Ty nie zainstalowałeś aktualizacji — ubezpieczyciel może odmówić pokrycia strat, powołując się na niedochowanie wymogów bezpieczeństwa.

Praktyczna konsekwencja: zanim kupisz polisę, zrób prosty audyt — czy wszystkie komputery w firmie mają aktualne systemy, czy oprogramowanie biurowe i ERP jest na bieżąco aktualizowane, czy masz wdrożony proces patch management.

2. Ataki przypisywane państwom (nation-state exclusions)

Większość polis wyklucza szkody z ataków, które organy rządowe lub sądy zakwalifikują jako operacje wojenne lub szpiegowskie. W praktyce przywołanie tej klauzuli przez ubezpieczyciela wymaga formalnej kwalifikacji przez organy ścigania, więc przy typowych incydentach ransomware raczej nie trafiasz na ten wyjątek. Ale w środowiskach narażonych na szpiegostwo (firmy dual-use, obrona, infrastruktura krytyczna) warto wprost zapytać o zakres tej klauzuli.

3. Brak wdrożonych podstawowych zabezpieczeń

Ubezpieczyciele wymagają coraz częściej konkretnych środków technicznych jako warunku zawarcia polisy lub wypłaty odszkodowania:

• Uwierzytelnianie wieloskładnikowe (MFA) na wszystkich kontach z dostępem zewnętrznym (poczta, VPN, pulpit zdalny)
• Regularne kopie zapasowe w modelu 3-2-1 (3 kopie, 2 nośniki, 1 kopia offsite lub w chmurze odizolowanej od sieci)
• Minimalne zarządzanie uprawnieniami — zasada least privilege, osobne konta administratorskie
• Plan reagowania na incydenty — nawet najprostszy dokument opisujący, co robić i kogo dzwonić w pierwszych godzinach po ataku

Jeśli w momencie szkody okaże się, że tych środków nie było, ubezpieczyciel ma podstawę do kwestionowania zasadności roszczeń lub zastosowania franszyzy redukcyjnej.

4. Naruszenia compliance

Jeśli incydent wynikał z rażącego zaniedbania przepisów (np. przechowywanie niezaszyfrowanych haseł, brak jakiegokolwiek zarządzania dostępami, ignoring wcześniejszych alertów bezpieczeństwa), ubezpieczyciel może ograniczyć lub odmówić wypłaty, powołując się na niedochowanie staranności wymaganej od ubezpieczonego.

5. Shadow AI i niezatwierdzone narzędzia

Raport IBM 2025 wskazuje, że użycie nieautoryzowanych narzędzi AI przez pracowników (shadow AI) dodało średnio 670 000 USD do kosztów incydentu w firmach, gdzie ten problem wystąpił. Co ważne, coraz więcej ubezpieczycieli aktualizuje OWU (ogólne warunki ubezpieczenia) o klauzule dotyczące AI governance — brak polityki AI może stać się podstawą do kwestionowania roszczenia, jeśli incydent był powiązany z użyciem niezatwierdzonego narzędzia.

Jak NIS2 zmienia rozmowę o cyberubezpieczeniu

Ustawa o krajowym systemie cyberbezpieczeństwa (implementacja dyrektywy NIS2) w Polsce objęła nowe kategorie podmiotów kluczowych i ważnych w kluczowych sektorach gospodarki. Firmy te muszą teraz formalnie zarządzać ryzykiem, dokumentować środki bezpieczeństwa i raportować incydenty.

NIS2 nie nakazuje wprost zakupu polisy cyber. Ale zmienia dwie konkretne rzeczy:

Po pierwsze, wymaga udokumentowanego zarządzania ryzykiem — a cyberubezpieczenie jest naturalnym elementem strategii przenoszenia ryzyka (risk transfer). Audytorzy, inspektorzy i partnerzy biznesowi coraz częściej pytają, jak firma zarządza ryzykami rezydualnymi — czyli tymi, których nie dało się wyeliminować środkami technicznymi. Posiadanie polisy to konkretna odpowiedź.

Po drugie, firmy podlegające NIS2 mogą ponosić kary do 10 mln EUR lub 2% globalnych przychodów. Polisa cyber może (zależnie od produktu) pokryć koszty postępowania administracyjnego, obsługę prawną i zarządzanie incydentem. Sama kara pieniężna jest jednak zazwyczaj wyłączona z ochrony — to kwestia porządku publicznego, a nie ryzyka handlowego. Sprawdź ten punkt przy zakupie.

Więcej o wymaganiach NIS2 dla firm w Polsce pisaliśmy wcześniej — co MŚP musi zrobić do października 2026 w ramach NIS2.

Jak wybrać polisę — 5 pytań, które warto zadać

Rynek polis cyber rośnie szybko, ale produkt jest skomplikowany. Przed podpisaniem zadaj ubezpieczycielowi te pytania i zażądaj pisemnych odpowiedzi, nie ustnych zapewnień:

1. Czy polisa obejmuje koszty odtworzenia danych i systemów po ransomware, i jaki jest sublimit dla tego ryzyka? Wiele polis ma odrębny, niższy sublimit dla ransomware niż ogólny limit polisy. Przy negocjacji warto to wyrównać lub przynajmniej znać konkretną kwotę.

2. Jakie konkretne warunki techniczne muszę spełniać, żeby polisa była ważna? Poproś o listę wymagań w formie pisemnej — lista wymagań technicznych jako załącznik do umowy. MFA, backup offsite, antywirus: to minimum. Jeśli ich nie spełniasz, napraw to przed zakupem polisy.

3. Czy polisa obejmuje kary UODO i koszty obsługi postępowania? Pełna kompensata kar administracyjnych jest zazwyczaj niemożliwa. Ale koszty obsługi prawnej przy postępowaniu przed UODO — powołanie prawnika, przygotowanie dokumentacji, reprezentacja — często są pokrywane. Zapytaj wprost o każdy z tych elementów osobno.

4. Jaki jest czas reakcji emergency response po zgłoszeniu incydentu? Dobra polisa to nie tylko odszkodowanie wypłacone po miesiącu. To dostęp do emergency response — specjalistów od IT forensics, prawników i PR, których ubezpieczyciel może uruchomić w ciągu kilku godzin po zgłoszeniu. Zapytaj o konkretne SLA (poziom dostępności) i czy masz dostęp 24/7.

5. Co się dzieje, jeśli incydent wykryjesz po 6 miesiącach od włamania? Wiele ataków — zwłaszcza APT (Advanced Persistent Threat) i szpiegostwo danych — jest niewidocznych przez długi czas. Według IBM 2025, średni czas od włamania do wykrycia incydentu wynosi 241 dni, choć to rekordowo niski poziom. Sprawdź, czy polisa ma klauzulę retroaktywną (obejmuje zdarzenia sprzed daty zawarcia) i jakie limity czasowe obowiązują przy zgłoszeniu szkody.

Zanim złożysz wniosek o polisę, warto przejrzeć minimum konfiguracji bezpieczeństwa strony firmowej — wdrożenie tych podstaw obniża rzeczywiste ryzyko i przekłada się na lepsze warunki polisy lub niższą składkę.

Jak wygląda proces zakupu i co firma musi przygotować

W odróżnieniu od ubezpieczenia samochodu, polisa cyber wymaga kwestionariusza oceny ryzyka (tzw. risk assessment questionnaire). Ubezpieczyciel pyta o:

• Liczbę pracowników, obrót i branżę
• Liczbę rekordów danych osobowych w systemach
• Stosowane systemy antywirusowe, EDR i oprogramowanie
• Wdrożenie MFA i backupów
• Wcześniejsze incydenty cyberbezpieczeństwa (jeśli były — nie ukrywaj, to wpływa na warunki, nie na odmowę)
• Posiadanie planu reagowania na incydenty i polityki haseł

Rzetelne wypełnienie kwestionariusza leży w Twoim interesie. Zaniżenie ryzyka we wniosku to podstawa do odmowy wypłaty, gdy dojdzie do szkody.

Przy firmach do ~50 pracowników cały proces zakupu standardowej polisy może zająć 2-5 dni roboczych i zazwyczaj odbywa się przez brokera lub bezpośrednio przez zakład ubezpieczeń. Broker ma tę przewagę, że porównuje oferty kilku ubezpieczycieli i zna rynkowe warunki dla Twojej branży.

Podsumowanie

W 2025 roku CERT Polska odnotował 129 ataków ransomware wymierzonych w firmy. Średni koszt incydentu dla MŚP to 246 000 USD wg danych branżowych — przy rocznej składce na poziomie kilku tysięcy złotych relacja ryzyka do kosztu ubezpieczenia jest klarowna.

Zapamiętaj trzy rzeczy:

• Standardowe polisy OC i majątkowe nie obejmują ryzyk cyfrowych. Jeśli nie masz dedykowanego produktu cyber, przy incydencie jesteś na własny rachunek.
• Polisa jest skuteczna tylko przy spełnieniu warunków technicznych. 27% roszczeń jest odrzucanych. Kup polisę po audycie stanu bezpieczeństwa, nie przed nim.
• Ceny wciąż są dostępne. Dla małej firmy polisa cyber to koszt porównywalny z abonamentem za pakiet Microsoft 365 — i chroni przed stratą, która mogłaby wynieść 100× rocznej składki.

Jeśli chcesz ocenić, czy Twoja firma jest gotowa na zakup polisy cyber lub zidentyfikować luki techniczne, które podnoszą Twoje ryzyko — chętnie to omówimy.