Uzupełnienie do BSI-CS 154: co obejmuje ubezpieczenie cyber w przypadku zhakowanych sterowników – na przykładzie Stoïk

W naszym artykule o BSI-CS 154 wyjaśniliśmy ogólnie, dlaczego ubezpieczenie cyber nie płaci automatycznie za wszystko w przypadku zhakowanych sterowników. Tutaj robi się konkretnie: przeanalizowaliśmy warunki ubezpieczenia cyber Stoïk (Cyber Serenity w wariantach Standard, wersja DE2609.2, i Custom, wersja DE2609.1) klauzula po klauzuli na typowym przypadku – zmanipulowanej instalacji chłodniczej.

Zleć sprawdzenie ochrony cyber

Najważniejsze w skrócie

• Sterowniki się liczą: Według warunków do ubezpieczonego systemu komputerowego należy także technika, która jest dostępna przez internet lub intranet i należy do firmy lub jest przez nią kontrolowana.
• Zepsucie jest uregulowane: Klauzula zepsucia pokrywa zepsuty towar, surowce i półprodukty w następstwie ubezpieczonej przerwy w działalności.
• Szkody rzeczowe w urządzeniach można ubezpieczyć w ramach modułu „szkody w substancji rzeczy” – o ile uzgodniono.
• Uwaga na kolejność: W przypadku zepsucia i szkód w substancji rzeczy pierwszeństwo ma istniejące ubezpieczenie mienia.
• Twój obowiązek: cotygodniowe, chronione kopie zapasowe – w przeciwnym razie grozi obniżenie świadczenia lub zwolnienie ubezpieczyciela z obowiązku świadczenia.

Przypadek: piątkowa noc w chłodni

Sklep spożywczy w powiecie zleca technikowi chłodnictwa zdalną obsługę serwisową swojego sterownika chłodzenia. Dostęp jest osiągalny przez internet, hasło od lat to samo. W nocy z piątku na sobotę nieznani sprawcy logują się i podnoszą temperatury zadane. Rano towar w ladach chłodniczych i zamrażarkach jest zepsuty, sprężarka jest przegrzana, sklep pozostaje zamknięty przez dwa dni. Tak lub podobnie przebiegało to w październiku w supermarketach w kilku krajach europejskich – więcej w naszym artykule Hakerzy podgrzewają zamrażarki.

Co przewidują warunki Stoïk w tym przypadku

Najpierw podstawowe pytanie: czy sterownik chłodzenia w ogóle jest „systemem komputerowym”? Zgodnie z pkt. II.1.1 należą do niego sprzęt, oprogramowanie i ich komponenty, które są częścią systemu dostępnego przez internet lub intranet i należą do firmy, są przez nią kontrolowane, eksploatowane lub leasingowane. Sterownik z dostępem do zdalnego serwisu zgodnie z tym brzmieniem z reguły się do tego zalicza – wyjaśnimy to chętnie z góry lub indywidualnie dla ciebie. Nieuprawniony dostęp jest naruszeniem bezpieczeństwa sieci, a tym samym zdarzeniem uruchamiającym poniższe świadczenia:

W przypadku utraty zysku i zepsucia liczą się dwie wartości w polisie: okres oczekiwania (szkoda w tym czasie nie jest uwzględniana) i okres odszkodowawczy (jak długo maksymalnie wypłacane jest świadczenie). Oba zaczynają biec od zgłoszenia u ubezpieczyciela. Im szybciej zgłosisz, tym wcześniej rusza zegar. To, czy w twoim przypadku zepsucie liczy się już w pierwszych godzinach, zależy od uzgodnionego okresu oczekiwania – wyjaśnimy to chętnie z góry lub indywidualnie dla ciebie.

Kto płaci pierwszy: ubezpieczenie cyber czy ubezpieczenie mienia?

Zasadniczo polisa Stoïk ma pierwszeństwo przed innymi umowami (pkt. VI.8). Wyraźnie wyłączone są szkody w surowcach (zepsucie) i szkody w substancji rzeczy. Tu najpierw płaci inne istniejące ubezpieczenie, np. twoje ubezpieczenie mienia firmy, towaru chłodzonego, maszyn lub elektroniki. Polisa cyber wchodzi w grę, o ile polisa mienia nie wypłaca świadczenia – na przykład dlatego, że wyklucza cyberataki.

Dla ciebie oznacza to: połóż obie umowy obok siebie. Dopiero wtedy zobaczysz, czy zepsuty towar i uszkodzone instalacje są zabezpieczone bez luk, czy też płacisz podwójnie.

Granice: co nie jest ubezpieczone

• Ubezpieczenie szkód majątkowych: Szkody osobowe i rzeczowe są zasadniczo wyłączone (pkt. IV.6). Wyjątkami są szkody w sprzęcie według III.2.3, szkody w substancji rzeczy według III.2.13 oraz szkody niematerialne wynikające z naruszeń ochrony danych.
• Substancja rzeczy tylko, jeśli uzgodniono: Jeśli modułu nie ma w polisie, przegrzana sprężarka pozostaje sprawą ubezpieczenia mienia. Nieubezpieczone są tam m.in. pojazdy, zwierzęta i rzeczy w transporcie.
• Awaria cudzej infrastruktury: W przypadku awarii publicznej sieci elektrycznej lub internetowej ochrona nie przysługuje (pkt. IV.21). Problemy techniczne są ubezpieczone tylko w odniesieniu do własnego zasilania.
• Wojna i państwowe operacje cybernetyczne są wyłączone zgodnie z pkt. IV.16.
• Własne produkty i usługi: Roszczenia z tytułu odpowiedzialności za wadliwe produkty lub usługi ubezpieczonej firmy nie są ubezpieczone (pkt. IV.4). Dla firm serwisowych decydujące jest więc ubezpieczenie OC zawodowej lub OC działalności.
• Sumy i udział własny: Na każdy wypadek ubezpieczeniowy obowiązuje suma ubezpieczenia, na każdy rok roczny limit świadczeń, do tego limity odszkodowania i udział własny zgodnie z polisą (pkt. VI.4, VI.5).
• Szkoda seryjna: Jeśli ten sam sprawca przez tę samą lukę zaatakuje kilka filii, uznaje się to za jeden wypadek ubezpieczeniowy (pkt. VI.7). Suma musi wystarczyć na wszystkie lokalizacje.

Twoje obowiązki: kopie zapasowe są warunkiem

Pkt. V.1.1 czyni kopie zapasowe warunkiem ochrony ubezpieczeniowej. Zabezpieczone muszą być wszystkie dane i „elementy krytyczne” systemu komputerowego – czyli oprogramowanie i dane, których przywrócenie kosztowałoby ponad pięć osobodni:

• co najmniej raz w tygodniu, z przechowywaniem przez co najmniej dwa tygodnie,
• jako kopia offline (np. taśma lub dysk zewnętrzny, odłączone od sieci), kopia niezmienialna (nawet administrator nie może jej usunąć) lub kopia bezpieczna (odizolowana, odcięta zaporą sieciową, dostęp tylko z uwierzytelnianiem wieloskładnikowym).
• Wariant Custom: Tutaj kopie zapasowe muszą być dodatkowo dokumentowane i co najmniej raz w roku testowane w sposób możliwy do wykazania. Poza tym oba zestawy warunków są zgodne w omawianych tu punktach.
• Uwaga: niektóre rozwiązania NAS, których ochronę administrator może obejść, według warunków nie są uznawane za niezmienialne.

Nasza praktyczna wskazówka: Nie myśl przy tym tylko o IT biurowym. Także parametry, programy i konfiguracja twojego sterownika chłodzenia, ogrzewania lub maszyn należą do kopii zapasowej – poproś swojego usługodawcę serwisowego o przekazanie kopii.

Jeśli umyślnie naruszysz obowiązek umowny, ubezpieczyciel jest zwolniony z obowiązku świadczenia; przy rażącym niedbalstwie może obniżyć świadczenie proporcjonalnie do stopnia winy (pkt. V.1.2). Zachowujesz ochronę, jeśli udowodnisz, że naruszenie nie było przyczyną szkody. Warto zauważyć: koszty informatyki śledczej świadczonej przez partnera CERT-Stoïk nie są obniżane nawet w takim przypadku.

Równie ważne są informacje we wniosku (pkt. VI.10): to, co podajesz na temat stanu bezpieczeństwa, musi być zgodne z prawdą. A w razie szkody obowiązuje: niezwłocznie zgłosić przez infolinię podaną w polisie (pkt. V.2.1) – to też uruchamia okres oczekiwania i okres odszkodowawczy.

Zdalny serwis: dlaczego liczy się umowa serwisowa

Także w warunkach Stoïk pojawia się zdalny serwis: w module oszustw cybernetycznych (o ile uzgodniono) wyłączone są szkody wynikające ze zdalnego dostępu, na który sam wyraziłeś zgodę. Wyraźnie nie dotyczy to usługodawców IT ani zewnętrznych dostawców usług, którzy działają w ramach umownie uzgodnionego stosunku świadczenia usług lub serwisu (pkt. III.4.2). Pisemna umowa serwisowa jest więc ważna nie tylko dla bezpieczeństwa, ale także dla ochrony ubezpieczeniowej. Jakie punkty powinna zawierać, zestawiliśmy w artykule o BSI-CS 154.

Jeśli szkodę spowodował usługodawca, pomaga moduł ochrony prawnej z ROLAND: osiem obszarów, w tym ochrona prawna w zakresie danych i cyber, umów i odszkodowań, do 250.000 € na sprawę. Według dostawcy w nowych umowach firm o rocznym obrocie do 150 mln € jest on zawarty bez dopłaty – wyjaśnimy to chętnie z góry lub indywidualnie dla ciebie.

Zapobiegać, a nie tylko płacić

BSI-CS 154 wymaga regularnego sprawdzania, czy urządzenia są dostępne z zewnątrz. Właśnie to należy w Stoïk do świadczeń prewencyjnych (pkt. III.1.1): zewnętrzny skan, który monitoruje i zgłasza luki widoczne z zewnątrz, do tego symulacje phishingu, skan Active Directory (uprawnienia użytkowników, polityki haseł, aktualność) i skan chmury. Więcej w naszym artykule Ubezpieczenie cybernetyczne z prewencją: co oferuje Stoïk. Ważne: skan nie zastępuje pracy twojego usługodawcy serwisowego przy samym sterowniku.

Lista kontrolna przed zawarciem umowy

1. Które sterowniki i instalacje są podłączone do sieci – i czy są wymienione we wniosku?
2. Czy uzgodniono moduł szkód w substancji rzeczy?
3. Jak długie są okres oczekiwania i okres odszkodowawczy i jakie są limity odszkodowania za przerwę w działalności i zepsucie?
4. Co płaci twoje ubezpieczenie mienia firmy, towaru chłodzonego lub maszyn – i czy wyklucza cyberataki?
5. Czy suma ubezpieczenia wystarczy, jeśli wszystkie lokalizacje zostaną dotknięte jednocześnie?
6. Czy twoja koncepcja kopii zapasowych spełnia wymagania – także dla sterowników?
7. Czy istnieje pisemna umowa serwisowa z obowiązkami bezpieczeństwa dla zdalnego dostępu?

Nasza oferta: Pośredniczymy w ubezpieczeniu cyber Stoïk i zestawiamy je dla ciebie z twoimi istniejącymi ubezpieczeniami mienia – aby zepsuty towar, przestój i uszkodzone instalacje nie wpadły w lukę między dwiema umowami. Więcej: Cyberbezpieczeństwo dla firm.

Najczęstsze pytania

Czy ubezpieczenie cyber płaci za zepsuty towar po ataku hakerskim?

To zależy od warunków ubezpieczenia. Ubezpieczenie cyber Stoïk (Cyber Serenity, warunki DE2609.2 Standard i DE2609.1 Custom) zawiera klauzulę zepsucia: pokrywane są koszty zmienne wynikające z zepsucia towarów, surowców lub półproduktów w następstwie ubezpieczonej przerwy w działalności, łącznie z utylizacją i zakupem zastępczym. Jeśli dodatkowo istnieje ubezpieczenie mienia, które obejmuje szkodę, ma ono pierwszeństwo.

Czy sterownik chłodzenia lub maszyn jest objęty ubezpieczeniem cyber?

Według warunków Stoïk do systemu komputerowego należą sprzęt i oprogramowanie, które są częścią systemu dostępnego przez internet lub intranet i należą do firmy lub są przez nią kontrolowane. Sterownik osiągalny przez zdalny serwis zgodnie z tym brzmieniem z reguły się do tego zalicza. Wyjaśnimy to chętnie z góry lub indywidualnie dla ciebie.

Jakich kopii zapasowych wymaga Stoïk?

Warunkiem ochrony ubezpieczeniowej są co najmniej cotygodniowe kopie zapasowe wszystkich danych i elementów krytycznych systemu komputerowego z przechowywaniem przez co najmniej dwa tygodnie – jako kopia offline, niezmienialna lub bezpieczna. W wariancie Custom kopie zapasowe muszą być ponadto dokumentowane i co najmniej raz w roku testowane, a test udokumentowany. Niektórych rozwiązań NAS, których niezmienialność administrator może obejść, Stoïk nie uznaje za niezmienialne.

Co się dzieje, gdy kilka filii zostanie zaatakowanych przez tę samą lukę?

Wtedy ma zastosowanie klauzula szkody seryjnej: kilka wypadków ubezpieczeniowych o tej samej lub podobnej przyczynie uznaje się za jeden wypadek ubezpieczeniowy. Suma ubezpieczenia na jeden wypadek musi więc wystarczyć na wszystkie dotknięte lokalizacje łącznie.

Serdeczne pozdrowienia od KiS

Wskazówka: Informacja ogólna, stan na 05.11.2026, nie stanowi porady prawnej ani indywidualnego doradztwa. Stoïk służy tu jako przykład; to, która taryfa pasuje do twojej firmy, zależy od indywidualnego przypadku. Decydujące są wyłącznie warunki i polisa twojej umowy; moduły „o ile uzgodniono” obowiązują tylko wtedy, gdy są tam wymienione. Źródła: Stoïk, warunki Cyber Serenity – Standard (DE2609.2) i – Custom (DE2609.1); Stoïk, glosariusz modułów ubezpieczeniowych; Stoïk, moduł ochrony prawnej z ROLAND Rechtsschutz; BSI-CS 154 (13.10.2026). KiS – Kontor im Schwarzwald GmbH, broker ubezpieczeniowy z zezwoleniem zgodnie z § 34d Abs. 1 GewO, Reg.-Nr. D-PS74-61V96-00.

👉 Zleć sprawdzenie ochrony cyber

← Wszystkie artykuły