Kybernetické pojištění pro malé a střední firmy: co kryje, kolik může stát škoda a checklist
Co kryje kybernetické pojištění firmy v Česku, rozdíl oproti pojištění odpovědnosti, ilustrativní výpočet nákladů incidentu, požadavky pojišťoven na zabezpečení a NIS2.
Kybernetické pojištění kryje vaše vlastní náklady po kybernetickém incidentu (forenzní analýza, obnova dat a systémů, právní pomoc, notifikace, krizová komunikace, výpadek provozu) a nároky třetích osob po úniku dat nebo přenosu škodlivého kódu. Běžné pojištění odpovědnosti podnikatele tyto škody obvykle nekryje, protože jde o čisté finanční škody nebo o škody na datech, které podmínky vylučují. Pro malou firmu s e-shopem, osobními údaji zákazníků nebo závislostí na IT může jeden incident znamenat statisíce korun. Pojišťovny přitom stále častěji podmiňují krytí minimálními bezpečnostními opatřeními: zálohami mimo síť, vícefaktorovým ověřením a aktualizacemi. Níže je výpočet modelového incidentu, přehled krytí a kontrolní seznam. Další typy pojištění porovnává srovnání druhů pojištění.
Co kybernetické pojištění obvykle kryje
| Oblast | Co sem patří | Poznámka |
|---|---|---|
| Reakce na incident | IT forenzní tým, právník, krizová linka | Často od prvního dne, s doporučenými dodavateli pojišťovny |
| Obnova dat a systémů | Práce IT na obnově, reinstalace | Nové vybavení obvykle jen omezeně |
| Přerušení provozu | Ušlý zisk a fixní náklady během výpadku | Čekací doba (např. 8–12 hodin), sublimit |
| Kybernetické vydírání | Vyjednávání, případně výkupné, pokud je to právně přípustné | Zúžené nebo vyloučené u některých pojišťoven |
| Odpovědnost za únik dat | Nároky zákazníků a partnerů | Spolu s náklady obrany |
| Řízení před dozorovým úřadem | Náklady obrany v řízení podle GDPR | Pokuty bývají kryté jen tam, kde jsou pojistitelné |
| Notifikace | Oznámení subjektům údajů a úřadu | Povinnosti podle GDPR |
Obvykle vyloučeno: vědomé zanedbání aktualizací, které pojišťovna vyžaduje, válečné a státem řízené útoky (podle definic v podmínkách), výpadky infrastruktury (elektřina, internet) mimo vaši kontrolu, smluvní pokuty, ztráta hodnoty kryptoměn. Podvodné platby na základě falešného e-mailu (tzv. CEO fraud) bývají samostatný modul se sublimitem.
Ilustrativní výpočet: ransomware v malé firmě
Smyšlená firma: velkoobchod s e-shopem, 18 zaměstnanců, obrat 60 000 000 Kč ročně, tedy zhruba 230 000 Kč obratu za pracovní den (60 000 000 / 260). Hrubá marže 25 %.
Incident: ransomware zašifruje server a účetnictví, e-shop nefunguje 6 pracovních dní.
| Náklad | Výpočet | Částka |
|---|---|---|
| Ušlá hrubá marže | 230 000 × 6 × 25 % | 345 000 Kč |
| Forenzní analýza a obnova | 120 hodin × 2 000 Kč | 240 000 Kč |
| Právník a notifikace | odhad | 60 000 Kč |
| Přesčasy zaměstnanců | 18 × 15 hodin × 350 Kč | 94 500 Kč |
| Celkem | 739 500 Kč |
Pojištění s limitem 3 000 000 Kč, spoluúčastí 25 000 Kč a čekací dobou 12 hodin pro přerušení provozu: první půlden výpadku (12 hodin, zde zjednodušeně polovina jednoho dne) nese firma, tedy 230 000 × 0,5 × 25 % = 28 750 Kč. Pojistné plnění ≈ 739 500 − 28 750 − 25 000 = 685 750 Kč. Firma ponese 53 750 Kč.
Pokud by firma neměla funkční offline zálohy a podmínky je vyžadovaly, mohla by pojišťovna plnění krátit nebo odmítnout. Čísla jsou ilustrativní a skutečný výpočet ušlého zisku stanoví pojistné podmínky.
Kybernetické pojištění vs. pojištění odpovědnosti
| Otázka | Pojištění odpovědnosti podnikatele | Kybernetické pojištění |
|---|---|---|
| Vlastní náklady na obnovu IT | Ne | Ano |
| Výpadek provozu po útoku | Ne | Ano (se sublimitem) |
| Nároky zákazníků po úniku dat | Obvykle ne nebo omezeně | Ano |
| Škoda zákazníkovi na zdraví nebo věci | Ano | Ne |
Kybernetické pojištění proto nenahrazuje pojištění odpovědnosti podnikatele, ale doplňuje ho.
Požadavky pojišťoven na zabezpečení
Před sjednáním počítejte s dotazníkem o zabezpečení. Typicky se ptá na:
- Zálohy: pravidelné, oddělené od sítě (offline nebo neměnné), testovaná obnova.
- Vícefaktorové ověření pro e-mail, vzdálený přístup a administrátorské účty.
- Aktualizace operačních systémů a aplikací v rozumné lhůtě.
- Antivir a EDR na koncových zařízeních.
- Školení zaměstnanců proti phishingu.
- Oddělení účtů a řízení oprávnění.
- Postup pro platby: ověřování změn bankovních účtů dodavatelů telefonicky.
Na dotazník platí stejné zásady jako u jiných pojištění: odpovídejte pravdivě; viz dotazník pojišťovny. Pokud uvedete vícefaktorové ověření a ve skutečnosti ho nemáte, je to rizikem pro plnění.
Regulace: GDPR a NIS2
- GDPR: při porušení zabezpečení osobních údajů má správce povinnost ohlásit ho Úřadu pro ochranu osobních údajů zpravidla do 72 hodin a v některých případech informovat dotčené osoby.
- NIS2: evropská směrnice o kybernetické bezpečnosti rozšiřuje okruh firem s povinnostmi v oblasti kybernetické bezpečnosti, včetně řady středních podniků v regulovaných odvětvích. V Česku ji provádí zákon č. 264/2025 Sb., o kybernetické bezpečnosti, účinný od 1. 11. 2025 (nahradil zákon č. 181/2014 Sb.); zda se na vás vztahuje a v jakém režimu (vyšší, nebo nižší povinnosti), ověřte na webu Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB), který nabízí i samoidentifikační nástroj.
Jak srovnat nabídky kybernetického pojištění
Obecný postup je stejný jako u ostatních pojištění odpovědnosti; viz srovnání nabídek pojištění odpovědnosti. U kybernetického pojištění navíc porovnejte:
| Parametr | Proč je důležitý |
|---|---|
| Sublimit pro přerušení provozu | Často nejvyšší položka škody |
| Čekací doba | Krátké výpadky do čekací doby nesete sami |
| Asistenční služba 24/7 | Rychlost reakce ovlivní rozsah škody |
| Krytí podvodných plateb | Častý incident, často nízký sublimit |
| Požadavky na zabezpečení | Nesplnění může vést ke krácení plnění |
| Krytí dodavatelů IT a cloudových služeb | Výpadek u dodavatele nemusí být kryt |
Malé firmy a živnostníci s e-shopem mohou volit produkty s nižším limitem; jak volit limit podle velikosti, ukazuje i článek pojištění pro OSVČ a živnostníky. U větších firem se kybernetické riziko propojuje s odpovědností vedení; viz D&O pojištění.
Časté dotazy
Je kybernetické pojištění pro malou firmu drahé?
Pojistné závisí na obratu, oboru, množství zpracovávaných osobních údajů a úrovni zabezpečení. Pro malé firmy existují produkty s nižšími limity. Ověřte hlavně sublimity a čekací doby.
Platí pojišťovna výkupné?
Záleží na podmínkách a na právu. Řada pojišťoven výkupné vylučuje nebo podmiňuje souhlasem. Prioritou by měla být obnova ze záloh.
Kryje pojištění i podvodnou platbu na falešný účet?
Jen pokud je sjednán modul pro sociální inženýrství nebo podvodné platby, obvykle s nízkým sublimitem. Prevencí je ověřování změn účtů telefonicky.
Zdroje
- Národní úřad pro kybernetickou a informační bezpečnost — NIS2, povinnosti a doporučení
- Úřad pro ochranu osobních údajů — ohlašování porušení zabezpečení osobních údajů
- Česká národní banka — ověření pojišťovny a zprostředkovatele
- EUR-Lex — nařízení GDPR a směrnice NIS2
