Predstavljajte si, da v ponedeljek zjutraj pridete v podjetje, prižgete računalnik in ugotovite, da ne morete dostopati do poslovnih programov. Naročila so nedosegljiva, zaposleni ne morejo opravljati svojega dela, spletna trgovina ne deluje, stranke pa čakajo na odgovore. Kmalu se izkaže, da je podjetje postalo žrtev kibernetskega napada.
Vaša prva skrb je verjetno, kako čim prej znova vzpostaviti poslovanje. Toda medtem ko strokovnjaki odpravljajo posledice napada, se lahko začnejo kopičiti stroški. Zaposleni še vedno potrebujejo plačo, najemnina zapade v plačilo, dobavitelji pričakujejo svoje obveznosti, prihodki pa se lahko močno zmanjšajo ali celo začasno ustavijo.
Takrat se pojavi pomembno vprašanje: kdo bo plačal račun za dneve ali tedne, ko podjetje zaradi kibernetskega napada ne more normalno poslovati?
Odgovor ni vedno preprost. Odvisen je od obsega škode, načina prekinitve poslovanja, sklenjenih zavarovanj in predvsem od pogojev konkretne zavarovalne police.
Kibernetski napad lahko ustavi poslovanje tudi brez fizične škode
Ko govorimo o škodi v podjetju, si pogosto predstavljamo požar, poplavo, poškodovano opremo ali uničeno zalogo. Pri kibernetskem napadu pa je lahko vse videti povsem običajno. Poslovni prostori stojijo, računalniki so na mizah, stroji so na svojem mestu, zaposleni so pripravljeni na delo.
Kljub temu podjetje ne more delovati.
Napadalci lahko zaklenejo poslovne podatke, onemogočijo dostop do informacijskih sistemov, okužijo strežnike ali povzročijo motnje v delovanju ključnih programov. V nekaterih primerih podjetje zaradi varnosti samo izklopi del sistema, da prepreči širjenje napada.
Posledice so lahko zelo konkretne:
- spletna trgovina ne sprejema naročil;
- proizvodnja obstane, ker zaposleni nimajo dostopa do proizvodnih podatkov;
- računovodstvo ne more izdajati računov ali obdelovati plačil;
- skladišče ne more preverjati zalog in pripravljati pošiljk;
- zaposleni ne morejo dostopati do dokumentacije, potrebne za delo;
- podjetje ne more zagotavljati storitev, za katere je pogodbeno zavezano.
V takšnih okoliščinah nastane posebna vrsta poslovnega tveganja. Podjetje morda nima večje neposredne škode na fizičnem premoženju, vendar vseeno izgublja denar.
Prav zato je pomembno, da podjetnik ne razmišlja samo o tem, kako zavarovati računalnike in drugo opremo, ampak tudi o finančnih posledicah morebitne prekinitve poslovanja.
Kateri stroški nastajajo, ko podjetje ne more poslovati?
Največja težava pogosto ni samo odpravljanje napada. Težava je tudi v tem, da številni stroški nastajajo naprej, čeprav podjetje ne ustvarja običajnih prihodkov.
Predstavljajte si manjše proizvodno podjetje, ki zaradi napada za deset dni izgubi dostop do ključnih informacijskih sistemov. Proizvodnja se ustavi, naročil ni mogoče pravočasno izpolniti, kupci pa začnejo iskati druge dobavitelje.
V tem času lahko nastanejo različni stroški.
1. Izpad prihodkov in izgubljeni dobiček
Če podjetje ne more prodajati izdelkov ali opravljati storitev, se lahko njegovi prihodki bistveno zmanjšajo.
Toda pri ocenjevanju finančne škode ni dovolj, da preprosto seštejemo vse neizvedene prodaje. Pomembno je ugotoviti, kateri prihodki so bili dejansko izgubljeni, kateri stroški bi bili povezani z njihovo ustvaritvijo prihranjeni in kakšen je bil vpliv prekinitve na poslovanje.
Zavarovalno kritje za izgubo dohodka oziroma dobička lahko pod določenimi pogoji pomaga ublažiti takšne posledice. Vendar to še ne pomeni, da vsaka kibernetska polica krije vsak izpad prihodkov.
Preveriti je treba, kako polica opredeljuje zavarovano izgubo, kateri dogodki so vključeni in kakšna dokazila so potrebna za uveljavljanje zahtevka.
2. Plače zaposlenih in drugi redni stroški
Podjetje lahko v času prekinitve poslovanja še vedno nosi stroške zaposlenih, najema poslovnih prostorov, leasinga, računovodstva in drugih pogodbenih obveznosti.
Če zaposleni ne morejo opravljati svojega običajnega dela, to ne pomeni, da vsi stroški samodejno izginejo. Podjetje mora zato imeti dovolj finančne rezerve, ustrezno organiziran odziv na incident ali drugo rešitev za premostitev obdobja brez običajnih prihodkov.
Ali lahko zavarovanje prispeva k pokrivanju teh stroškov, je odvisno od dogovorjenega kritja in načina obračuna škode. Nekatere postavke se lahko upoštevajo pri izračunu zavarovalnine, druge pa ne nujno v celoti ali neposredno.
3. Stroški strokovnjakov za odpravo napada
Po kibernetskem incidentu podjetje pogosto potrebuje pomoč strokovnjakov za informacijsko varnost. Ti lahko ugotavljajo, kako je prišlo do vdora, preverjajo, kateri podatki so bili prizadeti, odstranjujejo zlonamerno programsko opremo in pomagajo pri ponovni vzpostavitvi sistemov.
Dodatno lahko nastanejo stroški obnove podatkov, ponovne namestitve programske opreme, varnostnega preverjanja in nujne tehnične podpore.
Določene stroške je mogoče vključiti v kibernetsko zavarovanje, če jih predvideva polica in so izpolnjeni zahtevani pogoji. Pomembno je tudi, ali je treba pred najemom strokovnjakov pridobiti soglasje zavarovalnice oziroma uporabiti njeno mrežo izvajalcev.
V nujnem primeru zato ni dobro predpostaviti, da bodo vsi naknadno nastali računi samodejno povrnjeni.
4. Stroški zaradi zamud in neizpolnjenih pogodb
Če podjetje zaradi napada ne more pravočasno dobaviti izdelkov ali opraviti dogovorjenih storitev, lahko pride do reklamacij, dodatnih logističnih stroškov ali pogodbenih zahtevkov kupcev.
Vendar je treba razlikovati med lastno finančno izgubo podjetja in odgovornostjo do drugih oseb. Kritje za prekinitev poslovanja ne pomeni nujno tudi kritja vseh pogodbenih kazni, odškodnin ali drugih zahtevkov strank.
Takšne postavke je treba preveriti posebej, saj so lahko zanje določene omejitve ali izključitve.
Ali običajno zavarovanje podjetja krije kibernetski izpad poslovanja?
To je eno najpomembnejših vprašanj, ki bi si ga moral zastaviti vsak podjetnik, ki je pri svojem delu odvisen od računalnikov, programske opreme, podatkov ali spletnih storitev.
Podjetje ima lahko sklenjeno zavarovanje poslovnih prostorov, opreme, zalog in odgovornosti. Vendar to še ne zagotavlja, da je zaščiteno tudi pred finančnimi posledicami kibernetskega napada.
Klasična zavarovanja premoženja in obratovalnega zastoja so pogosto vezana na določene zavarovane dogodke in načine nastanka škode. Kibernetski incident je lahko obravnavan drugače, zlasti kadar ni fizične poškodbe zavarovanega premoženja.
Zato ni dovolj, da podjetnik v dokumentaciji najde izraz »obratovalni zastoj« in sklepa, da je zaščiten tudi pred napadom na informacijski sistem.
Pomembno je preveriti:
- ali so kibernetski dogodki izrecno vključeni v kritje;
- ali mora pred prekinitvijo poslovanja nastati tudi določena fizična škoda;
- ali je kritje vezano na napad na lastne sisteme ali vključuje tudi motnje pri zunanjem ponudniku;
- katere vrste finančnih izgub so priznane;
- kakšna je odbitna franšiza in ali velja čakalna doba;
- koliko časa lahko traja kritje izpada in kakšna je najvišja zavarovalnina.
Prav v teh podrobnostih je lahko razlika med polico, ki podjetju v težkem trenutku dejansko pomaga, in polico, ki ne krije izgube, na katero je podjetnik računal.
Kako lahko pomaga kibernetsko zavarovanje?
Kibernetsko zavarovanje je namenjeno obravnavi določenih tveganj, povezanih s kibernetskimi incidenti. Glede na izbrano kritje lahko vključuje pomoč pri odzivu na incident, določene stroške strokovnjakov, obnovo sistemov ali podatkov, obravnavo nekaterih zahtevkov ter finančne posledice prekinitve poslovanja.
Pri izpadu poslovanja je posebej pomembno preveriti, ali polica vključuje kritje za prekinitev poslovanja zaradi kibernetskega dogodka.
V praksi se lahko pogoji med zavarovalnimi produkti precej razlikujejo. Nekatere police lahko določene vrste izpadov krijejo le, če so izpolnjeni posebni pogoji, druge pa lahko vključujejo tudi določene motnje pri zunanjih ponudnikih storitev.
Predstavljajmo si podjetje, ki za poslovanje uporablja spletno naročanje, računovodski program v oblaku in zunanjega ponudnika za gostovanje spletne strani. Če pride do kibernetskega incidenta pri enem od teh sistemov, je lahko podjetje prizadeto, čeprav napad ni neposredno usmerjen v njegove lastne strežnike.
Ali bi bila takšna prekinitev zavarovana? Odgovor je odvisen od tega, kako polica opredeljuje kibernetski dogodek, zavarovane sisteme in morebitne zunanje ponudnike.
Prav zato je treba preveriti konkretne pogoje in ne zgolj splošnega opisa produkta.
Kaj pa, če je napad povzročil zunanji ponudnik?
Sodobna podjetja so pogosto odvisna od storitev, ki jih ne upravljajo sama. Uporabljajo lahko zunanje strežnike, sisteme za spletno prodajo, plačilne rešitve, poslovne programe v oblaku ali storitve za shranjevanje podatkov.
Če pride do večje motnje pri enem od ponudnikov, lahko posledice občuti tudi podjetje, ki je sicer skrbelo za lastno varnost.
Pri tem je pomembna razlika med običajnim tehničnim izpadom in izpadom, ki je posledica kibernetskega napada. Zavarovalna polica lahko ta dogodka obravnava različno.
Nekatera kritja lahko vključujejo določene incidente pri zunanjih ponudnikih, vendar so lahko takšne možnosti omejene na imenovane ponudnike, določene storitve ali posebej dogovorjene pogoje. Lahko veljajo tudi posebne omejitve glede trajanja prekinitve ali višine povračila.
Podjetnik mora zato razmišljati širše: ni pomembno samo, ali so zavarovani njegovi računalniki, ampak tudi, kaj se zgodi, če odpove ključna digitalna storitev, brez katere podjetje ne more delovati.
Koliko časa mora trajati izpad, da je škoda lahko zavarovana?
To vprašanje je pogosto spregledano.
Predstavljajmo si, da je podjetje zaradi napada brez dostopa do poslovnega sistema šest ur. V drugem primeru pa obnova traja pet dni. Finančne posledice so lahko povsem različne.
Pri nekaterih zavarovalnih kritjih je lahko določena čakalna doba oziroma minimalno trajanje prekinitve, preden se začnejo upoštevati upravičene izgube. Pomembno je tudi, kako se določa začetek in konec zavarovane prekinitve ter katere stroške je mogoče uveljavljati v tem obdobju.
Poleg tega ima lahko polica določen najdaljši čas kritja, najvišji znesek povračila ali posebne podlimite za posamezne stroške.
Podjetje, ki si ne more privoščiti niti enega dne brez poslovanja, zato ne bi smelo preveriti zgolj višine zavarovalne vsote. Pomembno je tudi, ali dogovorjeni pogoji ustrezajo realnemu času, ki bi ga potrebovalo za obnovo poslovanja.
Primer: pet dni brez dostopa do poslovnih sistemov
Poglejmo poenostavljen primer podjetja, ki običajno ustvarja prihodke vsak delovni dan. Zaradi kibernetskega napada za pet delovnih dni ne more sprejemati naročil in izvajati storitev.
V tem času se pojavijo tri težave:
- Podjetje izgubi del načrtovanih prihodkov, ker naročil ne more obdelati.
- Fiksni stroški, kot so najemnina in druge redne obveznosti, še naprej nastajajo.
- Za obnovo sistema potrebuje zunanje strokovnjake in dodatno tehnično podporo.
Skupna finančna posledica je lahko bistveno večja od samega računa za računalniške storitve.
Toda tudi v takšnem primeru ni mogoče vnaprej trditi, da bo zavarovalnica povrnila vse nastale stroške. Pri obravnavi zahtevka bo pomembno, kaj določa polica, katere izgube so priznane, kakšna dokazila so na voljo in ali so izpolnjeni vsi pogoji za kritje.
Podjetje bo morda moralo predložiti poslovne evidence, podatke o prihodkih, dokumentacijo o dogodku, račune za sanacijo in druge informacije, potrebne za izračun škode.
To je tudi razlog, zakaj je koristno že pred incidentom vedeti, katere podatke je treba hraniti in kako hitro je treba obvestiti zavarovalnico.
Kaj mora podjetje storiti takoj po kibernetskem napadu?
Ko podjetje ugotovi, da je prišlo do kibernetskega incidenta, je najpomembnejše omejiti škodo, zavarovati podatke in začeti urejeno obnovo poslovanja.
Ob tem je smiselno upoštevati naslednje korake:
1. Omejite širjenje napada.
Vključite odgovorno osebo za informacijsko varnost oziroma ustreznega strokovnjaka. Ukrepi morajo biti prilagojeni incidentu, saj lahko nepremišljeno ravnanje povzroči dodatno škodo ali uniči pomembne dokaze.
2. Čim prej obvestite ustrezne osebe.
Če imate sklenjeno kibernetsko zavarovanje, preverite postopek prijave dogodka in obvestite zavarovalnico v skladu s pogoji police. Če polica določa uporabo dogovorjenih izvajalcev ali predhodno odobritev stroškov, je to pomembno upoštevati, kadar okoliščine to dopuščajo.
3. Dokumentirajte dogodek in nastalo škodo.
Zabeležite, kdaj so se težave začele, kateri sistemi so bili prizadeti, koliko časa je trajal izpad in kateri stroški so nastali. Shranite račune, poročila strokovnjakov in ustrezne poslovne evidence.
4. Poskrbite za varno obnovo poslovanja.
Cilj ni samo čim hitrejši ponovni zagon sistemov, temveč tudi zagotovitev, da se napad ne ponovi zaradi iste ranljivosti.
5. Preverite obveznosti glede podatkov in obveščanja.
Če so bili prizadeti osebni podatki, lahko nastanejo tudi obveznosti glede obravnave incidenta in morebitnega obveščanja pristojnih organov ali posameznikov. Te obveznosti je treba presojati glede na dejanske okoliščine.
Dobro pripravljen načrt odziva lahko pomaga zmanjšati obseg škode. Hkrati pa urejena dokumentacija olajša ugotavljanje, kateri stroški so nastali in ali jih je mogoče uveljavljati iz zavarovanja.
Ali je višja zavarovalna vsota dovolj?
Ne nujno.
Podjetnik lahko izbere visoko zavarovalno vsoto, vendar ta sama po sebi ne zagotavlja, da so zavarovana vsa kibernetska tveganja. Če določena vrsta dogodka ali finančne izgube ni vključena v kritje, višja vsota tega ne spremeni.
Pri presoji je treba upoštevati vsaj tri stvari.
Prva je dejanska odvisnost podjetja od digitalnih sistemov. Če se vsa naročila, proizvodnja ali komunikacija s strankami izvajajo prek informacijskih sistemov, je lahko že kratka prekinitev zelo draga.
Druga je čas, potreben za obnovo. Podjetje mora oceniti, koliko časa bi potrebovalo za ponovno vzpostavitev ključnih storitev, obnovo podatkov in varno nadaljevanje poslovanja.
Tretja pa je vsebina zavarovalnega kritja. Pomembno je, ali so vključene izgube zaradi prekinitve poslovanja, katere stroške je mogoče uveljavljati, kako so obravnavani zunanji ponudniki in kakšne omejitve veljajo.
Ustrezna zaščita zato ni samo vprašanje višine premije ali zavarovalne vsote. Gre za to, ali je kritje prilagojeno dejanskim tveganjem konkretnega podjetja.
Kaj lahko storite že danes?
Za začetek si zastavite nekaj preprostih vprašanj:
- Bi lahko vaše podjetje normalno poslovalo, če bi za tri dni izgubilo dostop do ključnih podatkov?
- Koliko prihodkov bi lahko izgubili, če spletna trgovina, proizvodnja ali naročanje ne bi delovali?
- Katere redne stroške bi morali plačevati tudi med prekinitvijo?
- Ali imate pripravljene varnostne kopije in preizkušen načrt obnove?
- Ali vaša obstoječa zavarovanja izrecno obravnavajo kibernetske dogodke in posledični izpad poslovanja?
- Ali veste, katere stroške bi lahko uveljavljali in kakšni pogoji bi morali biti izpolnjeni?
Če na zadnji vprašanji nimate jasnega odgovora, je smiselno pregledati obstoječo zavarovalno dokumentacijo.
Pri tem ni dovolj pogledati samo naziva zavarovanja. Pomembni so splošni in posebni pogoji, obseg kritja, izključitve, franšize, čakalne dobe in morebitni podlimiti. Šele na tej podlagi lahko ocenite, koliko finančne zaščite bi podjetje dejansko imelo v primeru kibernetskega napada.
Ne čakajte na napad, da ugotovite, kaj vaše zavarovanje krije
Kibernetski napad lahko v nekaj urah spremeni običajen delovni dan v večdnevno reševanje težav. Medtem ko se podjetje ukvarja z obnovo podatkov in ponovnim zagonom sistemov, lahko prihodki upadajo, obveznosti pa ostajajo.
Zato je pomembno, da poleg tehnične varnosti pravočasno preverite tudi finančno zaščito podjetja. Ustrezno kibernetsko zavarovanje lahko glede na dogovorjene pogoje pomaga pri določenih stroških odziva na incident in finančnih posledicah prekinitve poslovanja, vendar mora biti kritje skrbno izbrano in usklajeno z dejanskimi potrebami podjetja.
Želite preveriti, ali bi vaše podjetje imelo ustrezno zaščito, če bi kibernetski napad za več dni ustavil poslovanje?
Ne čakajte, da se izpad poslovanja dejansko zgodi. Veliko lažje je preveriti zaščito vnaprej kot šele takrat, ko prihodki že upadajo, stroški pa se kopičijo.