Ubezpieczenie sklepu internetowego (e-commerce)

Poniedziałek rano, kawa jeszcze nie ostygła, wchodzisz do panelu sklepu… i zamiast listy zamówień patrzysz na komunikat z żądaniem okupu w bitcoinach. Baza klientów zaszyfrowana, płatności leżą, no i gdzieś z tyłu głowy wali ci się świadomość, że ktoś właśnie wyniósł dane osobowe kilku tysięcy ludzi. Brzmi jak scenariusz z filmu? Dla coraz większej liczby polskich e-sklepów to po prostu zwykły wtorek. I dopiero wtedy, akurat w takim momencie, okazuje się, że „mam ubezpieczenie firmy” wcale nie znaczy „jestem zabezpieczony”.

Bo zobacz, standardowa polisa na biuro czy magazyn ratuje cię wtedy, gdy zaleje ci serwerownię albo spali się towar. A cyberatak to zupełnie inna bajka. Policzmy więc na spokojnie, co realnie chroni sklep online i gdzie firmy najczęściej się przeliczają.

Od czego w ogóle chronisz e-sklep?

Ryzyka, które wiszą nad sprzedażą online, w sumie da się wrzucić do dwóch światów. Pierwszy jest fizyczny i znamy go od dekad: towar w magazynie, sprzęt, lokal. Drugi jest cyfrowy i to właśnie on rośnie najszybciej. Dlatego ubezpieczyciele raczej rzadko sprzedają jedną „polisę na wszystko” — częściej składasz sobie ochronę z klocków.

• OC działalności — czyli wtedy, gdy twój produkt albo jakieś działanie wyrządzi szkodę klientowi czy osobie trzeciej. Według redakcyjnego przeglądu Autopay ten moduł „chroni sklep przed takimi żądaniami i pokrywa koszty obrony prawnej”.
• Ubezpieczenie mienia i wyposażenia — komputery, serwery, regały magazynowe, towar. Chroni przed skutkami „włamania, pożaru, zalania”.
• Ubezpieczenie utraty zysku (BI) — jeśli sklep stanie ci na kilka dni, ten moduł „może pomóc w pokryciu strat finansowych wynikających” z przestoju.
• Polisa cyber — osobny produkt, a mianowicie: pod ataki, wycieki danych i RODO. O nim za chwilę, bo to dziś najbardziej niedoceniany element całej tej układanki.

Mała rzecz, którą warto sobie wbić do głowy: ubezpieczenie mienia i OC nie zadziałają, kiedy ktoś zaszyfruje ci bazę albo wyłudzi przelew. To dwa różne ryzyka i, no, dwa różne produkty.

Polisa cyber — co ona właściwie pokrywa?

Tu musimy zejść do konkretu, bo „ubezpieczenie cyber” brzmi mgliście dopóty, dopóki nie zobaczysz, za co realnie płaci ubezpieczyciel. PZU w opisie swojego produktu od ryzyk cybernetycznych i RODO deklaruje, że „Pokryjemy koszty roszczeń (np. odszkodowań, zadośćuczynień, kar i grzywien)” oraz „Pokryjemy koszty związane z naprawą szkód spowodowanych naruszeniem danych”. Do tego dochodzi rekompensata przestoju — ubezpieczyciel zobowiązuje się, że „Zrekompensujemy utratę zysku Twojego przedsiębiorstwa oraz wydatki niezbędne do podtrzymania działalności firmy”.

W praktyce najwięcej kosztuje nie sam atak, tylko sprzątanie po nim. Dobre polisy finansują „koszty informatyków śledczych, obsługi prawnej, odzyskania danych”, a do tego jeszcze „koszty zawiadomienia (np. związane z obowiązkiem informacyjnym RODO)” i „koszty ochrony dobrego imienia (działania PR)”. To te pozycje potrafią zjeść budżet małej firmy szybciej niż sam okup… serio.

Zakres ryzyk obejmuje zwykle „naruszenia prywatności, w tym danych osobowych” oraz ochronę przed skutkami „ataków hakerskich i konsekwencjami naruszenia przepisów dotyczących prywatności, m.in. RODO”. Mówimy tu o malware, czyli — cytując opis PZU — „różnego rodzaju szkodliwych programach, które usiłują zainfekować komputer”, i o ransomware, „programie, którego celem jest wymuszenie okupu”. A dokładny katalog wyłączeń i limitów zawsze znajdziesz w OWU konkretnego towarzystwa, więc to lektura obowiązkowa, zanim coś podpiszesz.

RODO i UOKiK — czemu to nie jest temat poboczny

Prowadzisz sklep, więc przetwarzasz dane: adresy, telefony, historię zakupów. Wyciek to nie tylko wstyd przed klientami, to całkiem realne ryzyko finansowe. I tu wchodzą dwa różne reżimy kar, które naprawdę łatwo pomylić.

Pierwszy to obowiązki konsumenckie. Jak przypomina redakcja Shoper, „Obowiązki informacyjne w sklepie internetowym to zbiór wymogów prawnych wynikających z RODO, dyrektywy Omnibus oraz ustawy o prawach konsumenta”. Musisz m.in. poinformować o prawie do odstąpienia: „Każdy sprzedawca internetowy ma ustawowy obowiązek poinformowania konsumenta o przysługującym mu prawie do odstąpienia od umowy bez podania przyczyny w ciągu 14 dni”. Zaniedbasz to — i robi się drogo, bo „Kara finansowa może wynieść nawet 10% obrotu osiągniętego w roku poprzedzającym”, a w dodatku „Brak rzetelnej informacji o prawie do zwrotu powoduje automatyczne wydłużenie tego terminu o dodatkowe 12 miesięcy”.

Drugi reżim to cyberbezpieczeństwo regulowane. Bankier.pl zwraca uwagę, że po wejściu nowych przepisów „firmy muszą same ocenić, czy spełniają kryteria dla podmiotu kluczowego”, a „Do 3 kwietnia 2027 r. podmioty kluczowe i ważne muszą wdrożyć obowiązki związane z cyberbezpieczeństwem”. Większość drobnych e-sklepów raczej nie wpadnie w kategorię podmiotu kluczowego, ale sam kierunek jest jasny: presja regulacyjna na ochronę danych będzie tylko rosła. Polisa cyber nie zwalnia cię z obowiązków, za to amortyzuje cios, kiedy mimo wszystko coś pójdzie nie tak.

Co obejmuje, a czego nie obejmuje typowa ochrona?

Tabela jest oczywiście uproszczeniem — granice w wielu przypadkach zależą od konkretnego OWU. Ale dobrze pokazuje, gdzie leży ta klasyczna luka: stara, firmowa polisa świetnie radzi sobie ze światem fizycznym i kompletnie milczy przy cyfrowym.

Ile to realnie kosztuje?

Tu nie ma jednej liczby i, szczerze, każdy kto rzuci ci konkretną kwotę bez żadnych pytań raczej po prostu zgaduje. Składka zależy od kilku rzeczy naraz. Z przeglądu Autopay wynika prosta zasada: „Im większe przychody ma firma, tym wyższa będzie składka”. Drugi czynnik to profil ryzyka — „Więcej zapłaci e-sklep… szczególnie narażony na prawdopodobieństwo wystąpienia szkody”, czyli na przykład taki, co trzyma dużo danych albo siedzi w branży wrażliwej.

Jako punkt orientacyjny ten sam materiał podaje, że minimalna składka „wynosi około 250 zł miesięcznie”. Traktuj to jako rząd wielkości dla małego sklepu, a nie obietnicę — twoja oferta i tak będzie zależeć od obrotu, sumy gwarancyjnej, franszyz i wybranych modułów. Przy OC za produkt często rekomenduje się sumę gwarancyjną nie niższą niż milion złotych, bo roszczenia konsumenckie potrafią rosnąć… i to mocno.

Na co patrzeć przy wyborze polisy?

• Czy w pakiecie jest realny moduł cyber, czy tylko OC i mienie. To najczęstsza pułapka — wygląda kompletnie, a luka cyfrowa zostaje.
• Limit i podlimity. Często górna suma jest wysoka, ale koszty zawiadomień RODO albo działania PR mają osobny, niższy limit.
• Franszyza i udział własny — ile z pierwszego incydentu pokryjesz z własnej kieszeni.
• Wymogi zabezpieczeń. Ubezpieczyciel może żądać od ciebie kopii zapasowych czy uwierzytelniania dwuskładnikowego, a ich brak bywa podstawą do odmowy wypłaty.
• Czy polisa obejmuje przestój i utratę zysku, nie tylko sam koszt odzyskania danych.

I na koniec szczerze: ten tekst ma charakter informacyjny i nie jest ofertą ani indywidualną poradą ubezpieczeniową. Każde towarzystwo inaczej definiuje zakres i wyłączenia, więc zanim cokolwiek podpiszesz, porównaj kilka ofert i pogadaj z agentem albo brokerem, który przeczyta z tobą OWU słowo po słowie.

Co z tym zrobić dzisiaj? No, wypisz sobie na kartce, jakie dane trzymasz i ile dni przestoju sklep w ogóle wytrzyma bez utraty płynności. Jeśli odpowiedź na to drugie pytanie brzmi „kilka dni, góra tydzień”… to polisa cyber przestaje być luksusem, a staje się po prostu elementem ciągłości biznesu. Sprawdziłeś już w sumie, co dokładnie pokrywa twoja obecna ochrona?