Dacă firma are antivirus, firewall și backup, impactul financiar al unui atac este limitat în principal la repararea infrastructurii IT.
Într-un incident cibernetic modern, costurile majore provin frecvent din întreruperea operațiunilor (Business Interruption), investigația forensic IT, refacerea datelor, notificări legale și pretenții ale terților.
Cyber Insurance trebuie analizată ca parte a unui program de reziliență operațională și financiară, nu ca o simplă poliță pentru „virusuri” sau „hacking”.
1. Anatomia riscului Cyber: unde apare pierderea reală?
Un incident cibernetic poate începe cu un e-mail de phishing, compromiterea unei credențiale, exploatarea unei vulnerabilități, accesul neautorizat la un sistem sau compromiterea unui furnizor. Din momentul în care atacatorul dobândește acces, consecințele pot evolua rapid dintr-o problemă tehnică într-o problemă financiară și juridică.
În cazul unui ransomware, de exemplu, compania poate pierde temporar accesul la ERP, WMS, CRM, servere de fișiere sau alte sisteme critice. Într-un astfel de scenariu, pierderea nu se limitează la costul tehnic al decriptării sau restaurării.
Cele patru surse majore ale pierderii Cyber
- 01 · Operațional
- Business Interruption
- 02 · Tehnic
- Incident Response
- 03 · Juridic
- Privacy & Liability
- 04 · Criză
- Notification & Response
2. Principalele tipuri de incidente Cyber
Harta principalelor scenarii de risc cibernetic
| Scenariu de Incident Cyber | Mecanism de Manifestare | Impact Financiar și Operațional asupra Companiei |
|---|---|---|
| Ransomware și criptare sisteme | Blocarea serverelor, bazelor de date și stațiilor de lucru însoțită de cerere de răscumpărare și amenințare cu publicarea datelor (Double Extortion) | Oprirea producției/vânzărilor (Business Interruption), costuri de investigație IT Forensics și refacere back-up |
| Exfiltrare de date și breșă GDPR | Acces neautorizat la date cu caracter personal ale clienților, pacienților sau angajaților ori la secrete comerciale | Obligații legale de notificare, costuri juridice, management de criză PR și pretenții de despăgubire din partea persoanelor vizate |
| Compromiterea e-mailului de afaceri (BEC) | Preluarea conturilor de corespondență și deturnarea plăților comerciale prin facturi modificate sau instrucțiuni false | Pierderi financiare directe, litigii comerciale cu partenerii și costuri de audit de securitate |
| Indisponibilitatea furnizorului Cloud / SaaS | Căderea sau atacarea unui furnizor extern critic de infrastructură IT, ERP, WMS sau procesare plăți | Întreruperea contingențială a activității (Contingent Business Interruption) fără avarie în propria rețea |
3. Axa de protecție a unei polițe Cyber
Structura produselor diferă între asigurători, iar denumirile extensiilor pot varia. În practică, o poliță Cyber poate combina componente de First-Party și Third-Party Liability, împreună cu servicii de incident response și management al crizei.
Arhitectura unei polițe Cyber
Pierderile directe suferite de compania asigurată ca urmare a unui incident acoperit.
Etapa 1
Pierderile directe suferite de compania asigurată ca urmare a unui incident acoperit.
Etapa 2
Pierderea financiară rezultată din întreruperea sau degradarea activității ca urmare a unui incident acoperit, în condițiile poliței.
Etapa 3
Forensic IT, specialiști în răspuns la incidente, restaurare și alte servicii tehnice eligibile.
Etapa 4
Pretenții și costuri de apărare ale companiei în relația cu terții, în măsura în care sunt acoperite.
Etapa 5
Servicii juridice, comunicare de criză, notificare și alte componente prevăzute de produs.
4. Incident Response: primele ore pot schimba valoarea daunei
Într-un incident Cyber, viteza de reacție este importantă nu doar tehnic, ci și financiar. Izolarea sistemelor afectate, conservarea dovezilor, identificarea vectorului de atac și stabilirea amplorii compromiterii pot influența atât durata întreruperii, cât și obligațiile juridice ulterioare.
Fluxul de intervenție și despăgubire în cazul unui incident Cyber
Identificarea anomaliei și activarea procedurii interne de incident.
Etapa 1
Identificarea anomaliei și activarea procedurii interne de incident.
Etapa 2
Activarea mecanismului contractual și a furnizorilor de incident response, conform poliței.
Etapa 3
Containment și limitarea propagării incidentului.
Etapa 4
Identificarea vectorului de atac, a sistemelor afectate și a eventualei exfiltrări.
Etapa 5
Evaluarea obligațiilor de notificare și a expunerilor juridice.
Etapa 6
Restaurarea sistemelor și revenirea controlată la operațiuni.
Etapa 7
Cuantificarea pierderii și aplicarea condițiilor de Business Interruption și ale celorlalte acoperiri.
5. Etapa critică: primele 24 de ore
Ce trebuie urmărit în faza inițială
- 01 · Detectare
- Când a fost identificat?
- 02 · Containment
- Ce sisteme sunt afectate?
- 03 · Data
- Există date personale?
- 04 · Business
- Ce operațiuni sunt blocate?
Checklist operațional — incident Cyber
- Activarea procedurii interne de incident response.
- Contactarea furnizorului tehnic / echipei de securitate.
- Activarea mecanismului de notificare prevăzut de polița Cyber, dacă este cazul.
- Izolarea sistemelor afectate fără distrugerea necontrolată a dovezilor.
- Păstrarea logurilor și a altor elemente relevante pentru forensic.
- Identificarea sistemelor și datelor afectate.
- Stabilirea dacă există indicii de exfiltrare a datelor.
- Evaluarea obligațiilor GDPR și a altor obligații de notificare.
- Stabilirea impactului asupra activității.
- Documentarea cronologiei incidentului și a măsurilor luate.
6. GDPR: regula celor 72 de ore trebuie explicată corect
În cazul unei încălcări a securității datelor cu caracter personal, art. 33 din GDPR prevede că operatorul notifică autoritatea de supraveghere competentă fără întârzieri nejustificate și, dacă este posibil, în termen de cel mult 72 de ore de la momentul la care a luat cunoștință de încălcare, cu excepția cazului în care încălcarea este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor fizice.
Prin urmare, formula „orice incident Cyber trebuie notificat în 72 de ore” este prea largă. Obligația GDPR trebuie analizată în funcție de existența unei încălcări a securității datelor cu caracter personal și de riscul pentru drepturile și libertățile persoanelor.
Orice atac cibernetic trebuie raportat automat către autoritatea de protecție a datelor în 72 de ore.
Conform art. 33 din GDPR, obligația de notificare în 72 de ore intervine atunci când există o încălcare a securității datelor cu caracter personal, cu excepția cazului în care nu este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor.
Forensic IT și consultanța juridică pot avea un rol esențial în stabilirea faptelor și în evaluarea obligațiilor de notificare, dacă aceste servicii sunt prevăzute în programul de asigurare.
7. Notificarea persoanelor afectate: nu este același lucru cu notificarea autorității
GDPR tratează distinct notificarea autorității de supraveghere și comunicarea unei încălcări către persoana vizată. Obligațiile concrete depind de natura încălcării și de nivelul de risc.
Din perspectiva Cyber Insurance, această distincție este importantă deoarece polița poate include costuri de notificare, servicii de call-center, monitorizare, comunicare sau consultanță, dar întinderea acestora trebuie verificată în wording.
GDPR în arhitectura unui incident Cyber
| Obligație Conform GDPR | Condiție de Activare și Termen Legal | Rolul Poliței Cyber în Gestionarea Evenimentului |
|---|---|---|
| Notificarea autorității (ANSPDCP — Art. 33 GDPR) | În cel mult 72 de ore de la luarea la cunoștință, dacă încălcarea securității generează un risc pentru drepturile și libertățile persoanelor | Acoperă consultanța juridică specializată în protecția datelor și investigația criminalistică IT pentru determinarea perimetrului breșei |
| Informarea persoanelor vizate (Art. 34 GDPR) | Fără întârzieri nejustificate, atunci când breșa este susceptibilă să genereze un risc ridicat pentru persoanele afectate | Finanțează costurile logistice de notificare individuală, call-center dedicat și servicii de monitorizare a identității |
| Apărarea în investigații și pretenții civile | Deschiderea unei investigații oficiale sau formularea de acțiuni în despăgubire de către persoanele sau partenerii afectați | Acoperă cheltuielile de apărare juridică și despăgubirile civile, iar pentru amenzi — strict în măsura permisă de lege și de poliță |
8. NIS2 în România: cadrul juridic trebuie actualizat corect
În România, cadrul național relevant pentru implementarea cerințelor NIS2 nu trebuie prezentat prin formula „NIS2 a fost transpusă prin Legea nr. 58/2023”. Pentru cadrul actual trebuie avută în vedere OUG nr. 155/2024 privind instituirea unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice din spațiul cibernetic național civil, aprobată cu modificări și completări prin Legea nr. 124/2025, precum și actele subsecvente aplicabile.
Prin urmare, obligațiile unei organizații nu trebuie determinate doar prin simpla menționare a „NIS2”. Trebuie verificat dacă entitatea și activitatea sa intră în domeniul de aplicare al cadrului legal și ce obligații concrete îi revin.
9. Ce înseamnă NIS2 pentru underwriting?
Din perspectiva asigurătorului, maturitatea de securitate a companiei este parte a evaluării riscului. Întrebările de subscriere pot viza autentificarea multifactor, backup-urile, managementul vulnerabilităților, segmentarea rețelei, răspunsul la incidente, furnizorii critici și guvernanța securității.
Controale Cyber care pot deveni relevante la subscriere
- MFA pentru accesurile relevante și privilegiile administrative.
- Backup-uri testate și protejate împotriva compromiterii.
- Separarea și protejarea copiilor de backup.
- Plan de Business Continuity și Disaster Recovery.
- Procedură formală de Incident Response.
- Managementul patch-urilor și vulnerabilităților.
- Segmentarea și controlul accesului la infrastructură.
- Protecția endpoint-urilor și monitorizarea evenimentelor.
- Controlul accesului privilegiat.
- Instruirea personalului privind phishing și social engineering.
- Evaluarea riscului furnizorilor și serviciilor externalizate.
- Testarea periodică a capacității de restaurare și continuitate.
10. Limitele și condițiile de eligibilitate ale unei polițe Cyber
Nu există o „poliță Cyber standard” universală. Condițiile diferă în funcție de asigurător, industrie, dimensiunea companiei, expunerea tehnologică, istoricul incidentelor și nivelul controalelor de securitate.
Elemente de analiză la subscrierea Cyber
| Control Tehnic Verificat la Subscriere | Ce Urmărește Asigurătorul Cyber | Impact asupra Eligibilității și Condițiilor |
|---|---|---|
| Autentificare Multi-Factor (MFA) | Activarea obligatorie a MFA pentru accesul de la distanță (VPN), e-mail corporativ, conturi privilegiate de administrator și cloud | Lipsa MFA pe accesul extern sau pe conturile de admin conduce frecvent la refuzul cotării sau la excluderea ransomware |
| Strategia de Back-up (Regula 3-2-1 / Imutabil) | Existența copiilor de siguranță izolate de rețeaua principală (offline / immutable), protejate cu MFA și testate periodic la restaurare | Determină direct perioada de așteptare (Waiting Period) și sub-limita pentru Business Interruption și restaurare date |
| Protecția Endpoint (EDR / MDR) și Patch Management | Monitorizarea activă a stațiilor și serverelor și aplicarea rapidă a actualizărilor critice de securitate | Vulnerabilitățile critice cunoscute și nepatchuite în termenele rezonabile pot activa clauze de diminuare a acoperirii |
| Segmentarea rețelei și drepturile de acces | Separarea rețelelor operaționale (OT) de cele IT și aplicarea principiului privilegiului minim (Least Privilege) | Reduce severitatea propagării laterale a unui atac și îmbunătățește profilul de risc la subscriere |
11. Amenzile GDPR: una dintre cele mai importante delimitări
Costurile juridice și de gestionare a unei investigații nu trebuie confundate cu sancțiunea administrativă aplicată de autoritatea competentă. În cazul amenzilor și penalităților, problema nu este doar „ce scrie polița”, ci și dacă obligația respectivă este asigurabilă în condițiile legii aplicabile.
Cyber Insurance plătește amenzile GDPR.
Asigurabilitatea amenzilor și penalităților depinde strict de legea aplicabilă jurisdicției și de formularea expresă a contractului; multe jurisdicții restricționează asigurarea sancțiunilor cu caracter punitiv.
Nu prezenta o amendă administrativă ca fiind automat asigurabilă doar pentru că polița conține o extensie referitoare la regulatory response sau GDPR.
12. Business Interruption: componenta financiară care poate depăși costul IT
Într-o companie digitalizată, indisponibilitatea sistemelor poate opri sau încetini facturarea, producția, livrarea, procesarea comenzilor, accesul la clienți și operațiunile logistice.
De aceea, Business Interruption poate deveni una dintre cele mai importante componente ale unei polițe Cyber. Totuși, indemnizația nu trebuie descrisă generic ca „profitul pierdut”. Metoda de calcul, perioada de așteptare, perioada de indemnizare, baza financiară și cheltuielile suplimentare eligibile sunt stabilite de contract.
Cum se formează pierderea Business Interruption
Un eveniment Cyber produce indisponibilitatea sau degradarea sistemelor.
Etapa 1
Un eveniment Cyber produce indisponibilitatea sau degradarea sistemelor.
Etapa 2
Activitatea este întreruptă sau redusă pentru o anumită perioadă.
Etapa 3
Compania nu poate genera sau realiza nivelul normal de venituri.
Etapa 4
Compania suportă cheltuieli suplimentare pentru reducerea impactului.
Etapa 5
Pierderea este calculată potrivit bazei de indemnizare din poliță.
Ce trebuie verificat la Business Interruption
- 01 · Waiting Period
- Când începe indemnizarea?
- 02 · Indemnity Period
- Cât timp poate fi plătită pierderea?
- 03 · Calculation
- Cum se calculează pierderea?
- 04 · Mitigation
- Ce costuri suplimentare sunt eligibile?
13. Furnizorii și lanțul de aprovizionare digital
Companiile sunt tot mai dependente de furnizori de cloud, software, procesatori de plăți, servicii logistice, telecomunicații și alte infrastructuri externalizate. Un incident la un furnizor poate produce un efect similar cu un atac asupra infrastructurii proprii.
Riscul Cyber în lanțul de furnizori
| Scenariu pe Lanțul de Furnizori | Unde Se Produce Incidentul Tehnic | Ce Trebuie Verificat în Polița Cyber a Companiei |
|---|---|---|
| Cădere Cloud din cauza unui atac cibernetic | Infrastructura furnizorului de Cloud / IaaS / SaaS este blocată de un atac extern | Existența extensiei Contingent Business Interruption (CBI) pentru incidente de securitate la furnizori IT numiți sau nenumiți |
| Eroare operațională sau de configurare la furnizor | O actualizare greșită sau o defecțiune tehnică neintenționată oprește serviciul furnizorului (System Failure) | Dacă extensia CBI acoperă doar atacurile malițioase sau include și căderile tehnice neintenționate (Operational System Failure) |
| Breșă de date la un împuternicit (Data Processor) | Un furnizor extern care prelucrează datele clienților companiei suferă o exfiltrare de date | Răspunderea operatorului de date față de persoanele vizate și acoperirea costurilor de notificare și regres contractual |
14. Studiu de caz: ransomware într-un distribuitor de medicamente și echipamente medicale
Exemplu didactic — incident ransomware și întreruperea activității
Un distribuitor regional de medicamente și echipamente medicale utilizează sisteme ERP și WMS pentru gestionarea comenzilor, stocurilor, facturării și operațiunilor logistice.
Un atac ransomware compromite infrastructura și face indisponibile componente critice ale ERP și WMS. Compania nu poate procesa normal comenzile și nu poate opera depozitul la capacitatea obișnuită.
Intervenția În funcție de programul de asigurare, pot fi activate servicii de incident response și IT forensics pentru identificarea vectorului de atac, containment și restaurare. Echipa juridică evaluează existența unor date cu caracter personal afectate și obligațiile aplicabile.
Ce trebuie evitat în analiza unui astfel de caz
Înainte • Practică Standard (Vulnerabil)
„Ransomware = răscumpărare + cost de IT.”
După • Structură Securizată (Conform)
„Ransomware = incident tehnic + întrerupere + restaurare + investigație + posibilă compromitere a datelor + obligații juridice + impact comercial + costuri de comunicare + eventuale pretenții ale terților.”
15. Răscumpărarea: de ce nu trebuie promisă automat
Tratamentul unei eventuale plăți către atacatori trebuie analizat cu maximă atenție. Nu toate polițele acoperă orice formă de cyber extortion, iar legalitatea și condițiile unei plăți pot depinde de circumstanțe, jurisdicții, persoanele implicate și regimul sancțiunilor aplicabil.
16. Ce se întâmplă când incidentul implică date personale?
Fluxul de analiză Privacy după un incident Cyber
Stabilirea faptului dacă există o încălcare a securității datelor cu caracter personal
Există indicii că au fost accesate sau compromise date cu caracter personal?
Activează forensic și identifică natura și volumul datelor.
Este confirmată o încălcare a securității datelor?
Documentează incidentul și începe evaluarea riscului GDPR.
Încălcarea este susceptibilă să genereze un risc pentru drepturile și libertățile persoanelor?
Analizează obligația de notificare a autorității potrivit art. 33 GDPR.
Există un risc ridicat pentru persoanele afectate?
Analizează și obligațiile privind comunicarea către persoanele vizate potrivit art. 34 GDPR.
Există costuri juridice sau de notificare?
Verifică dacă acestea sunt acoperite de polița Cyber.
17. Excluderile: unde se poate rupe protecția Cyber?
O poliță Cyber trebuie analizată împreună cu excluderile și condițiile sale. Unele excluderi pot fi legate de război, infrastructuri neeligibile, vulnerabilități sau circumstanțe cunoscute, însă formularea exactă diferă și trebuie citită contractual.
Zone de atenție în analiza excluderilor
| Clauză / Excludere în Polița Cyber | Semnificație Contractuală | La Ce Trebuie Să Fie Atent Asiguratul |
|---|---|---|
| Război și operațiuni cibernetice statale (Cyber War) | Excluderea atacurilor atribuite statelor sau operațiunilor militare, conform noilor clauze de piață (ex. tip LMA) | Verificarea modului în care wording-ul diferențiază războiul fizic de atacurile cibernetice cu efect colateral asupra companiilor private |
| Îmbunătățirea sistemelor (Betterment / Upgrade) | Polița acoperă readucerea sistemelor și datelor la starea anterioară incidentului, nu modernizarea infrastructurii IT | Costul noilor licențe superioare sau al înlocuirii echipamentelor învechite cu tehnologie superioară nu este despăgubit |
| Vulnerabilități cunoscute și nerespectarea controalelor declarate | Nemenținerea controalelor critice declarate în chestionarul de subscriere (ex. dezactivarea MFA sau a back-up-ului) | Declararea fidelă a stării tehnice reale în chestionarul de subscriere și menținerea controalelor pe toată durata poliței |
| Transferul fraudulos de fonduri (Social Engineering) | Plăți voluntare efectuate de angajați induși în eroare prin phishing sau deepfake, fără penetrarea tehnică a sistemului | Acest risc necesită o clauză expresă de Cyber Crime / Social Engineering, de regulă cu sub-limită și condiție de dublă verificare |
18. Cyber Insurance și continuitatea afacerii
O companie matură nu trebuie să întrebe doar „cum prevenim atacul?”, ci și „cum continuăm să funcționăm dacă un sistem critic devine indisponibil?”.
Cyber Resilience: prevenție → reacție → recuperare
Controale de securitate, MFA, patching, segmentare și instruirea utilizatorilor.
Etapa 1
Controale de securitate, MFA, patching, segmentare și instruirea utilizatorilor.
Etapa 2
Monitorizare, alertare și identificarea rapidă a anomaliilor.
Etapa 3
Incident Response, containment, forensic și decizii de criză.
Etapa 4
Restaurarea infrastructurii, datelor și operațiunilor.
Etapa 5
Transferul contractual al anumitor pierderi și costuri către asigurător.
19. Cum arată un dosar bun de underwriting Cyber?
Checklist de subscriere Cyber
- Activitatea și industria companiei.
- Cifra de afaceri și structura veniturilor.
- Dependența operațională de infrastructura IT.
- Sistemele critice: ERP, WMS, CRM, producție, cloud și alte platforme.
- Numărul și tipologia utilizatorilor.
- MFA și accesul privilegiat.
- Backup-uri și testarea restaurării.
- Segmentarea rețelei.
- Patch management și vulnerabilități critice.
- Endpoint Detection / Response și monitorizare.
- Incident Response Plan.
- Business Continuity și Disaster Recovery.
- Furnizori IT și dependențe externe.
- Istoricul incidentelor Cyber.
- Pretenții și circumstanțe cunoscute.
- Expunerea la date personale și volumele de date procesate.
- Obligațiile de securitate și reglementare aplicabile companiei.
- Limita solicitată, franșiza și perioada de indemnizare.
20. Cum se dimensionează limita Cyber?
Limita nu trebuie aleasă exclusiv după cifra de afaceri. Pentru o companie cu sisteme critice, întrebarea relevantă este cât poate costa un scenariu sever de întrerupere, restaurare și răspuns juridic într-o perioadă realistă.
Factorii care influențează limita
- 01 · BI
- Pierdere zilnică
- 02 · Recovery
- Timp de restaurare
- 03 · Data
- Volum & sensibilitate
- 04 · Liability
- Expunere terți
21. D&O, Cyber, Crime și RCG: unde se termină fiecare?
Delimitarea principalelor clase de risc
| Poliță din Programul Corporate | Obiectul Principal al Acoperirii | Ce NU Înlocuiește în Caz de Incident Cyber |
|---|---|---|
| Asigurarea Cyber | Răspundere la incident IT (Forensics, PR, juridic), restaurare date, extorcare, întreruperea digitală a afacerii și răspundere GDPR | Nu acoperă avariile mecanice fizice ale utilajelor sau frauda internă clasică fără componentă informatică |
| Răspundere Profesională IT (Tech E&O) | Prejudicii financiare produse clienților prin erori de cod, nefuncționarea software-ului livrat sau neîndeplinirea serviciilor profesionale | Nu acoperă costurile proprii de investigație și recuperare ale companiei după un atac ransomware intern |
| Răspundere Managerială (D&O) | Pretenții îndreptate împotriva administratorilor și directorilor pentru încălcarea obligațiilor de diligență și guvernanță | Nu finanțează deblocarea serverelor, notificarea clienților sau pierderea de profit operațional a societății |
| Răspundere Civilă Generală (RCG) | Vătămări corporale și daune materiale fizice produse terților din activitatea curentă a companiei | Exclude în mod standard pierderile pur financiare, breșele de date electronice și incidentele cibernetice |
22. Perspectiva de distribuție: Cyber Insurance și analiza cerințelor clientului
Cyber Insurance poate acoperi anumite costuri de incident response, Business Interruption și răspundere față de terți.
Prezentarea tehnică explică mecanismele generale ale produsului, însă acoperirea efectivă pentru o companie depinde de chestionarul de subscriere, controalele IT existente și condițiile poliței emise.
Articolul educă. Recomandarea individuală trebuie fundamentată separat, pe informațiile clientului și pe documentația produsului.
23. Greșelile cele mai frecvente în alegerea unei polițe Cyber
O primă redusă poate ascunde limite, sublimite sau excluderi care devin critice la daună.
02 · Sublimite necorelate pe ransomware și cloud — O limită generală ridicată poate fi însoțită de sublimite reduse pentru extorcare cibernetică, restaurarea datelor sau indisponibilitatea furnizorilor cloud (Dependent BI).
Companiile analizează costul IT și uită că pierderea operațională poate fi mult mai mare.
24. Checklist final pentru management
Cyber Insurance — 15 întrebări înainte de achiziție sau reînnoire
- Care sunt sistemele IT critice pentru funcționarea companiei?
- Care este impactul financiar estimat pentru fiecare zi de indisponibilitate?
- Cât durează realist restaurarea sistemelor critice?
- Există backup-uri izolate și testate?
- Este MFA implementată pentru accesurile relevante?
- Există un Incident Response Plan?
- Cine are autoritatea de a declara un incident și de a activa furnizorii?
- Care sunt datele personale și datele sensibile procesate?
- Ce obligații GDPR și de securitate cibernetică sunt aplicabile companiei?
- Există dependențe critice de furnizori externi?
- Ce acoperă efectiv Business Interruption?
- Care este waiting period și indemnity period?
- Ce costuri de incident response sunt incluse?
- Care sunt principalele excluderi și condiții de securitate?
- Cum se corelează Cyber cu Crime, D&O, RCG și celelalte polițe existente?
25. Întrebările care trebuie puse înainte de semnarea poliței
Patru întrebări decisive
- 01 · Operațiuni
- Ce se întâmplă dacă IT-ul cade 72h?
- 02 · Date
- Ce date pot fi compromise?
- 03 · Recovery
- Cât de repede putem reveni?
- 04 · Contract
- Ce transferăm efectiv?
26. Întrebări frecvente
Concluzie
Cyber Insurance nu trebuie privită ca o poliță care „plătește hackerii” sau ca o extensie financiară a departamentului IT. Este un instrument de transfer al anumitor consecințe financiare și operaționale ale unui incident cibernetic, integrat într-un program mai larg de reziliență. Într-un incident real, pierderea poate apărea simultan în mai multe locuri: indisponibilitatea sistemelor, întreruperea activității, forensic, restaurarea datelor, costurile juridice, notificarea persoanelor afectate, relația cu autoritățile, comunicarea de criză și eventualele pretenții ale terților. În România, analiza trebuie făcută și în contextul obligațiilor juridice aplicabile. GDPR impune un mecanism specific pentru notificarea încălcărilor de securitate a datelor, iar cadrul național de securitate cibernetică trebuie analizat prin legislația în vigoare, inclusiv OUG nr. 155/2024, aprobată prin Legea nr. 124/2025, pentru entitățile aflate în domeniul său de aplicare. Din perspectiva underwriting-ului, întrebarea corectă nu este „are compania antivirus?”, ci „care este scenariul maxim realist de pierdere, cât durează recuperarea, ce date pot fi afectate, ce furnizori sunt critici și cât din această expunere poate fi transferat contractual?”. Cyber Insurance bună nu începe cu prima. Începe cu scenariul de pierdere, continuă cu arhitectura de răspuns și se termină în wording.
Material educațional și informativ. Nu constituie consultanță juridică, tehnică, fiscală sau de asigurare și nu reprezintă o recomandare individuală de produs.
Întinderea protecției Cyber depinde exclusiv de condițiile contractuale aplicabile, inclusiv definiții, limite, sublimite, franșize, perioade de așteptare, perioade de indemnizare, excluderi, condiții de securitate, obligații de notificare și alte prevederi ale poliței.
Mențiunile privind GDPR, securitatea cibernetică și cadrul legislativ românesc au caracter informativ. Aplicarea concretă a obligațiilor depinde de situația entității, natura incidentului și legislația în vigoare la data incidentului.
Înaintea achiziției sau reînnoirii unei polițe Cyber trebuie analizate cerințele și necesitățile clientului, documentația contractuală și profilul efectiv de risc.