Ochrona przed zagrożeniami cyfrowymi to dziś dla firm konieczność, nie możliwość

Polska wśród krajów szczególnie narażonych na cyberataki

Polska należy obecnie do krajów szczególnie narażonych na cyberataki. W pierwszej połowie 2025 roku zajęła pierwsze miejsce na świecie pod względem liczby ataków ransomware. Jednocześnie pozostaje jednym z najsłabiej ubezpieczonych rynków od ryzyk cybernetycznych. Skalę zagrożenia ukazują także ostatnie incydenty. Jednym z nich był atak na oprogramowanie firmy zajmującej się elektroniczną dokumentacją medyczną. Wykradzione dane zawierały informacje np. o receptach czy stanie zdrowia nawet 19 milionów osób.

Dane z raportów „nieOdporni”, Mastercard oraz innych analiz przywołanych przez ERGO Hestię pokazują, że cyberataki i wycieki danych są doświadczeniem znacznej części polskich przedsiębiorstw.

Cyberbezpieczeństwo polskich firm w liczbach

Dane pochodzą z raportu „Historia niejednego ataku, czyli cyberbezpieczeństwo w polskich firmach - wyniki badania Mastercard"

*Wśród firm, które doświadczyły już cyberataku, odsetek ten wzrasta do 25%.

Według raportu „nieOdporni" 88 proc. polskich organizacji doświadczyło w ostatnich latach cyberataku lub wycieku danych. Jednocześnie analiza ScamWatchHQ, przywołana w raporcie, wskazuje, że ok. 69 proc. firm w Polsce doświadczyło co najmniej jednego incydentu cyberbezpieczeństwa. Różnica między tymi wartościami wynika z odmiennego zakresu i metodologii badań.

Świadomość ryzyka nie zawsze idzie w parze z przygotowaniem

Dane Mastercard pokazują wyraźną lukę między rzeczywistą skalą zagrożenia a jego postrzeganiem.  71 proc. małych firm ocenia ryzyko cyberataku na swoją organizację jako niskie, mimo że co czwarta z nich ma już za sobą takie doświadczenie.

Na poziomie całego rynku problem dotyczy również podstawowych zabezpieczeń. Raport ScamWatchHQ podkreśla, że tylko ok. 59 proc. polskich firm korzysta z podstawowego oprogramowania ochronnego, a ponad 1/3 nie ma nawet bazowych zabezpieczeń.

Skalę ryzyka uzupełniają dane z Raportu Antyfraudowego BIK 2025. Niemal 32 proc. firm z sektora MŚP miało w 2025 r. kontakt z próbami oszustw finansowych, a 19,2 proc. padło ofiarą ataku hakerów lub mierzyło się z ryzykiem nadużyć wewnętrznych.

Jakie cyberzagrożenia dotykają MŚP i jakie są ich konsekwencje?

Najczęstsze zagrożenia obejmują ataki ransomware blokujące dostęp do danych i systemów, phishing prowadzący do przejęcia kont użytkowników, oszustwa typu Business Email Compromise (BEC), kradzież danych klientów oraz włamania do systemów chmurowych.

Skutki cyberataków są wielowymiarowe i obejmują niemal wszystkie obszary działalności przedsiębiorstwa. Konsekwencje naruszeń cyberbezpieczeństwa w sektorze MŚP mają charakter finansowy, operacyjny, prawny i wizerunkowy. Do najważniejszych należą:

- straty finansowe - koszty usunięcia skutków ataku, odzyskiwania danych, przestojów w działalności, a także ewentualne okupy w przypadku ataków ransomware;

- zakłócenie ciągłości działania - czasowa niedostępność systemów informatycznych może prowadzić do wstrzymania produkcji, sprzedaży lub świadczenia usług;

- utrata danych - wyciek lub zniszczenie danych klientów, pracowników oraz informacji biznesowych może mieć długotrwałe konsekwencje dla funkcjonowania przedsiębiorstwa;

- utrata reputacji i zaufania klientów - naruszenie bezpieczeństwa obniża wiarygodność firmy i może prowadzić do utraty kontrahentów oraz spadku konkurencyjności;

- konsekwencje prawne i regulacyjne - naruszenia ochrony danych osobowych mogą skutkować obowiązkiem zgłoszenia incydentu oraz nałożeniem kar administracyjnych wynikających z przepisów o ochronie danych;

- zakłócenie relacji biznesowych - partnerzy handlowi mogą ograniczyć współpracę z przedsiębiorstwem, które nie zapewnia odpowiedniego poziomu bezpieczeństwa informacji;

- kradzież własności intelektualnej - utrata dokumentacji technicznej, projektów, know-how lub tajemnic przedsiębiorstwa może osłabić przewagę konkurencyjną;

- wzrost kosztów działalności - po incydencie przedsiębiorstwa często ponoszą dodatkowe wydatki na modernizację systemów, audyty bezpieczeństwa, szkolenia pracowników;

- w skrajnych przypadkach poważne naruszenie cyberbezpieczeństwa może zagrozić dalszemu funkcjonowaniu przedsiębiorstwa.

Ile kosztuje cyberatak, a ile cyberbezpieczeństwo?

Koszt cyberataku może sięgać setek tysięcy złotych, a w przypadku poważnych incydentów przekraczać 1 mln złotych. Analizy brokerów cyberubezpieczeń („Cyber Ubezpieczenia dla Małych Firm w Polsce - Kluczowe Statystyki 2025”, Kelot, 2025) wskazują na następujące poziomy średnich szkód w zależności od wielkości przedsiębiorstwa:

Skala inwestycji oraz kosztów stałych związanych z utrzymywaniem i usprawnianiem systemów cyberbezpieczeństwa w sektorze MŚP zależy przede wszystkim od wielkości przedsiębiorstwa, stopnia cyfryzacji oraz wymagań regulacyjnych. Dla większości małych i średnich firm wydatki te stanowią istotną pozycję w budżecie IT.

Wydatki na cyberbezpieczeństwo rosną wraz z wielkością przedsiębiorstwa, a roczny budżet na podstawową ochronę jest wielokrotnie niższy niż średni okup wynoszący około 200-300 tys. złotych.

Do najważniejszych stałych kosztów należą:

- odnawianie licencji na oprogramowanie zabezpieczające,
- utrzymanie infrastruktury sieciowej i serwerowej,
- usługi monitorowania i reagowania na incydenty (SOC/MDR),
- regularne aktualizacje systemów,
- audyty bezpieczeństwa i testy penetracyjne,
- szkolenia pracowników z zakresu cyberbezpieczeństwa,
- wynagrodzenia specjalistów IT lub opłaty za outsourcing usług bezpieczeństwa.

Przyjmuje się, że wydatki na cyberbezpieczeństwo stanowią zazwyczaj od 5 proc. do 15 proc. całkowitego budżetu IT, a w branżach o podwyższonym ryzyku (np. finanse, ochrona zdrowia) mogą sięgać nawet 20-25 proc.

Jak zabezpieczyć firmę przed cyberatakiem?

„W przeciwieństwie do dużych korporacji, małe i średnie firmy często nie posiadają formalnych procedur bezpieczeństwa, ani zaawansowanych systemów zabezpieczeń. Brak wyspecjalizowanych działów IT czy ochrony sprawia, że są one łatwiejszym celem zarówno dla przestępców fizycznych, jak i cyberprzestępców. Cyberatak, włamanie lub kradzież może nie tylko oznaczać straty materialne, ale też przestój w działalności i utratę danych. Skuteczna ochrona wymaga połączenia monitoringu, systemów kontroli dostępu, zabezpieczeń fizycznych i cybernetycznych w jeden ekosystem” - mówi Adam Śliwiński, wiceprezes zarządu Seris Konsalnet Security, cytowany w raporcie ERGO Hestii.

Najskuteczniejszym sposobem ograniczenia skutków cyberataku wg. Tomasza Dolaty, eksperta ds. ubezpieczeń cyber w ERGO Hestii, jest równoległe inwestowanie w kompleksową ochronę ubezpieczeniową oraz budowę coraz lepszej infrastruktury IT. „To pozwala zarówno redukować prawdopodobieństwo wystąpienia incydentów, jak i minimalizować ich konsekwencje finansowe i operacyjne” - podkreśla.

Eksperci cytowani w raporcie ERGO Hestii podkreślają, że cyberpolisa nie zastępuje zabezpieczeń technicznych, takich jak wieloskładnikowe uwierzytelnianie (MFA), kopie zapasowe czy szkolenia pracowników. Stanowi natomiast dodatkową warstwę ochrony, która pomaga firmie ograniczyć skutki incydentu, gdy mimo wdrożonych zabezpieczeń dojdzie do skutecznego ataku.

Jaki zakres odpowiedzialności powinna mieć cyberpolisa?

1.    ataki: ransomware, phishing i przejęcia kont użytkowników, naruszenia bezpieczeństwa danych;
2.    odzyskiwanie danych oraz odtworzenie systemów, koszty informatyki śledczej;
3.    pokrycie strat wynikających z przestoju działalności;
4.    odpowiedzialność wobec klientów i partnerów biznesowych, oznaczającą zaspokojenie roszczeń klientów lub partnerów za wyciek danych lub zakłócenie usług; 
5.    koszty prawne;
6.    koszty związane z naruszeniem przepisów o ochronie danych;
7.    zarządzanie kryzysowe - w tym PR kryzysowy, komunikację z klientami, infolinię, ograniczanie szkód wizerunkowych
8.    całodobowy dostęp do specjalistów zajmujących się reagowaniem na incydenty.

Poza kompleksowym ubezpieczeniem polisa obejmuje także działanie informatyków śledczych. Jest to niezwykle istotny element polisy cyber, ponieważ przedsiębiorstwo po wystąpieniu incydentu musi nie tylko ograniczyć jego skutki, ale również szybko ustalić źródło ataku oraz zabezpieczyć dowody.

Na co warto zwrócić uwagę przy wyborze ubezpieczenia od cyberryzyk?

1.    zakres ochrony oraz katalog objętych ryzyk: np. czy chroni dane przechowywane w chmurze, czy obejmuje pracę zdalną i urządzenia mobilne; 
2.    wyłączenia odpowiedzialności, np. czy działa również przy błędzie pracownika;
3.    wysokość sum ubezpieczenia i limity odpowiedzialności dla poszczególnych rodzajów szkód; 
4.    możliwość rozszerzenia ochrony wraz z rozwojem przedsiębiorstwa; 
5.    dostępność usług assistance;
6.    sposób i czas likwidacji szkód;
7.    wysokość udziału własnego (franszyzy).

Co powinno znaleźć się w ubezpieczeniu dla małych i średnich przedsiębiorstw?

Optymalne ubezpieczenie powinno zawierać przede wszystkim: ochronę mienia przedsiębiorstwa (budynków, wyposażenia, maszyn i sprzętu elektronicznego), odpowiedzialność cywilną za szkody wyrządzone osobom trzecim, ubezpieczenie utraty zysku w przypadku przerwy w działalności, ochronę sprzętu elektronicznego, assistance dla przedsiębiorców, ochronę prawną i właśnie kompleksowe cyberubezpieczenie - obejmujące zarówno skutki finansowe incydentu, jak i specjalistyczne wsparcie ekspertów.

Cyberubezpieczenie jako dodatkowa warstwa ochrony

Jak wskazują autorzy raportu „nieOdporni” polisa cyber jest finansowym buforem, który pozwala firmie przetrwać konsekwencje udanego ataku - pokryć okup, sfinansować ekspertów, odtworzyć systemy, pokryć potencjalne kary.

„Ochrona przed cyberatakami to nie wybór między >>inwestować w technologię<< a >>kupić polisę<<. To oba te działania jednocześnie. Technologia i procedury zmniejszają prawdopodobieństwo, że atak w ogóle się wydarzy. Polisa zabezpiecza firmę w sytuacji, gdy - mimo najlepszych starań - atak wydarzy się mimo wszystko” - wskazują eksperci ERGO Hestii.

Cyberpolisy są też obecnie łatwo dostępne, również dla mniejszych podmiotów rynkowych. Jak wynika z raportu przygotowanego dla ERGO Hestii, cyberpolisy oferuje coraz więcej dużych ubezpieczycieli działających na polskim rynku, a oferta obejmuje również małe i średnie przedsiębiorstwa. Wymagania stawiane przedsiębiorcom chcącym zawrzeć umowę cyberubezpieczenia są dla nich możliwe do spełnienia - zazwyczaj wystarczają podstawowe zabezpieczenia, takie jak firewall, wieloskładnikowe uwierzytelnianie (MFA), regularne kopie zapasowe oraz korzystanie z aktualnego oprogramowania wspieranego przez producenta.

Cyberubezpieczenie nie musi być drogim rozwiązaniem. Jak wskazuje raport ERGO Hestii, średni koszt ochrony cybernetycznej to około 0,14 proc. rocznego obrotu firmy, co stanowi zaledwie około 1,8 proc. kosztów, jakie przedsiębiorstwo może ponieść po skutecznym cyberataku. W praktyce oznacza to, że koszt polisy jest zwykle nieporównywalnie niższy od wydatków związanych z przestojem działalności, utratą danych, obsługą kryzysową czy odpowiedzialnością wobec klientów.

Źródło informacji: PAP MediaRoom