Błąd w kodzie, źle wykonana migracja albo przerwa w działaniu systemu może kosztować klienta znacznie więcej niż samo zlecenie. Informatyk pracujący na kontrakcie B2B odpowiada za takie szkody własnym majątkiem, chyba że umowa ogranicza odpowiedzialność albo właściwie dobrana polisa przejmuje część ryzyka. Zwykłe OC działalności gospodarczej często nie wystarcza, ponieważ chroni głównie przed szkodami rzeczowymi i osobowymi, a typowa szkoda informatyczna ma charakter czysto finansowy.
Podstawą ochrony freelancera, programisty, administratora, konsultanta ERP, specjalisty DevOps czy firmy wdrożeniowej powinno być OC zawodowe dla branży IT. Cyberubezpieczenie, ochrona sprzętu i ubezpieczenie przerwy w działalności są dodatkami. Potrzebnymi, ale dopiero po zabezpieczeniu odpowiedzialności za własne błędy.
OC zawodowe IT powinno pokrywać realne błędy, a nie tylko dobrze wyglądać w umowie
Najczęstszy błąd przy zakupie polisy polega na wybraniu najtańszego wariantu oznaczonego jako „OC firmy”. Taka ochrona może zadziałać, gdy informatyk podczas wizyty u klienta uszkodzi monitor albo zaleje serwerownię. Nie musi jednak obejmować strat wynikających z wadliwego kodu, opóźnionego wdrożenia czy błędnej konfiguracji systemu.
Dla specjalisty IT kluczowe jest pokrycie czystych strat finansowych, czyli szkód, którym nie towarzyszy zniszczenie rzeczy ani uszkodzenie ciała. Przykład: po aktualizacji aplikacja przestaje przyjmować zamówienia, sklep internetowy traci sprzedaż, a klient żąda zwrotu kosztów awaryjnej naprawy i utraconej marży. To właśnie czysta strata finansowa.
Dobra polisa OC zawodowego powinna uwzględniać przynajmniej:
- błędy i zaniechania zawodowe, w tym błędną analizę, projekt, konfigurację, integrację, testy albo wdrożenie;
- utratę, uszkodzenie lub nieprawidłowe przetwarzanie danych powierzonych przez klienta;
- naruszenie poufności, prywatności i tajemnicy przedsiębiorstwa;
- nieumyślne naruszenie praw autorskich, znaków towarowych lub licencji;
- odpowiedzialność za podwykonawców, gdy ubezpieczony zleca część projektu innemu programiście;
- koszty obrony prawnej, opinii ekspertów, rzeczoznawców i postępowania sądowego;
- szkody powstałe poza Polską, gdy klient albo użytkownicy systemu znajdują się za granicą.
Sama suma gwarancyjna nie wystarczy. Trzeba sprawdzić, czy jest ustalona na jedno zdarzenie, czy łącznie na cały rok ubezpieczeniowy. Polisa z limitem 500 tys. zł może w praktyce zapewniać znacznie mniej, jeżeli w jej ramach ustanowiono podlimity, na przykład 100 tys. zł na utratę danych i 50 tys. zł na naruszenie poufności.
Dla informatyka realizującego niewielkie projekty dla polskich mikrofirm rozsądnym punktem wyjścia jest zwykle suma 500 tys.–1 mln zł. Przy wdrożeniach ERP, systemach płatniczych, usługach chmurowych, utrzymaniu infrastruktury albo obsłudze klientów zagranicznych częściej potrzebne jest 2–5 mln zł. Duże korporacje potrafią wymagać limitu 1–2 mln euro, niezależnie od wartości pojedynczego kontraktu.
Nie należy automatycznie przyjmować sumy wpisanej przez klienta do wzoru umowy. Jeżeli roczne wynagrodzenie wykonawcy wynosi 200 tys. zł, a kontrakt wymaga OC na 10 mln euro z ochroną w Stanach Zjednoczonych, koszt i warunki polisy mogą być nieproporcjonalne do zlecenia. Najpierw negocjuje się limit odpowiedzialności w umowie, dopiero później kupuje odpowiadające mu ubezpieczenie.
Istotny jest również sposób uruchamiania ochrony. W polisach zawodowych często stosuje się formułę claims made: ubezpieczyciel zajmuje się roszczeniem zgłoszonym w okresie obowiązywania polisy, pod warunkiem że zdarzenie nastąpiło po dacie retroaktywnej. Przerwa między dwiema polisami albo przesunięcie daty retroaktywnej może pozostawić stare projekty bez ochrony. Zmieniając ubezpieczyciela, trzeba zachować ciągłość i sprawdzić dodatkowy okres zgłaszania roszczeń.
Cyberpolisa chroni firmę informatyczną przed własnym incydentem
OC zawodowe IT dotyczy przede wszystkim roszczeń klientów. Ubezpieczenie cyber służy natomiast do pokrywania kosztów incydentu, który uderza bezpośrednio w działalność ubezpieczonego. To różne ryzyka, choć w praktyce mogą wynikać z tego samego zdarzenia.
Załóżmy, że osoba atakująca przejmuje konto administratora w Microsoft 365, pobiera dokumentację klientów i rozsyła wiadomości phishingowe. Firma musi ustalić skalę incydentu, zabezpieczyć środowisko, odtworzyć dane, powiadomić zainteresowane osoby i obsłużyć roszczenia. OC zawodowe może pokryć część odpowiedzialności wobec klienta. Cyberpolisa może sfinansować techniczną i prawną obsługę samego ataku.
W praktycznym wariancie cyberubezpieczenie obejmuje:
- reakcję zespołu incident response i informatykę śledczą;
- odtworzenie danych oraz konfiguracji systemów;
- pomoc prawną przy ocenie, czy incydent trzeba zgłosić Prezesowi Urzędu Ochrony Danych Osobowych;
- przygotowanie zawiadomień dla osób, których dane dotyczą;
- koszty ograniczenia szkód wizerunkowych i obsługi kryzysowej;
- roszczenia osób trzecich związane z ujawnieniem danych;
- utracony zysk i dodatkowe koszty po przestoju systemów;
- niekiedy skutki oszustwa komputerowego, przejęcia skrzynki pocztowej albo ataku ransomware.
Cyberpolisa nie zastępuje zabezpieczeń. Przed zawarciem umowy ubezpieczyciel może pytać o uwierzytelnianie wieloskładnikowe, kopie zapasowe, aktualizacje, EDR, szyfrowanie, szkolenia użytkowników oraz procedurę reagowania na incydenty. Nieprawdziwa odpowiedź w ankiecie ryzyka może utrudnić wypłatę świadczenia. Deklarowanie, że MFA działa na wszystkich kontach administracyjnych, gdy jedno ze środowisk nadal dopuszcza logowanie wyłącznie hasłem, jest niepotrzebnym ryzykiem.
Szczególnej uwagi wymagają wyłączenia dotyczące:
- systemów niewspieranych przez producenta;
- braku aktualizacji krytycznych;
- zdarzeń znanych przed zawarciem polisy;
- infrastruktury pozostającej poza kontrolą ubezpieczonego;
- przerw u zewnętrznych dostawców, takich jak AWS, Microsoft Azure czy Google Cloud;
- płatności okupu;
- kar administracyjnych;
- oszustw dokonanych przez pracowników lub współpracowników.
Reklamowe hasło o pokrywaniu „kar RODO” należy czytać ostrożnie. Zakres zależy od prawa właściwego, charakteru sankcji i zapisów OWU. Polisa może obejmować koszty pomocy prawnej, postępowania przed organem oraz niektóre kary administracyjne tylko wtedy, gdy ich ubezpieczenie jest prawnie dopuszczalne. Nie daje gwarancji, że każda decyzja organu nadzorczego zostanie opłacona przez ubezpieczyciela.
Składka za samodzielne OC zawodowe małej działalności IT zwykle zaczyna się od około 500–1000 zł rocznie. Przy sumie 1–2 mln zł, pracy dla zagranicznych klientów albo szerszym katalogu usług częściej wynosi 1200–3500 zł rocznie. Pakiet łączący OC zawodowe z ochroną cyber może kosztować mniej więcej 2000–6000 zł rocznie. Firmy utrzymujące krytyczną infrastrukturę, przetwarzające duże zbiory danych lub osiągające kilkumilionowe przychody otrzymują wycenę indywidualną, nierzadko przekraczającą 10 tys. zł rocznie.
Na składkę najmocniej wpływają przychód, rodzaj usług, terytorium działalności, wysokość limitu, historia roszczeń, liczba pracowników, udział podwykonawców i branża klientów. Obsługa blogów na WordPressie jest oceniana inaczej niż tworzenie oprogramowania dla banku, szpitala czy operatora płatności.
Umowa z klientem i OWU muszą do siebie pasować
Ubezpieczyciel nie naprawi źle skonstruowanego kontraktu. Jeżeli wykonawca dobrowolnie przyjmuje odpowiedzialność szerszą niż wynikająca z prawa, polisa może jej nie pokryć. Szczególnie problematyczne są zapisy o nieograniczonej odpowiedzialności, gwarantowanej bezawaryjności, pełnym zwrocie utraconych korzyści oraz wysokich karach umownych.
Kary umowne bywają wyłączone albo objęte tylko wtedy, gdy klient mógłby dochodzić podobnej kwoty jako odszkodowania na zasadach ogólnych. Polisa nie powinna być więc traktowana jako budżet na niedotrzymane SLA. Jeżeli umowa przewiduje 10 tys. zł za każdą godzinę niedostępności, trzeba sprawdzić ten zapis przed podpisaniem kontraktu, a nie po pierwszej awarii.
W umowie B2B rozsądnie jest ustalić:
- limit odpowiedzialności wykonawcy, na przykład do wartości wynagrodzenia z ostatnich 12 miesięcy albo określonej wielokrotności wynagrodzenia;
- wyłączenie odpowiedzialności za pośrednie straty i utracone korzyści, z wyjątkami dotyczącymi rażącego niedbalstwa, poufności czy danych osobowych;
- procedurę odbioru prac, zgłaszania błędów i akceptacji zmian;
- obowiązki klienta dotyczące kopii zapasowych, testów, dostępów i środowiska produkcyjnego;
- zasady korzystania z komponentów open source oraz narzędzi stron trzecich;
- realne parametry SLA i harmonogram usuwania awarii;
- obowiązek niezwłocznego informowania o zdarzeniu, które może prowadzić do roszczenia.
Ostatni punkt jest często bagatelizowany. Po otrzymaniu reklamacji nie należy samodzielnie uznawać odpowiedzialności, podpisywać ugody ani obiecywać klientowi zwrotu konkretnej kwoty bez konsultacji z ubezpieczycielem. OWU zwykle nakłada obowiązek szybkiego zgłoszenia okoliczności mogących spowodować roszczenie i współpracy przy obronie.
Trzeba też odróżnić sytuację pracownika etatowego od kontraktora. Przy nieumyślnym wyrządzeniu szkody pracodawcy odpowiedzialność pracownika na podstawie Kodeksu pracy jest co do zasady ograniczona do wysokości trzymiesięcznego wynagrodzenia. Ograniczenie nie działa tak samo przy szkodzie umyślnej. Osoba prowadząca JDG albo spółkę i wykonująca usługi na podstawie kontraktu B2B nie korzysta z pracowniczego limitu — odpowiada zgodnie z umową i przepisami prawa cywilnego.
Ochronę sprzętu warto kupić wtedy, gdy jego utrata rzeczywiście zatrzyma pracę. Standardowe ubezpieczenie biura może nie obejmować laptopa zabieranego do klienta, zalania kawą, przepięcia, kradzieży z samochodu albo przypadkowego upuszczenia. Dla komputera wartego 8–15 tys. zł przydatna jest formuła all risks, ale trzeba sprawdzić udział własny, amortyzację i zasady wyceny. Polisa, która po dwóch latach wypłaci tylko aktualną wartość używanego urządzenia, nie sfinansuje zakupu nowej stacji roboczej o podobnych parametrach.
FAQ: najważniejsze pytania przed zakupem polisy
Czy informatyk musi mieć obowiązkowe OC?
Dla większości programistów, administratorów i konsultantów IT polskie przepisy nie ustanawiają obowiązkowego OC zawodowego. Obowiązek może jednak wynikać z kontraktu, przetargu albo zasad współpracy z konkretnym klientem.
Czy zwykłe OC firmy wystarczy programiście?
Najczęściej nie. Powinno wyraźnie obejmować czyste straty finansowe, błędy zawodowe, utratę danych i naruszenie poufności. Bez tych zapisów typowe roszczenie IT może pozostać poza ochroną.
Jaka suma gwarancyjna będzie rozsądna dla freelancera?
Przy niewielkich projektach dla polskich klientów punktem wyjścia jest 500 tys.–1 mln zł. Przy systemach krytycznych, dużych bazach danych lub kontraktach międzynarodowych należy rozważyć 2–5 mln zł albo limit wymagany przez klienta.
Czy polisa zapłaci za opóźnienie projektu?
Nie automatycznie. Samo niedotrzymanie terminu, kara umowna lub koszt poprawienia własnej pracy często są wyłączone. Ochrona może zadziałać, gdy opóźnienie wynika z objętego polisą błędu i prowadzi do udokumentowanej szkody klienta.
Czy cyberubezpieczenie obejmuje ransomware?
Może obejmować informatykę śledczą, odtworzenie danych, przestój i obsługę prawną. Zapłata okupu zależy od warunków polisy, przepisów, sankcji międzynarodowych i zgody ubezpieczyciela.
Czy polisa obejmie projekty wykonane przed jej zakupem?
Tylko gdy przewidziano odpowiednią datę retroaktywną, a ubezpieczony nie wiedział wcześniej o zdarzeniu mogącym prowadzić do roszczenia. Samo wykupienie nowej polisy nie obejmuje automatycznie całej wcześniejszej działalności.
Czy ochrona działa przy klientach z USA?
Wyłącznie wtedy, gdy terytorium i jurysdykcja polisy obejmują Stany Zjednoczone. Część ofert wyłącza USA i Kanadę albo wymaga osobnej zgody oraz wyższej składki.
Pierwszym krokiem nie powinno być porównywanie cen. Najpierw trzeba otworzyć trzy największe kontrakty, wypisać limity odpowiedzialności, kary umowne, obsługiwane dane, terytorium i możliwy koszt przestoju. Dopiero na tej podstawie należy dobrać sumę gwarancyjną i sprawdzić w OWU pięć elementów: czyste straty finansowe, utratę danych, podwykonawców, datę retroaktywną oraz zakres terytorialny. Najpilniejszym błędem do usunięcia jest przekonanie, że dowolne OC działalności zabezpiecza przed wadliwym kodem. Zwykle nie zabezpiecza.
Dodatkowe informacje na: Jak powinno wyglądać ubezpieczenie IT?
