Накратко: При щета по киберзастраховката значение имат преди всичко три неща: ранно информиране на застрахователя, запазване на доказателствата вместо прибързана нова инсталация и предварително съгласуване на важните стъпки. Какво точно важи, пише във Вашите застрахователни условия. Тази страница дава общи указания, не е правен съвет и не замества съгласуването със застрахователя, брокера или адвоката.
Не е правна или застрахователна консултация: меродавни са единствено Вашият договор и информацията от Вашия застраховател. Най-добре прочетете условията сега, а не едва при истински случай.
Защо щетата при киберрискове е особена
При воден поврeд е очевидно какво се е случило. При атака срещу уеб сървър е различно: в началото често има само подозрение, например странен файл, необичаен процес или предупреждение от доставчика на хостинг. Дали действително е настъпила щета, се вижда едва при разследването.
PHP2Shell е добър пример. Двете уязвимости CVE-2026-109618 и CVE-2026-109619 позволяват изпълнение на код без вход в системата. Който е пачнал едва дни след 21.10.2026 г., не може да изключи със сигурност, че преди това нещо се е случило. Пачът не премахва вече внесен зловреден софтуер и не доказва, че нищо не се е случило. Въпросът дали и кога има застрахователно събитие затова често не е еднозначен.
Киберзастраховка при щета: типичните задължения
Задълженията са задължения на застрахования, чието нарушаване може да застраши изплащането. Много полици съдържат подобни точки, но в детайлите се различават значително:
- Уведомяване: незабавно информиране на застрахователя, щом е настъпило или заплашва застрахователно събитие.
- Намаляване на щетата: предприемане на разумни мерки за ограничаване на щетата, например изключване на засегнатите системи от мрежата.
- Съгласуване: предварително изясняване със застрахователя на съществените стъпки, възлагания и плащания.
- Информация и доказателства: предоставяне на информация и документи, необходими за установяване на щетата.
- Запазване на доказателства: следите да не се унищожават излишно, за да останат установими причината и обхватът.
Някои договори съдържат освен това изисквания към сигурността преди щетата, например редовни актуализации, резервни копия или многофакторно удостоверяване. Роля могат да играят и данните във въпросника за риска при сключването на договора.
Първото обаждане до застрахователя
Много киберзастраховки предлагат аварийна гореща линия. Подгответе номера на полицата и кратко описание на ситуацията. При първия контакт изяснете тези въпроси и запишете отговорите с дата, час и име на събеседника:
- Трябва ли случаят да се заяви официално и в каква форма?
- Осигурява ли застрахователят собствени доставчици за криминалистика и възстановяване, или можем да възложим на свои?
- Кои разходи са одобрени предварително, кои изискват съгласие?
- Какви документи са необходими?
- Има ли изисквания за комуникация навън или за привличане на адвокати?
Запазване на доказателствата, преди да се инсталира наново
Разбираемият рефлекс след атака е сървърът веднага да се инсталира наново. За застраховката, защитата на данните и евентуален сигнал до органите това често е неблагоприятно, защото така следите изчезват. По-добре е: да се изолират засегнатите системи, да се запазят логове и дъмпове на паметта, да се изготвят списъци на файлове с времеви печати и едва след това да се почисти или изгради наново.
При PHP2Shell специализираната преса препоръчва логовете на сървъра да се пазят от 20.10.2026 г. нататък. Публикувани и потвърдени индикатори за компрометиране (Indicators of Compromise) досега няма; откриването се основава на анализ на поведението. Затова е още по-важно суровите данни да се запазят. Професионално запазване осигурява ИТ криминалистиката.
Взаимодействие със защитата на данните и сигнала до органите
Застрахователното събитие рядко върви самостоятелно. Ако може да са засегнати лични данни, важи задължението за уведомяване по чл. 33 от ОРЗД, по възможност в рамките на 72 часа от узнаването. Повече по темата има в Задължение за уведомяване по ОРЗД. Много застрахователи подпомагат с посредничество на адвокати.
Може да е смислено или желано от застрахователя и подаването на сигнал до полицията. Централните звена за контакт по киберпрестъпност на земните криминални служби (Zentrale Ansprechstellen Cybercrime der Landeskriminalämter) са подходящият адрес за това, вж. Подаване на сигнал. Съгласувайте последователността със застрахователя.
Превенция: сверете договора и аварийния план
Използвайте текущата ситуация като повод да прочетете договора си и да пренесете задълженията във Вашия авариен план. Запишете номера на горещата линия и номера на полицата на място, достъпно и без работеща ИТ. Проверете дали данните Ви за нивото на сигурността са все още верни. Структуриран ИТ авариен план помага за това.
Полезен е и кратък разговор с брокера или застрахователя извън застрахователен случай. Попитайте как застрахователят третира превантивни мерки като изключването на уебсайт от мрежата, какви доказателства очаква за актуализациите и има ли препоръки за съхранението на логове. Отговорите принадлежат писмено в аварийния план.
Как помага PHP SOS конкретно?
- Запазваме логове и системни състояния проследимо, преди да се почисти, и документираме всяка мярка с момент.
- Изготвяме технически доклад за причината, обхвата и предприетите мерки, който можете да представите на застрахователя.
- По Ваше желание се съгласуваме с доставчиците на застрахователя.
- Чрез Incident Response съпровождаме инцидента до документирано възстановяване.
Често задавани въпроси
Кога трябва да информирам киберзастраховката?
Това урежда Вашият договор. Много условия изискват незабавно уведомяване, щом е настъпило или сериозно заплашва застрахователно събитие. При съмнение уведомете рано, дори обхватът още да е неясен.
Мога ли сам да възложа на ИТ доставчик?
Някои полици предвиждат аварийна гореща линия и собствени доставчици на застрахователя или изискват съгласуване преди възлагане на трети лица. Изяснете това още при първото обаждане, за да не станат разходите спорни. Отговора записвайте писмено.
Плаща ли застраховката, ако е липсвала актуализация?
Това зависи от условията, от данните при сключването на договора и от конкретния случай. Някои договори съдържат изисквания към нивото на техниката или към актуализациите. Поискайте този въпрос да бъде оценен от Вашия застрахователен брокер или от адвокат.
Застрахователно събитие ли е вече самото пачване?
Превантивната актуализация по правило още не е щета. Ако обаче има данни за проникване, това може да се промени. Попитайте застрахователя от кога желае да бъде информиран.