Stručne: Pri kybernetickom poistení sa pri poistnej udalosti počítajú predovšetkým tri veci: včas informovať poisťovateľa, zabezpečiť dôkazy namiesto unáhleného novej inštalácie a vopred dohodnúť dôležité kroky. Čo presne platí, stojí vo vašich poistných podmienkach. Táto stránka poskytuje všeobecné upozornenia, nie je právnym poradenstvom a nenahrádza dohodu s poisťovateľom, maklérom alebo právnikom.
Žiadne právne ani poistné poradenstvo: Rozhodujúca je výlučne vaša zmluva a vyjadrenie vášho poisťovateľa. Podmienky si najlepšie prečítajte teraz, nie až v kritickom prípade.
Prečo je poistná udalosť pri kybernetických rizikách osobitná
Pri vodnej škode je zrejmé, čo sa stalo. Pri útoku na webserver je to inak: na začiatku je často len podozrenie, napríklad zvláštny súbor, nezvyčajný proces alebo varovanie poskytovateľa hostingu. Či škoda skutočne vznikla, ukáže až vyšetrovanie.
PHP2Shell je dobrý príklad. Obe zraniteľnosti CVE-2026-109618 a CVE-2026-109619 umožňujú spustenie kódu bez prihlásenia. Kto zaplátal až o niekoľko dní po 21. 10. 2026, nemôže s istotou vylúčiť, že sa predtým niečo stalo. Záplata neodstráni už zavlečený škodlivý softvér a nedokazuje, že sa nič nestalo. Otázka, či a kedy nastala poistná udalosť, preto často nie je jednoznačná.
Kybernetické poistenie pri poistnej udalosti: typické povinnosti
Povinnosti sú záväzky poisteného, ktorých porušenie môže ohroziť plnenie. Mnohé poistky obsahujú podobné body, v jednotlivostiach sa však výrazne líšia:
- Oznámenie: bezodkladne informovať poisťovateľa, len čo poistná udalosť nastala alebo hrozí.
- Zmiernenie škody: prijať primerané opatrenia na udržanie škody v malom rozsahu, napríklad odpojiť dotknuté systémy od siete.
- Dohoda: podstatné kroky, poverenia a platby vopred objasniť s poisťovateľom.
- Informácie a doklady: poskytnúť informácie a podklady potrebné na zistenie škody.
- Zabezpečenie dôkazov: nezničiť stopy zbytočne, aby zostali zistiteľné príčina a rozsah.
Niektoré zmluvy obsahujú navyše požiadavky na bezpečnosť pred škodou, napríklad pravidelné aktualizácie, zálohy alebo viacfaktorové prihlásenie. Úlohu môžu hrať aj údaje v rizikovom dotazníku pri uzavretí zmluvy.
Prvý telefonát poisťovateľovi
Mnohé kybernetické poistenia ponúkajú núdzovú linku. Majte pripravené číslo poistky a krátky opis situácie. Pri prvom kontakte objasnite tieto otázky a odpovede si zapíšte s dátumom, časom a menom partnera v rozhovore:
- Má sa prípad oficiálne oznámiť a v akej forme?
- Poskytuje poisťovateľ vlastných dodávateľov na forenznú analýzu a obnovu, alebo smieme poveriť vlastných?
- Ktoré náklady sú vopred schválené, ktoré potrebujú súhlas?
- Aké podklady sa potrebujú?
- Existujú pokyny na komunikáciu navonok alebo na zapojenie právnikov?
Zabezpečte dôkazy skôr, než systém nanovo nainštalujete
Pochopiteľným reflexom po útoku je okamžite nanovo nainštalovať server. Pre poistenie, ochranu údajov a možné trestné oznámenie je to často nevýhodné, pretože tým zmiznú stopy. Lepšie je: dotknuté systémy izolovať, zabezpečiť logy a obrazy pamäte, vytvoriť zoznamy súborov s časovými pečiatkami a až potom čistiť alebo nanovo budovať.
Pri PHP2Shell odborná tlač odporúča uchovať logy servera od 20. 10. 2026. Zverejnené, potvrdené Indicators of Compromise zatiaľ neexistujú; detekcia sa opiera o analýzu správania. O to dôležitejšie je, aby sa zachovali surové údaje. Odborné zabezpečenie zabezpečí IT forenzná analýza.
Súhra s ochranou údajov a trestným oznámením
Poistná udalosť zriedka beží osamote. Ak môžu byť dotknuté osobné údaje, platí oznamovacia povinnosť podľa čl. 33 GDPR, podľa možnosti do 72 hodín od okamihu, keď sa o tom dozviete. Viac na stránke Oznamovacia povinnosť podľa GDPR. Mnohí poisťovatelia pri tom podporujú sprostredkovanými právnikmi.
Zmysel môže mať aj oznámenie polícii, alebo ho môže želať poisťovateľ. Správnou adresou sú Zentrale Ansprechstellen Cybercrime (ZAC, centrálne kontaktné miesta pre kybernetickú kriminalitu) nemeckých krajinských kriminálnych úradov, pozri Podanie trestného oznámenia. Poradie dohodnite s poisťovateľom.
Prevencia: zosúlaďte zmluvu a núdzový plán
Využite aktuálnu situáciu na to, aby ste si prečítali svoju zmluvu a povinnosti prevzali do svojho núdzového plánu. Číslo linky a číslo poistky zapíšte na miesto, ktoré je dostupné aj bez fungujúcej IT. Skontrolujte, či vaše údaje o stave bezpečnosti ešte platia. Pomôže pritom štruktúrovaný IT núdzový plán.
Užitočný je aj krátky rozhovor s maklérom alebo poisťovateľom mimo poistnej udalosti. Opýtajte sa, ako poisťovateľ zaobchádza s preventívnymi opatreniami, ako je odpojenie webu, aké doklady o aktualizáciách očakáva a či existujú odporúčania na uchovávanie logov. Odpovede patria písomne do núdzového plánu.
Ako konkrétne pomáha PHP SOS?
- Zabezpečíme logy a stavy systémov dohľadateľne skôr, než sa čistí, a každé opatrenie zdokumentujeme s časom.
- Vypracujeme technickú správu o príčine, rozsahu a prijatých opatreniach, ktorú môžete predložiť poisťovateľovi.
- Na vaše želanie sa dohodneme s dodávateľmi poisťovateľa.
- Cez reakciu na incident (Incident Response) sprevádzame incident až po zdokumentovanú obnovu.
Časté otázky
Kedy musím informovať kybernetické poistenie?
To upravuje vaša zmluva. Mnohé podmienky vyžadujú bezodkladné oznámenie, len čo nastala poistná udalosť alebo jej hrozí vážne nebezpečenstvo. Pri pochybnostiach oznámte včas, aj keď je rozsah ešte nejasný.
Smiem si sám objednať IT dodávateľa?
Niektoré poistky predpokladajú núdzovú linku a vlastných dodávateľov poisťovateľa alebo vyžadujú dohodu pred poverením tretích strán. Objasnite to pri prvom telefonáte, aby náklady neboli sporné. Odpoveď si zaznamenajte písomne.
Zaplatí poistenie, ak chýbala aktualizácia?
Záleží to na podmienkach, údajoch pri uzavretí zmluvy a jednotlivom prípade. Niektoré zmluvy obsahujú požiadavky na stav techniky alebo na aktualizácie. Nechajte túto otázku posúdiť svojho poistného makléra alebo právnika.
Je samotné záplatovanie už poistnou udalosťou?
Preventívna aktualizácia spravidla ešte nie je škodou. Ak však existujú náznaky vlámania, môže sa to zmeniť. Opýtajte sa svojho poisťovateľa, odkedy chce byť informovaný.