Wyobraź sobie tę scenę: Twoja firma rośnie, cyfryzacja na poziomie, o jakim marzyłeś trzy lata temu, czas na ubezpieczenie. Składasz wniosek o polisę cyber. Masz antywirusa, płacisz za pakiet chmurowy, informatyk mówi, że „wszystko pod kontrolą".
Dwa dni później dostajesz maila. Nie z ofertą i wyceną. Z odmową objęcia ochroną. Powód: „niewystarczająca dojrzałość w obszarze kontroli dostępu i ochrony przed ransomware".
To jest dzisiejsza rzeczywistość polskiego rynku ubezpieczeń cyber dla MŚP. Właściciele firm są zaskoczeni, brokerzy rozkładają ręce. Zmieniło się jedno — ubezpieczyciel w 2026 roku wie o Twoich lukach więcej niż Twój własny informatyk. I zaczął za to pytać.
Dlaczego rynek się zmienił
Jeszcze w 2023–2024 ubezpieczyciele konkurowali o klientów i dość łagodnie patrzyli na brak podstawowych zabezpieczeń u mniejszych firm. Kilka głośnych fal ransomware’u i rosnąca automatyzacja ataków zmieniły bilans. Wypłaty zaczęły przewyższać składki. Branża policzyła, że tak długo się nie da.
Efekt: ubezpieczyciele przestali być bankomatami i stali się audytorami. Przed wystawieniem oferty często sami skanują publicznie dostępne zasoby Twojej firmy, czytają Twoje ogłoszenia na LinkedIn, sprawdzają, czy Twoja domena odpowiada na zewnętrzne testy bezpieczeństwa. Ankieta ubezpieczeniowa to dzisiaj egzamin, a nie formalność.
W praktyce widzimy dwie reakcje właścicieli firm, którzy pierwszy raz mierzą się z nową rzeczywistością:
- „Skoro nie mogę dostać polisy, to znaczy że nie jestem w stanie tego ogarnąć. Jedziemy bez ubezpieczenia."
- „Ok, czego tak naprawdę ode mnie oczekują? Dokończmy to i wróćmy z poprawionym wnioskiem."
Druga postawa jest znacznie tańsza. Trzecia opcja — „polisa za wszelką cenę, bez względu na zabezpieczenia" — w 2026 roku praktycznie zniknęła z rynku.
Pięć obszarów, na które patrzy ubezpieczyciel
Bez akronimowej ściany — po ludzku, czego od Twojej firmy wymaga się dziś w ankiecie ubezpieczeniowej.
1. Mocne logowanie — wszędzie, nie tylko do poczty
Ubezpieczyciel chce wiedzieć, że dostęp do Twoich systemów — poczty, panelu bankowego, systemu księgowego, zdalnych pulpitów, panelu administracyjnego hostingu — jest chroniony dwuskładnikowo. Czyli: oprócz hasła trzeba podać jeszcze coś, co jest fizycznie przy właściwej osobie (kod z telefonu, klucz sprzętowy).
Samo hasło w 2026 roku ubezpieczyciel traktuje mniej więcej tak, jak zostawienie kluczyków w stacyjce otwartego auta na parkingu. W świecie MŚP często widzimy sytuację, w której dwuskładnikowe logowanie jest włączone do poczty — i pomijane wszędzie indziej. To właśnie taki obraz wyłapuje pierwsze pytanie ankiety.
2. Backup, który da się przywrócić i którego nie da się zniszczyć
Nie „czy robicie kopie", tylko: czy kopie są niezmienne (nikt nie może ich skasować ani nadpisać), i kiedy ostatnio ktoś z firmy realnie sprawdził, że da się z nich wrócić do działania.
Dlaczego obie rzeczy razem? Bo nowoczesny ransomware najpierw szuka backupów i je szyfruje. A kopia, której nigdy nie testowałeś, w ponad połowie przypadków, które widzimy w praktyce, okazuje się niekompletna, uszkodzona albo niedostępna bez człowieka, który już w firmie nie pracuje.
O samym backupie napisaliśmy osobny post — Backup w małej firmie: zasada 3-2-1 i jedno słowo, którego zwykle brakuje.
3. Plan na sytuację kryzysową — spisany, znany, aktualny
„Zadzwonimy do firmy IT, jak coś się stanie" to odpowiedź, która kończyła wnioski w 2020 roku. W 2026 ubezpieczyciel pyta konkretnie:
- Kto podejmuje decyzje w pierwszej godzinie po ataku?
- Kto, zgodnie z przepisami, zgłasza incydent odpowiednim organom (w Polsce: Prezes UODO w przypadku danych osobowych, CERT Polska przy istotnych incydentach)?
- Czy ten plan jest wydrukowany — bo w momencie ataku dostęp do serwerów może nie być oczywisty?
Spisany plan reagowania jest jednym z tych elementów, które kosztują mało pieniędzy (głównie czas na opracowanie), a potrafią zadecydować o akceptacji wniosku. Firmy, które przechodzą nasze szkolenie Incident Response, wychodzą z niego z gotową szkieletową procedurą — tym samym materiałem, o który pyta ubezpieczyciel.
4. Ludzie przygotowani na ataki, jakie są dzisiaj
Firmy, które regularnie szkolą zespół z phishingu i testują tę wiedzę kontrolowanymi kampaniami, są dla ubezpieczyciela niższym ryzykiem. Te, w których ostatnie szkolenie odbyło się „kiedyś" albo zawierało jedno nagranie sprzed trzech lat — wyższym.
Kluczowe słowo: testują. Sama obecność godzinnego filmu w intranecie niczego nie udowadnia. Symulacja, w której pracownicy dostają kontrolowanego maila i firma mierzy, ilu ich kliknęło — udowadnia wiele. I dokładnie o taką symulację pyta ankieta.
5. Higiena aktualizacji i spójność systemów
To ostatni obszar, który często podcina szanse MŚP. Serwer, który „chodzi od zawsze i działa, nie ruszamy", publicznie dostępny panel administracyjny systemu księgowego bez dodatkowej ochrony, stare urządzenie przemysłowe wpięte do sieci biurowej — to są elementy, które ubezpieczyciel widzi z zewnątrz w kilka minut. A widząc — zadaje pytania, które ciężko obejść bez konkretnej odpowiedzi.
Nie chodzi o to, żeby wszystko łatać w ciągu doby. Chodzi o to, żeby istniał proces, dzięki któremu krytyczne luki nie zostają w firmie na kwartały.
Jak nie trafić na odmowę
Największą stratą nie jest odmowa polisy. Największą stratą jest odmowa w trakcie wypłaty — czyli sytuacja, w której zaznaczyłeś we wniosku, że coś masz, polisa została wystawiona, doszło do ataku, a ubezpieczyciel podczas likwidacji szkody stwierdza, że stan faktyczny nie odpowiadał deklaracji. Wtedy nie ma odszkodowania.
Dlatego w Ai Pulse Security z firmami, które chcą poważnie wejść w rozmowę o ubezpieczeniu, pracujemy nad tym zanim wyjdzie wniosek — nie po. W praktyce wygląda to tak:
- Audyt ROZSZERZONY — patrzymy na pięć obszarów opisanych wyżej z perspektywy ubezpieczyciela, dajemy listę rzeczy do poprawienia w kolejności od „blokuje wniosek" do „obniży składkę".
- Wsparcie przy wypełnianiu wniosku ubezpieczeniowego — tak, żeby odpowiedzi były prawdziwe, i żeby stan faktyczny za tymi odpowiedziami rzeczywiście stał.
- Dokumentacja NIS2/KSC i procedury reagowania — żeby w razie szkody móc pokazać ubezpieczycielowi, że ochrona była utrzymywana, a nie tylko wpisana w ankietę.
Ten pakiet to właśnie powód, dla którego w naszej ofercie segment „ubezpieczenie cyber" siedzi razem z compliance NIS2/KSC i szkoleniem z phishingu — bo dla polskiej firmy MŚP w 2026 to jest jedna rozmowa, nie trzy.
Jak zacząć bez żadnego zobowiązania
Jeżeli nie wiesz, czy Twoja firma w ogóle jest gotowa na rozmowę z brokerem ubezpieczeniowym — bezpłatna samoocena bezpieczeństwa pokaże Ci pięć kluczowych luk w 15 minut. Bez wysyłania danych, bez zobowiązania.
Jeżeli rozmowa z ubezpieczycielem już jest w kalendarzu i wolisz podejść do niej z realnym obrazem firmy — bezpłatna 30-minutowa konsultacja zakończy się trzema najważniejszymi rekomendacjami, nawet jeśli nie zdecydujesz się na audyt. To dokładnie ten zakres wiedzy, z którym warto wchodzić w ankietę ubezpieczeniową.
A jeżeli czytasz to i myślisz „Aha, to właśnie dlatego dostałem odmowę w marcu" — tym bardziej zadzwoń.
Ubezpieczenie cyber w 2026 nie jest już „podatkiem od ryzyka". Jest certyfikatem, który ubezpieczyciel albo daje, albo nie — w zależności od tego, czy Twoja firma zasługuje. I odwrotnie niż w 2023 roku, odmowa nie jest powodem do gniewu. Jest darmową diagnozą.
Autor: Maciej Konieczny Ai Pulse Security