Ubezpieczenie cyber dla e-commerce i sklepu internetowego
Które zależności sklepu internetowego uwzględnić w cyberpolisie?
Sklep powinien analizować cały przepływ od koszyka do wysyłki: platformę, płatności, konta administratorów, ERP, magazyn i integracje. Niedostępna strona oraz działająca strona bez możliwości realizacji zamówień to dwa różne scenariusze. Ochronę usług zewnętrznych trzeba potwierdzić w warunkach konkretnej umowy.
Sklep działa tylko tak dobrze jak najsłabsza integracja
Rozrysuj drogę zamówienia i sprawdź, gdzie przechowywany jest jego wiarygodny status. Ręczne odtwarzanie zakupów z powiadomień e-mail może spowodować podwójną wysyłkę albo brak realizacji. W planie awaryjnym uwzględnij także zwroty, reklamacje i komunikację z klientami oczekującymi na zamówienia sprzed incydentu.
Wiele kont administracyjnych należy do agencji, programisty, operatora marketplace lub dostawcy wtyczki. Spis uprawnień powinien obejmować również tokeny integracyjne i klucze API. Wyłączenie jednego konta użytkownika może nie unieważnić dostępu nadanego aplikacji. Właściciel sklepu powinien wiedzieć, kto potrafi odtworzyć ten obraz.
| Element | Potencjalne zakłócenie | Dane do przygotowania |
|---|---|---|
| Platforma i checkout | Utrata możliwości składania zamówień | Sprzedaż według godzin i sezonów |
| OMS/ERP i magazyn | Brak realizacji lub pomyłki stanów | Priorytet odtworzenia i eksport zamówień |
| Płatności i integracje | Zablokowanie części kanałów | Umowy i alternatywne ścieżki obsługi |
Przychód sklepu nie jest automatycznie utraconą szkodą
Przy obliczaniu ekspozycji uwzględnij marżę, koszty niewydane i zakupy przeniesione na później. Dzień promocji może różnić się od zwykłego dnia roboczego, dlatego jeden roczny średni obrót nie opisze wszystkich scenariuszy. Kampanie reklamowe można czasem wstrzymać, ale część wydatków już została poniesiona.
Oddziel utratę marży od kosztu zwrotów, obsługi zgłoszeń i odtworzenia aplikacji. Skutków reputacyjnych nie należy dowolnie dopisywać jako wielokrotności obrotu. Do rozmowy o sumie potrzebne są jawne założenia i warianty czasu, a nie pozorna precyzja jednej liczby.
Zapytaj o dostawców i odpowiedzialność
Ustal, czy wybrany dostawca platformy albo chmury mieści się w definicji właściwych OWU oraz co stanowi zdarzenie objęte ochroną. Brak internetu, planowane prace serwisowe i cyberatak na dostawcę nie są zamienne. Umowa SLA dostawcy również nie gwarantuje zwrotu całej straty sklepu.
Przed zapytaniem przygotuj opis danych klientów, systemu płatności, kopii bazy i plików oraz aktualizacji platformy. Wykonaj próbę odtworzenia w odizolowanym środowisku. Do agenta przekaż opis procesu i skalę danych, a nie eksport zamówień z adresami klientów ani dane kart płatniczych.
Rejestr zdarzenia i powrót do realizacji
Zachowaj metryki dostępności, historię zmian i zestawienie zamówień z okresu zakłócenia. Dane analityczne sklepu porównaj z rzeczywistymi transakcjami, ponieważ liczba sesji nie jest liczbą utraconych zakupów. Oznacz przyjęte założenia zamiast przedstawiać model jako dokładny pomiar szkody.
Po uruchomieniu sklepu uzgodnij status płatności, rezerwacji magazynowych i wysyłek. Przywrócenie strony z kopii może odtworzyć starszy stan zamówienia, dlatego potrzebna jest kontrola duplikatów i braków. Osoba prowadząca obsługę klienta powinna otrzymać potwierdzone informacje, aby nie obiecywać terminu, którego magazyn nie potrafi zrealizować. Ten etap także wymaga zaplanowanego właściciela.
Najczęstsze pytania
Czy sklep na SaaS nie potrzebuje kopii?
Trzeba ustalić zakres obowiązków dostawcy, dostępność eksportu i możliwość odzyskania danych po błędzie lub przejęciu konta. Sama subskrypcja nie odpowiada na te pytania.
Czy marketplace pokryje przestój?
To zależy od umowy z platformą. Odpowiedzialność dostawcy i zakres własnej polisy wymagają osobnego sprawdzenia.
Na czym opieramy informacje
- PZU: OWU od ryzyk cybernetycznych UZ/162/2023Punkty 1–4, 2.29, 2.30; dokument sprawdzony 2026-11-06. Zakres zależy także od polisy.
- ENISA: Good Practices for Supply Chain CybersecurityPodstawa do analizy zależności od dostawców; publikacja 2023, dostęp 2026-11-06.
- CERT Polska: raport roczny za 2025Opublikowany 08.04.2026, przegląd incydentów i zaleceń. Dostęp 2026-11-06.
Opisy scenariuszy mają charakter hipotetyczny. Daty źródeł podano przy poszczególnych dokumentach, gdy były dostępne.