89% dintre firmele cu afaceri de peste 3 milioane de euro n-au asigurare cibernetică: ce îți cere asigurătorul ca să te asigure

Un singur asigurător din cei 40 autorizați în România vinde explicit asigurare de răspundere cibernetică, potrivit unui raport publicat în 2026 de Directoratul Național de Securitate Cibernetică (DNSC). Cele mai multe polițe vin prin brokeri, de la asigurători străini. 89% dintre cele 100 de firme cu afaceri de peste 3 milioane de euro chestionate de GrECo și BCR nu au o astfel de poliță. Înainte să-ți facă o ofertă, asigurătorii îți cer șase măsuri de securitate, de la autentificarea în doi pași pe e-mail până la un backup pe care l-ai restaurat deja cel puțin o dată. Fără autentificarea în doi pași, „nu primești cotație", potrivit DNSC.

Câte firme din România au asigurare cibernetică?

Pentru România nu există o cifră oficială, dar 89% dintre cele 100 de firme cu cifra de afaceri de peste 3 milioane de euro chestionate de GrECo România și BCR nu folosesc o asigurare cibernetică, potrivit studiului publicat pe 3 februarie 2026. 61% nu știu ce rol are o astfel de poliță. Concluziile aceluiași studiu dau o rată de utilizare de 4%, fără să explice diferența față de cifra de 89%. GrECo este broker de asigurări.

Studiul mai arată că 73% dintre aceste firme alocă securității cibernetice sub 1% din cifra de afaceri, că 70% nu au făcut niciodată un audit de risc cibernetic și că 23% au trecut deja prin cel puțin un atac. În medie, firmele spun că pot tolera o întrerupere a sistemelor IT de 17 ore.

În Europa de Vest, rata de penetrare a asigurărilor cibernetice e între circa 20% și 40%: circa 40% în Regatul Unit, circa 29% în Franța, Spania și Germania și 22% în Italia, potrivit raportului Howden „Cyber Insurance – Rebooting Growth" (2025), citat de DNSC.

Unde găsești o asigurare cibernetică în România?

Cele mai multe polițe cibernetice se obțin în România prin brokeri, de la asigurători internaționali, potrivit raportului DNSC. Dintre cele 40 de societăți de asigurare autorizate de Autoritatea de Supraveghere Financiară (ASF), una singură oferă explicit produse de răspundere cibernetică, arată datele ASF pentru primele nouă luni din 2025, citate de DNSC. Celelalte includ riscul cibernetic cel mult ca extensie în polițe de bunuri, de răspundere generală sau de întrerupere a activității.

În analiza tematică a ASF din 2018, doi dintre cei 16 asigurători care au răspuns la chestionar aveau polițe cibernetice dedicate pentru firme, potrivit raportului ASF. Alți 12 spuneau atunci că plănuiesc să lanseze un astfel de produs, cei mai mulți în următorii patru ani. Șapte ani mai târziu, oferta locală dedicată nu a crescut.

În registrul ASF figurează 733 de asigurători din alte state ale Spațiului Economic European care pot vinde în România fără sediu local, printre care AIG, Allianz, AXA XL, Chubb, Generali, Hiscox, Lloyd's și Zurich, potrivit DNSC.

Raportul DNSC numește trei motive pentru care piața rămâne mică:

• asigurătorii nu au date istorice locale despre frecvența și costul atacurilor, deci evaluează greu riscul și cer prime mai mari sau limite mai mici;
• multe IMM-uri au un nivel de securitate sub pragul cerut de asigurători;
• produsele nu sunt standardizate: acoperirile și excluderile diferă mult de la un asigurător la altul, așa că ofertele se compară greu.

Nu există prețuri publice. La 14 octombrie 2026, asigurătorul local și brokerii ale căror site-uri le-am verificat nu publicau prime orientative, pentru că oferta se face individual, după un chestionar de risc. La nivel global, prețurile au scăzut cu circa 7% în trimestrul IV 2024, în toate regiunile, după vârfurile din 2021-2022, potrivit datelor Marsh citate de DNSC.

Ce acoperă, de fapt, o asigurare cibernetică?

O poliță cibernetică are două părți, potrivit raportului DNSC:

• costurile tale directe: răspunsul la incident și investigația, restaurarea datelor și a sistemelor, întreruperea activității, fraudele și phishingul, costurile de notificare a clienților, de conformare și de comunicare;
• răspunderea față de alții: reclamațiile clienților sau ale partenerilor după o scurgere de date, plățile electronice afectate și, acolo unde legea permite asigurarea lor, amenzile.

Multe polițe vin și cu acces non-stop la o echipă de intervenție care preia incidentul în primele ore, potrivit aceluiași raport.

Conținutul exact diferă mult de la o poliță la alta. Singurul produs dedicat vândut direct de un asigurător local, asigurarea de răspundere cibernetică Colonnade, acoperă reclamațiile pentru breșe de date, investigațiile administrative, costurile de apărare și refacerea reputației. Amenzile pentru protecția datelor sunt acoperite doar acolo unde legea permite plata lor. Pierderea de profit apare explicit la excluderi. Întreruperea rețelei și extorcarea cibernetică se cumpără separat, ca extensii.

Excluderile obișnuite, potrivit DNSC, sunt:

• actele de război și terorism și anumite atacuri asupra infrastructurii critice;
• pierderile provocate intenționat, mai ales de conducerea firmei;
• erorile profesionale, care țin de o poliță separată de răspundere profesională;
• costul de modernizare a sistemelor după atac, pentru că asigurarea acoperă doar readucerea lor la starea dinainte.

Plata unei răscumpărări către atacatori nu are un cadru legal clar și poate aduce riscuri juridice, chiar dacă unele polițe acoperă costurile negocierii, avertizează DNSC.

Ce îți cere asigurătorul ca să-ți facă o ofertă?

Asigurătorii cer cel mai des șase măsuri minime înainte de ofertă, potrivit raportului DNSC. Fără ele, fie refuză oferta, fie limitează mult acoperirea, mai ales pentru ransomware și întreruperea activității:

1. Autentificare în doi pași pe e-mail, pe accesul de la distanță și pe conturile de administrator. „Fără MFA, nu primești cotație", scrie DNSC. MFA e prescurtarea internațională pentru autentificarea cu mai mulți factori.
2. Backup separat, offline sau imposibil de modificat, testat prin restaurare. Asigurătorii cer tot mai des jurnalele de backup și rapoartele de testare.
3. Protecție EDR pe calculatoare și servere, adică o soluție care detectează și oprește activitatea suspectă de pe calculator, nu doar fișierele cunoscute, cum face un antivirus clasic.
4. Actualizări de securitate la zi, cu un termen fix. Raportul dă ca exemplu actualizările critice aplicate în cel mult 72 de ore.
5. Conturi de administrator separate de cele de lucru zilnic, cu acces doar la ce trebuie și cu conturile inactive închise.
6. Un plan scris de răspuns la incidente, cu roluri și persoane de contact, plus instruirea angajaților.

Tot mai des, asigurătorul nu se mulțumește cu o bifă în chestionar. Cere capturi de ecran din setările de securitate, jurnale de backup sau dovezi de participare la instruiri, potrivit DNSC. Auditurile și testele de penetrare contează la preț și la limita de despăgubire, dar rareori sunt condiție pentru emiterea poliței.

Aceleași măsuri apar și în recomandările DNSC pentru orice firmă, cu sau fără asigurare. Lista detaliată pentru un magazin online e în 9 măsuri de securitate pentru magazinul tău online.

De ce îți poate cere un client mare dovada unei asigurări cibernetice?

Companiile mari din energie, tehnologie și servicii financiare cer tot mai des furnizorilor dovada unei asigurări cibernetice, ca parte din verificarea înainte de contract, potrivit raportului DNSC. Lipsa poliței poate duce la excludere dintr-o selecție de furnizori sau la renegocierea contractului. Multinaționalele aplică regulile grupului și în România, așa că cerința coboară pe tot lanțul de furnizori, până la IMM-uri.

Băncile, investitorii și auditorii încep să citească polița ca semn că firma și-a evaluat riscul și trece de un minim de securitate, adaugă raportul. Dacă lucrezi deja cu un client din aceste sectoare, verifică în contract dacă răspunzi pentru breșe care îl afectează și ce dovezi de securitate îți poate cere.

În cât timp anunți asigurătorul după un atac?

Anunți asigurătorul în termenele scrise în poliță. La polița Colonnade, de exemplu, incidentul se anunță în scris în 7 zile calendaristice, iar circumstanțele care pot duce la o daună, precum o breșă, o amenințare cu extorcarea sau interesul presei, în 72 de ore, potrivit condițiilor publicate de asigurător.

Termenele asigurătorului se adaugă celor legale. Dacă au fost afectate date personale, ai separat 72 de ore ca să anunți autoritatea pentru protecția datelor (ANSPDCP), potrivit art. 33 din Regulamentul general privind protecția datelor (GDPR). Pașii, oră cu oră, sunt în Peste 700.000 de clienți afectați într-un singur atac: ce faci în primele 72 de ore după o breșă de date.

Recomandarea noastră e să păstrezi jurnalele și sistemul afectat înainte de orice reinstalare. Fără ele, nici asigurătorul, nici autoritatea nu pot verifica ce s-a întâmplat, deci nici dauna nu se poate dovedi ușor.

Ai nevoie de asigurare cibernetică?

DNSC a publicat un chestionar de 25 de întrebări, util mai ales pentru IMM-uri, care te ajută să decizi. Întrebările sunt grupate în cinci teme:

• cât depinzi de IT: folosești zilnic e-mail și cloud, ții date personale sau confidențiale, ți-ar fi serios afectată afacerea dacă sistemele s-ar opri 2-3 zile;
• cât de expus ești: ai primit e-mailuri suspecte, ai angajați care lucrează de la distanță, ești furnizor pentru firme mari sau sectoare reglementate, ai mai avut incidente mărunte;
• cât te-ar costa un incident: ți s-ar bloca încasările sau livrările, ai avea reclamații sau presă negativă, ești expus la amenzi GDPR, ai rezerve să plătești singur investigația, avocații și recuperarea;
• cât de protejat ești acum: autentificare în doi pași, backup testat, antivirus sau EDR, actualizări la zi, un plan „ce facem și pe cine sunăm";
• ce ți se cere din afară: clienți care cer asigurare, reglementări precum NIS2, clauze prin care răspunzi pentru breșe, alte polițe în care riscul cibernetic nu e clar acoperit.

Interpretarea DNSC: sub 8 răspunsuri „DA" înseamnă expunere redusă și prioritate pe măsurile de bază; între 8 și 15 răspunsuri „DA" merită o discuție cu un broker; peste 15 răspunsuri „DA" înseamnă că asigurarea ar trebui să facă parte din gestionarea normală a riscului. Documentul DNSC scrie ultimul prag tot „15"; l-am citit ca „16-25", singura variantă care nu se suprapune cu pragul anterior.

Cum te pregătești dacă vrei o asigurare cibernetică?

Lista de mai jos e o recomandare a redacției, construită pe raportul DNSC:

1. Completează chestionarul DNSC (anexa 3 din raport) și numără răspunsurile „DA".
2. Verifică cele șase măsuri pe care le cer asigurătorii. Dacă îți lipsește autentificarea în doi pași pe e-mail, începe cu ea.
3. Recitește polițele pe care le ai deja (bunuri, răspundere civilă, întrerupere de activitate) și întreabă asigurătorul în scris dacă acoperă un atac cibernetic. Riscurile cibernetice care nu sunt nici explicit acoperite, nici explicit excluse din polițele tradiționale duc la neînțelegeri și litigii, avertizează DNSC, citând Autoritatea Europeană de Asigurări și Pensii Ocupaționale.
4. Dacă ai cel puțin 8 răspunsuri „DA", cere o ofertă de la cel puțin doi brokeri și compară excluderile, nu doar prima: pierderea de profit, ransomware, amenzile și termenele de anunțare.
5. Notează în planul de răspuns la incidente termenul de anunțare cerut de asigurător, lângă cele 72 de ore pentru ANSPDCP.

Pentru context despre cât de pregătite sunt firmele din România, citește Starea securității cibernetice în companiile din România. Amenzile primite de firme după atacuri sunt explicate în Ești atacat cibernetic și pierzi datele clienților?

Surse

DNSC, „Raport privind piața asigurărilor de risc cibernetic din România" (PDF, 2026), inclusiv anexa 3, chestionarul „Cum verific dacă am nevoie de asigurare de risc cibernetic?"; GrECo România și BCR, „Cum privesc companiile din România securitatea cibernetică" (3 februarie 2026); ASF, „Raport privind analiza tematică referitoare la asigurarea de risc cibernetic" (PDF, 2018); ASF, rapoarte privind piața asigurărilor 2025; Colonnade Insurance, Asigurarea de răspundere cibernetică; Regulamentul (UE) 2016/679 (GDPR), art. 33.

Acest articol are caracter informativ și nu constituie consultanță juridică sau de asigurări. Condițiile unei polițe se verifică în contractul și condițiile de asigurare, împreună cu un broker sau un specialist.