ביטוח סייבר לחברות: מה הכיסוי כולל ומה לבדוק לפני החתימה?

ביטוח סייבר לחברות הוא פוליסה שנועדה לכסות את העלויות הישירות של אירוע סייבר כלפי החברה עצמה, לצד החשיפה לתביעות מצד לקוחות, ספקים או גורמים שלישיים שנפגעו ממנו. לפני החתימה, ההנהלה צריכה לבחון לא רק את גובה הכיסוי הכולל, אלא גם את בסיס הפוליסה, תתי-הגבולות, החריגים ותקופת הגילוי, כי אלה הסעיפים שקובעים בפועל מתי הפוליסה משלמת ומתי לא.

מיתוס נפוץ בקרב הנהלות הוא ש'ביטוח סייבר' הוא מוצר אחיד, ושההבדל בין פוליסה לפוליסה הוא רק בגובה הסכום שמופיע בעמוד הראשון. בפועל, שתי פוליסות עם אותו סכום ביטוח כולל יכולות להיראות דומות לחלוטין בהצעה ולהתנהג אחרת לגמרי ברגע האירוע, בגלל האופן שבו מוגדרים הכיסויים, החריגים וגבולות המשנה בתוכן.

מה ביטוח סייבר מכסה בפועל: כיסוי צד ראשון וצד שלישי

פוליסת סייבר בנויה משני מרכיבים שונים במהותם, גם כשהם מופיעים באותו מסמך. כיסוי צד ראשון מתייחס לנזק שנגרם לחברה עצמה: עלויות חקירה פורנזית לזיהוי מקור האירוע, שחזור מערכות ונתונים, התמודדות עם השבתת פעילות, והוצאות תגובה מיידית כמו ייעוץ משפטי וניהול משבר. הכיסוי הזה מופעל ברגע שהחברה מגלה את האירוע, בלי קשר לשאלה אם מישהו מבחוץ כבר הגיש תביעה.

לעומת זאת, כיסוי צד שלישי נכנס לפעולה רק כשצד חיצוני, למשל לקוח שמידעו האישי דלף, ספק שנפגע משיבוש בשרשרת האספקה הדיגיטלית, או רשות רגולטורית, מגיש תביעה או דרישה כלפי החברה. במקרה כזה הפוליסה אמורה לכסות הוצאות הגנה משפטית וסכומי פיצוי שנפסקו או הוסכמו. חברה שמבינה את ההבחנה הזו יודעת לשאול שאלה מדויקת יותר: לא 'כמה הכיסוי', אלא 'כיסוי למה, ועד איזה גבול בתוך הגבול הכולל'.

בסיס הפוליסה: כיסוי לפי מועד התביעה ולא לפי מועד האירוע

רוב פוליסות הסייבר הנמכרות לחברות נבנות על בסיס "claims made", כלומר הכיסוי חל על תביעות שהוגשו בתקופת הביטוח, ולא בהכרח על אירועים שקרו בתקופה הזו. המשמעות המעשית: אירוע שקרה בתוך תקופת הפוליסה אך התביעה בגינו הוגשה אחרי שהפוליסה הסתיימה, עלול שלא להיות מכוסה כלל, אלא אם קיימת בפוליסה הרחבה מתאימה.

ההבדל הזה חשוב במיוחד בעולם הסייבר, שבו פער הזמן בין חדירה לרשת לבין גילויה בפועל יכול להיות ארוך. חברה שמחליפה מבטח, מצמצמת פעילות או משנה מבנה ארגוני, צריכה לבדוק מה קורה לכיסוי על אירועים שאולי כבר קרו אך טרם התגלו, ולא להניח שהרצף פשוט נשמר אוטומטית.

תקופת גילוי ותאריך רטרואקטיבי: שני סעיפים שקל לדלג עליהם

תקופת הגילוי (extended reporting period) מאפשרת לדווח על אירועים לאחר תום הפוליסה, בתנאים שמוגדרים מראש בכתב הביטוח. חברה שלא בודקת את אורך התקופה הזו ואת התנאים להפעלתה, עלולה לגלות שהחלון להגשת תביעה נסגר בדיוק כשהיא זקוקה לו, במיוחד אחרי סיום חוזה עם מבטח מסוים או מעבר למבטח אחר.

תאריך רטרואקטיבי הוא הגבול ההפוך: הוא קובע מאיזה מועד ואילך מכוסים אירועים, גם אם התביעה עליהם מוגשת בתוך תקופת הפוליסה הנוכחית. חברה שמחזיקה ביטוח סייבר כמה שנים ברצף צריכה לוודא שהתאריך הרטרואקטיבי לא "זחל" קדימה בעת חידוש, כי זה בדיוק המנגנון שיכול להשאיר מחוץ לכיסוי אירוע ישן שהתגלה מאוחר.

חריגים שמצמצמים את הכיסוי בלי להיראות דרמטיים

לצד החריגים המוכרים, כמו נזק שמקורו במעשה מכוון של בעל שליטה, קיימים חריגים שנשמעים טכניים אך משנים את התמונה באופן מהותי. חריג הקשור לכשל תשתית שאינה בשליטת החברה, למשל הפסקת שירות אצל ספק ענן חיצוני, יכול לצמצם משמעותית את הכיסוי במקרה שבו מקור התקלה הוא חיצוני לרשת הארגונית עצמה, גם אם הנזק לחברה זהה.

חריג נוסף שדורש תשומת לב הוא הגדרת "פעולה עוינת" או אירוע שמקורו במדינה או בגורם מדינתי. חריגים כאלה נפוצים בפוליסות בינלאומיות, והם רלוונטיים לחברות ישראליות באופן ישיר, נוכח אופי האיומים שחברות בישראל חשופות אליהם. ההנהלה צריכה לבקש מהמבטח ניסוח ברור של החריג הזה, ולא להסתפק בהפניה כללית לנוסח גנרי.

גבולות אחריות ותתי-גבולות: כשהסכום הכולל לא אומר הרבה

פוליסת סייבר כוללת לרוב גבול אחריות כולל, אך גם שורה של תתי-גבולות פנימיים לכל סוג הוצאה: תתי-גבול נפרד לעלויות חקירה פורנזית, לניהול משבר ויחסי ציבור, לתביעות רגולטוריות ולאובדן הכנסות. חברה שרואה רק את הסכום הכולל עלולה לגלות באמצע אירוע שתת-הגבול הרלוונטי דווקא נמוך ביחס לסכום הכולל, והוא זה שנגמר ראשון.

• לבדוק מה תת-הגבול הנפרד לעלויות חקירה פורנזית ושחזור מערכות
• לבדוק מה תת-הגבול להוצאות ניהול משבר ויחסי ציבור
• לבדוק האם קיים תת-גבול נפרד להליכים ולעיצומים מול רשויות
• לבדוק מה קורה כאשר כמה תתי-גבולות מתממשים באותו אירוע
• לבדוק אם קיימת השתתפות עצמית שונה לכל סוג כיסוי

השאלה הרלוונטית לדירקטוריון ולהנהלה אינה רק "מה הסכום הכולל", אלא "מה הסכום הזמין לכל תרחיש ריאלי", כולל תרחיש שבו כמה סוגי הוצאה מתממשים יחד באותו אירוע, כפי שקורה בפועל במתקפות כופר מורכבות.

מי בארגון צריך לשבת סביב השולחן לפני החתימה?

בחירת פוליסת סייבר אינה החלטה שצריכה להתקבל רק על ידי מנהל הרכש או סמנכ"ל הכספים מול הצעת מחיר. היא דורשת מפגש בין שלוש זוויות: הזווית הטכנולוגית, בדרך כלל CISO או מנהל IT שמכיר את הפערים בפועל ברשת; הזווית הכספית, שמסתכלת על חלוקת הסיכון מול תקציב; והזווית המשפטית, שקוראת את הנוסח המשפטי של החריגים וההגדרות ומבינה את המשמעות שלהם במקרה של מחלוקת.

עו"ד זיו און, עם ניסיון של למעלה מ-20 שנה בליטיגציה ובדיני ביטוח, הסמכה כחתם ביטוחי סייבר (CCIS) מלונדון והסמכות CISO ו-DPO, מלווה הנהלות ודירקטוריונים בדיוק בנקודת החיבור הזו, שבה שפה טכנולוגית ושפה משפטית צריכות להיפגש סביב אותו מסמך. כשהבדיקה נעשית דרך עורך דין, היא גם נהנית מחיסיון עורך דין-לקוח, בעוד בדיקה שמבצע יועץ שאינו עורך דין אינה נהנית מהגנה כזו.

צ'קליסט מעשי: מה לבדוק בפוליסה לפני שחותמים?

• לוודא על איזה בסיס נבנית הפוליסה, claims made או בסיס אירוע, ולהבין את המשמעות התפעולית
• לבדוק את אורך תקופת הגילוי ואת התנאים להפעלתה בעת מעבר בין מבטחים
• לוודא שהתאריך הרטרואקטיבי לא זחל קדימה בעת חידוש הפוליסה
• לקרוא את נוסח חריג כשל התשתית החיצונית ואת חריג הפעולה העוינת או המדינתית
• למפות את תתי-הגבולות הפנימיים מול תרחישי אירוע ריאליים ולא רק מול הגבול הכולל
• לוודא מי מוגדר כ'מבוטח' בפוליסה, כולל חברות בת וקבלני משנה שמחוברים לרשת

לחברות שפועלות מול גופים פיננסיים באירופה כדאי להוסיף בדיקה נקודתית מול דרישות DORA, שחלות על ספקי שירות לגופים פיננסיים באיחוד ועשויות להשפיע על מבנה הכיסוי הנדרש מצד הלקוח האירופי עצמו.

מתי כדאי לבצע את הבדיקה הזו, ולא רק בעת חידוש שנתי?

שינוי מהותי במבנה הארגוני, רכישת חברה נוספת, הרחבת פעילות לשוק חדש או מעבר לספק ענן אחר, כל אלה הם רגעים שבהם כדאי לבדוק מחדש את ההתאמה בין מבנה הפוליסה הקיים לבין המציאות העסקית בפועל, ולא להמתין למועד החידוש השנתי. פוליסה שהתאימה למבנה הארגוני לפני שנתיים אינה בהכרח מתאימה לאותו ארגון אחרי מיזוג או הרחבה.

בדיקה כזו, הנעשית תחת חיסיון עורך דין-לקוח, מאפשרת להנהלה ולדירקטוריון לקבל תמונה מדויקת של הפערים בין מה שקיים על הנייר למה שקיים בפועל, ולסגור אותם בזמן, לפני שהם הופכים לבעיה בעיתוי הגרוע ביותר: תוך כדי אירוע. מי שרוצה לבדוק את מבנה הפוליסה הקיימת מול מצב הארגון בפועל מוזמן לשיחת אבחון עם הצוות של CyberSure.

שורה תחתונה להנהלה ולדירקטוריון

ביטוח סייבר לחברות אינו מוצר מדף שמספיק לבדוק לפי גובה הכיסוי הכולל. ההבדל האמיתי בין פוליסה שמגינה בפועל לפוליסה שמאכזבת ברגע האמת נמצא בפרטים: בסיס הכיסוי, תקופת הגילוי, התאריך הרטרואקטיבי, נוסח החריגים ותתי-הגבולות הפנימיים. בדיקה שיטתית של הסעיפים האלה, לפני החתימה ולא אחרי האירוע, היא הדרך המעשית להנהלה לוודא שהכיסוי שנרכש אכן תואם את הסיכון שהחברה חשופה אליו.