Kybernetické pojištění průmyslových firem má zásadní slabinu — nekryje to, co firmám reálně hrozí nejvíce. Zatímco kybernetické pojistky typicky vylučují fyzické škody na majetku, tradiční majetkové pojistky zase obsahují výluky pro kybernetická rizika. Výsledkem je, že výrobní podniky mohou mít sjednáno pojištění za desítky milionů korun, a přesto zůstat bez ochrany ve chvíli, kdy ji nejvíce potřebují.
Výzkum specializované pojišťovny Tokio Marine Kiln ukazuje, že tento problém nabývá na závažnosti právě teď. V roce 2024 čelil asijsko-pacifický region přibližně třetině všech globálně zaznamenaných kybernetických incidentů — meziročně o 13 % více. Výroba přitom patří k nejčastěji napadeným odvětvím. Co je však zásadní: podíl kyberútoků, které způsobily reálné narušení fyzického provozu závodů, vzrostl z 38 % na téměř 80 % všech zaznamenaných poruch. Kyberútok dnes tedy ve většině případů nezůstane jen v počítačích — zastaví stroje.
Výpadek výroby bolí víc než ztráta dat
Průměrná doba výpadku výroby po ransomwarovém útoku přesahuje 20 dní. Pro výrobní firmu to znamená ztrátu, která mnohonásobně převyšuje přímé náklady na obnovu dat nebo zaplacení výkupného. Přerušení provozu — v pojišťovnictví označované jako business interruption — je přitom přesně ta položka, kterou standardní kybernetické pojistky buď vůbec nepokrývají, nebo ji kryjí jen částečně a s výraznými výlukami.
Problém tkví v rostoucí integraci provozních technologií (OT) s běžnou IT infrastrukturou. Průmyslové řídicí systémy, které ovládají výrobní linky, jsou stále více propojeny se standardními firemními sítěmi. To zvyšuje efektivitu, ale zároveň otevírá útočníkům cestu přímo k fyzickému provozu závodu. Pojistné produkty na tento posun zatím dostatečně nereagovaly — stále jsou z velké části nastaveny na tradiční IT rizika, jako je únik dat nebo výpadek webových systémů, nikoli na zastavení výroby.
Fyzické sabotáže v Evropě riziko dále zvyšují
K ryze kybernetickým hrozbám přibývají v posledních týdnech i fyzické útoky na průmyslovou infrastrukturu. V Německu byly zaznamenány sabotáže rozvoden v Bergheimu a u elektrárny Jänschwalde — v obou případech policie vyloučila technickou závadu a pracuje s hypotézou úmyslného trestného činu. Na letišti Lipsko/Halle byl v srpnu objeven dron nesoucí výbušninu; německá vláda útok připsala ruským tajným službám. Tyto incidenty ukazují, že průmyslové firmy v Evropě čelí kombinaci kybernetických i fyzických hrozeb, přičemž jejich pojistné krytí na žádnou z těchto kategorií nemusí dostatečně reagovat.
Co by správné pojistné krytí mělo obsahovat
Pro výrobní a průmyslové firmy je klíčové prověřit, zda jejich stávající pojistky skutečně pokrývají přerušení provozu způsobené kyberútokem. Konkrétně je třeba zkontrolovat tři věci: zda kybernetická pojistka zahrnuje škody na provozních technologiích (OT), zda majetkové pojištění neobsahuje plošnou výluku pro kybernetická rizika, a zda je v pojistce sjednáno krytí ušlého zisku po dobu výpadku výroby — nejen náklady na obnovu systémů.
Ideálním řešením je takzvané kombinované krytí, které propojuje kybernetická a majetková rizika bez vzájemných výluk. Na trhu taková řešení existují, ale vyžadují aktivní přístup — standardní pojistné balíčky pro firmy tuto mezeru zpravidla automaticky nezaplní. Doporučuje se konzultace s pojišťovacím makléřem, který má zkušenosti s průmyslovými riziky a rozumí rozdílu mezi IT a OT expozicemi.
Pro české výrobní firmy platí stejná pravidla jako pro jejich protějšky v Asii nebo Německu. Kybernetická rizika pro průmysl neznají hranice — a ani mezery v pojistném krytí. Firmy, které si myslí, že jsou pojištěny, mohou být v okamžiku útoku velmi nepříjemně překvapeny.