»Ni hujšega občutka, kot ko ostaneš pred vrati lastne hiše« (video)

Kibernetski incidenti močno vplivajo na poslovanje, prihodke in ugled podjetij. Ob tem se spreminja tudi pogled na upravljanje tveganj. Če so bila digitalna tveganja še pred leti tema predvsem strokovnjakov za informacijsko varnost, jih danes vodstva podjetij obravnavajo kot poslovno in finančno vprašanje.

»Danes podjetja od zavarovanja ne pričakujejo več samo izplačila škode. Pričakujejo tudi pomoč ob incidentu in dostop do strokovnjakov, saj ni hujšega občutka, kot ko ostaneš pred vrati lastne hiše, brez vsakršnega dostopa,« je povedal Boštjan Mehle, vodja oddelka odgovornostnih zavarovanj v GrECu International, slovenski pisarni mednarodne zavarovalnoposredniške skupine GrECo, in predsednik Združenja zavarovalnih posrednikov Slovenije. Po njegovih besedah postaja za podjetja vse pomembnejše razumevanje, katera tveganja lahko obvladujejo sama in pri katerih potrebujejo dodatno zaščito ter strokovno podporo.

Ko kibernetski incident postane poslovni problem

Boštjan Mehle, vodja oddelka odgovornostnih zavarovanj v GrECo International in predsednik Združenja zavarovalnih posrednikov Slovenije FOTO: Leon Vidic

Kibernetski incident danes ni več samo tehnična težava. Kako hitro lahko postane tudi finančni problem podjetja?

V zelo kratkem času postane tudi finančni problem, ker vpliva na prihodke, poslovanje in odnose s strankami.

Ali podjetja še vedno podcenjujejo finančne posledice kibernetskih incidentov?

Podjetja še vedno podcenjujejo finančne posledice kibernetskih incidentov, predvsem kadar incident ocenjujejo pretežno kot IT-vprašanje. V resnici so finančne posledice veliko širše: vključujejo obratovalni zastoj, izgubo prihodkov, stroške kriznega komuniciranja, pravne postopke, podporo strankam in dolgoročnejši vpliv na zaupanje trga.

Mednarodne raziskave kažejo zelo visoke stroške kibernetskih incidentov. Kateri stroški običajno najbolj prizadenejo podjetja?

Podjetja običajno najbolj prizadene izpad poslovanja. Ta traja v povprečju 24 dni. Toliko časa današnja podjetja ne morejo izvajati skoraj nobene poslovne aktivnosti. Potem pa pridejo še stroški sanacije, forenzike, podpore strankam in tudi regulatorne posledice. Zato je skupni učinek pogosto večji, kot se zdi na začetku.

IBM navaja, da je povprečni strošek kršitve varnosti podatkov v letu 2024 dosegel skoraj pet milijonov dolarjev. Kateri stroški so običajno največji problem?

Največji problem so običajno stroški, ki niso vidni na prvi pogled: obratovalni zastoj, motnje pri delu, obveščanje in podpora prizadetim, pravna pomoč, forenzika in regulatorne posledice. Tudi IBM2 v poročilu za leto 2024 poudarja, da so prav izgubljeno poslovanje, »post-incidentna« podpora in globe med glavnimi razlogi, da je povprečni strošek kršitve dosegel 4,88 milijona USD.

Allianz opozarja na rast obratovalnih zastojev zaradi kibernetskih incidentov. Kako močno lahko takšni zastoji vplivajo na poslovanje podjetja?

Vpliv je lahko zelo velik, ker zastoj danes pogosto pomeni neposredno izgubo prihodkov, zamude pri dobavi, pogodbene kazni in pritisk na odnose s strankami. Allianz[1] opozarja, da so pogojni obratovalni zastoji, tehnološki izpadi in spori glede kršitve zasebnosti podatkov v letu 2024 zajemali rekordnih 28 % vrednosti velikih kibernetskih škod, kar jasno kaže, da je obratovalni zastoj ena ključnih finančnih posledic kibernetskih incidentov.

Zakaj so podjetja danes bolj ranljiva

Kibernetski incidenti imajo hude finančne posledice. IBM navaja, da je globalni povprečni strošek kršitve varnosti podatkov v letu 2024 dosegel 4,88 milijona USD. FOTO: Leon Vidic

Kako so mobiln​e tehnologije v zadnjih letih spremenile način razumevanja poslovnih tveganj?

Mobilne tehnologije so danes popolnoma spremenile način poslovanja. Niso več samo orodje za komunikacijo, ampak del vsakodnevnih procesov. To pomeni več učinkovitosti, hkrati pa tudi več ranljivosti. Poslovna tveganja so zdaj bolj razpršena, hitrejša in manj omejena na fizično lokacijo podjetja. Včasih smo tveganja razumeli predvsem skozi infrastrukturo v podjetju, danes pa moramo upoštevati še oddaljen dostop, mobilne naprave, aplikacijske ekosisteme in stalno povezavo med uporabniki, podatki in storitvami.

Veliko govorimo o digitalni povezanosti. Zakaj ta povezanost hkrati pomeni tudi večjo izpostavljenost kibernetskim tveganjem?

Večja digitalna povezanost pomeni hitrejše in bolj učinkovito poslovanje, po drugi strani pa tudi, da se lahko ena napaka ali ena ranljivost zelo hitro razširi in vpliva na širše poslovanje oziroma nezmožnost poslovanja podjetja.

Katere oblike kibernetskih incidentov so danes največje tveganje za podjetja?

Med najpomembnejšimi so danes izsiljevalski napadi, kraja ali zloraba poverilnic, vdori prek ranljivosti zunanjih sistemov, uhajanje podatkov in prekinitve poslovanja zaradi napadov ali tehnoloških odpovedi. Posebna značilnost sodobnih incidentov je, da pogosto združujejo več teh elementov hkrati, zato so posledice za podjetje širše kot nekoč.

Tveganje tretjih ponudnikov postaja nova realnost

FOTO: GrECo

V zadnjem času se pogosto omenja tveganje tretjih ponudnikov. Zakaj postaja to področje za podjetja tako občutljivo?

Tveganje tretjih ponudnikov postaja posebej občutljivo zato, ker podjetja vse več ključnih procesov selijo k zunanjim partnerjem, v oblačne platforme in k specializiranim digitalnim ponudnikom. Če pride do incidenta pri partnerju, posledice pogosto ne ostanejo pri njem, ampak se prenesejo na celotno verigo poslovanja, vključno z izpadom storitev, uhajanjem podatkov in motnjami pri delu naročnika.

Zakaj so podjetja vse bolj ranljiva zaradi odvisnosti od zunanjih digitalnih partnerjev in oblačnih storitev?

Ker del svoje operativne stabilnosti in podatkovne varnosti prenašajo na ekosistem partnerjev, nad katerim nimajo popolnega nadzora. Več ko je zunanjih povezav, več je potencialnih točk odpovedi ali zlorabe, hkrati pa je odgovornost za posledice incidenta pogosto še vedno na strani podjetja, ki storitev uporablja.

Verizon ugotavlja, da se je delež kršitev, povezanih s tretjimi ponudniki, v letu 2025 podvojil. Kaj ta podatek pomeni za podjetja v praksi?

V praksi ta podatek pomeni, da podjetje ne more več presojati varnosti samo znotraj svojih zidov. Verizon1 ugotavlja, da se je delež kršitev, povezanih s tretjimi ponudniki, povzpel na 30 %, kar kaže, da so dobavne verige, partnerji in ponudniki storitev postali enakovreden del profila tveganja. To pomeni več potrebe po preverjanju partnerjev, pogodbenih varovalkah in načrtih za odziv, če incident izvira zunaj podjetja.

Od statične k dinamični oceni tveganj

Ena ključnih finančnih posledic kibernetskih incidentov je obratovalni zastoj. FOTO: GrECo

Kateri tehnološki premiki trenutno najbolj vplivajo na razvoj zavarovalniškega sektorja?

Največji vpliv imajo trenutno podatki v realnem času, umetna inteligenca, internet stvari in vse večja digitalna povezanost poslovnih procesov. Ti premiki zavarovalnicam omogočajo natančnejše modeliranje tveganj, hkrati pa od njih zahtevajo boljšo kakovost podatkov in višjo raven upravljanja digitalnih izpostavljenosti. Sprotno spremljanje izpostavljenosti je velika prednost pri oceni tveganj, po drugi strani pa odpirajo nova vprašanja glede kakovosti podatkov, kibernetske varnosti naprav, integracije sistemov in odgovornosti, kadar je odločanje odvisno od avtomatiziranih signalov ali zunanjih platform.

Omenjate prehod iz statične v dinamično oceno tveganj. Kaj to v praksi pomeni za podjetja in zavarovalnice?

To v praksi pomeni, da se tveganja ne ocenjujejo več samo na podlagi zgodovinskih podatkov in statičnih vprašalnikov, ampak vse bolj na podlagi aktualnega vedenja sistemov, procesov in uporabnikov. Za podjetja to pomeni večjo preglednost nad lastno izpostavljenostjo, za zavarovalnice pa možnost, da ponudbo in pogoje bolj prilagodijo dejanskemu profilu tveganja.

Kibernetska odpornost ni več samo naloga oddelka IT

V GrECu na umetno inteligenco gledajo predvsem kot na podporo strokovnemu delu: pomaga pri hitrejši obdelavi informacij, pripravi analiz in bolj strukturirani oceni rizikov. FOTO: Leon Vidic

Kako naj podjetja danes pristopijo k upravljanju kibernetskih tveganj?

Pristopiti bi morala celovito: najprej razumeti svoje ključne digitalne procese in odvisnosti, nato oceniti, kje so največje ranljivosti, ter vzpostaviti jasne preventivne in odzivne ukrepe. Kibernetska tveganja niso več zgolj tehnološka tema, postala so vprašanje upravljanja, financ in poslovne kontinuitete.

Kje vidite mejo med tveganji, ki jih lahko podjetje obvladuje samo, in tveganji, ki jih je smiselno prenesti na zavarovalni trg?

Meja je običajno tam, kjer lahko podjetje z lastnimi ukrepi smiselno vpliva na verjetnost in obseg škode, na primer z dostopi, varnostnimi politikami, usposabljanjem in načrti odziva. Smisel prenosa na zavarovalni trg pa je predvsem pri tistih posledicah, ki jih ni mogoče v celoti preprečiti in bi lahko resneje prizadele bilanco podjetja, na primer večji izpadi, odgovornost do tretjih oseb ali kompleksni stroški sanacije.

Kaj podjetja pri kibernetskih zavarovanjih najpogosteje spregledajo?

Najpogosteje spregledajo, da zavarovanje ni nadomestilo za osnovno kibernetsko higieno oz. kibernetsko varnost (t. i. cyber security) in da je dejanska vrednost kritja tudi v dostopu do strokovne podpore ob incidentu. Pogosto premalo pozornosti namenjajo obsegu kritja, izključitvam, pogojem za aktivacijo kritja in temu, ali polica res sledi dejanskemu digitalnemu profilu podjetja.

Kako se na te spremembe odziva zavarovalniški trg in kaj danes podjetja od zavarovanja pravzaprav pričakujejo?

Danes podjetja ne pričakujejo samo izplačila škode. Pričakujejo tudi pomoč ob incidentu, dostop do strokovnjakov, saj ni hujšega občutka, kot ko »ostaneš pred vrati lastne hiše, brez vsakršnega dostopa«. Takrat se izkažeta ustreznost in učinkovitost sklenjenega zavarovanja.

Kaj bi danes svetovali podjetjem, ki želijo izboljšati svojo odpornost proti kibernetskim tveganjem?

Moj nasvet je preprost. Podjetje se najprej mora zavedati, da je ranljivo in da ne obstaja popolna zaščita. Zato mora redno preverjati pripravljenost na incident in jasno ločiti, kaj lahko obvladuje samo in kaj je smiselno prenesti na zavarovalni trg s sklenitvijo kritja za kibernetska tveganja.

Prihaja več napadov prek dobavnih verig

Zavarovalništvu prehaja iz statične v bolj dinamično oceno tveganj, ki temelji na podatkih v realnem času. FOTO: Leon Vidic

V GrECu International omenjate tudi uporabo umetne inteligence. Kako vam pomaga pri ocenjevanju tveganj in delu s strankami?

Razumemo jo kot podporo strokovnemu delu, saj nam pomaga hitreje obdelati informacije, prepoznati pomembne vzorce in pripraviti bolj konsistentne analitične podlage za svetovanje.

Katere spremembe na področju digitalnih tveganj pričakujete v prihodnjih letih?

Pričakujem več napadov prek dobavne verige, več zlorab identitet in poverilnic ter še večjo povezanost med kibernetskimi, operativnimi in pravnimi posledicami incidentov.

Kako se bo po vašem mnenju spreminjal odnos podjetij do kibernetske odpornosti in zavarovanja?

Mislim, da bo odnos podjetij postopno bolj zrel in bolj strateški. Kibernetska odpornost bo vse manj razumljena kot strošek IT-oddelka in vse bolj kot sestavni del finančne odpornosti, upravljanja poslovnih tveganj in odgovornega vodenja podjetja.

Mobilne tehnologije so del profila tveganj podjetij. FOTO: GrECo

¹ IBM. (2024). Cost of a Data Breach Report 2024.

² Allianz Commercial. (2025, September). Cyber security resilience 2025: Claims and risk management trends.

³ Verizon Business. (2025). 2025 Data Breach Investigations Report (DBIR).