网络信息安全险

会，而且「小」不是保护色。德国信息产业协会（Bitkom）2025 年 9 月 18 日公布的调查显示：过去十二个月里 87% 的德国企业遭遇过数据与设备失窃、间谍或破坏，一年前这个比例是 81%；由此造成的损失合计 2892 亿欧元，其中来自网络攻击的部分是 2024 亿欧元。该调查代表性地访问了一千余家各行业企业。

攻击者不筛选客户，钓鱼邮件和勒索软件都是群发的。真正决定您会不会中招的，不是公司大小，而是有没有人在某个下午点开了那封邮件。

先看三件事：您有没有员工使用邮箱、有没有一台电脑上存着账目或工资单、有没有一个会转账的银行账户。三件里中一件，风险就存在。

ERGO 公开的四个理赔案例，起点全都是一名员工坐在电脑前：打开了邮件附件、在假网站上填了网银账号、点了搜索结果里的一个链接、误删了一个数据库。这四件事和您做不做电商没有关系。

如果确实完全不掌握客户个人数据、系统停一天也不影响收入，那么 Kompakt 版足够，不必上完整版。这一点我们在出方案时会直说。

三份保的是三件不同的事：

• 网络信息安全险赔的是数字世界里的损失：数据和系统的恢复、被骗走的转账、停业期间的营业损失，以及数据泄露之后的通知、公关和法律费用。
• 公司财险赔的是东西本身：设备、装修附属和货物被火烧了、水泡了、被偷了。服务器被烧毁归它，服务器被加密归网络险。
• 企业第三方责任险赔的是线下对别人造成的损害：客人在店里滑倒、施工损坏了业主的房子。客户数据泄露引发的索赔不在它的范围，属于网络险的完整版。

两件事不重叠。IT 服务商负责的是把系统建好、维护好；出事之后要做的取证、报备、通知、公关和法律程序，通常不在日常运维合同里，而这几项恰恰是费用最集中的地方。

而且顺序上有个现实问题：事故当天您需要马上调动这些人，此时讨论谁付钱会耽误时间。保险的实际作用是把这一步的决策省掉——报案之后由保险公司调度服务商，费用直接走保单。

• 数据与程序的恢复：被删除、被加密、被损坏的数据和程序重新做出来的费用，两档都含
• IT 与通讯的额外费用：事故期间临时租用设备、临时方案的费用，两档都含
• 计算机诈骗：因诈骗造成的资金损失，两档都含
• 员工操作失误造成的损失：只在完整版里
• 营业中断的损失与额外费用：只在完整版里，等待期 10 小时，赔付期最长 180 天

这一块整体只在完整版里，Kompakt 版不含。范围包括三类：数据保护违规（个人数据被泄露）、数据保密违规（客户或合作方的保密信息外流）、IT 安全违规（您的系统成了攻击别人的跳板）。

对做电商、做贸易、替客户保管资料的企业来说，这一块往往比自己那边的损失更难承受，因为索赔金额不由您决定。

五项，两个版本都有：

• IT 服务与取证费用：查清楚是怎么进来的、有没有留后门、哪些数据真的外流了
• 通知费用：向受影响的人发出法定通知的费用
• 危机管理费用：包括声誉受损时的外部顾问与公关措施
• 网络威胁处置：遭遇勒索或威胁时，ERGO 协助化解局面并承担相关费用
• 网络法律保障（Cyber-Rechtsschutz）：相关法律程序中的费用

ERGO 的两档保障都包含「网络威胁」这一项：遭遇勒索时协助您化解威胁局面，并承担相应费用。2024 版条款把网络威胁（Cyber-Bedrohung）列为共同承保内容。

赎金本身是否赔付、在什么条件下赔付，取决于具体条款；在德国，支付赎金另外还牵涉制裁法与刑法上的判断。这一项我们在出方案时会按您那份条款逐条说明，不在页面上给一个笼统的答案。

实务上更值得先做的是另一件事：真正让企业撑过勒索的是可用的离线备份。预防服务包里的数据备份策略指引，就是为这一步准备的。

ERGO 2024 版条款把罚款（Bußgelder）列入了共同承保，适用范围以法律允许为限。

这句限定不是客套。德国法律界的主流观点认为行政罚款本身不可保，因为保险会消解罚款的惩戒作用，而联邦最高法院至今没有就此作出终局判决。所以这一项能覆盖到什么程度要看个案。

可以确定拿到的是另外几笔，而且金额往往比罚款更大：取证费用、通知每一位受影响客户的费用、危机公关，以及行政程序中的法律费用。这几项在两档保障里都有。

算。ERGO 明确把居家办公与移动办公的网络风险包含在两档保障内，不需要单独加保。

2024 版条款还把自由职业协作者纳入了完整版的共同承保，以及存放在外部服务商处的数据。对把开发、记账或客服外包出去的公司，这一条值得单独确认一次。

判断标准就两条：您手上有没有别人的个人数据，以及系统停三天您损失多少。

两条里中一条，就该上完整版：有客户数据意味着可能被索赔，停机有损失意味着需要营业中断保障，而这两块正是 Kompakt 版没有的。

两条都不中——不掌握客户数据、停几天也不影响收入——那么 Kompakt 版够用，服务项目一样不少。

有。ERGO 说明针对部分行业提供专门的方案设计。您所在的行业是否在其中、条件是什么，我们在出方案时替您确认。

网络险没有统一价目表。保费主要看四件事：行业、年营业额、要保的保险金额与自付额，以及您现有的 IT 安全水平。同样规模的企业，做电商和做线下服务差别很大。

我们不在页面上写一个数字，因为随便给的数字对您的决策没有意义。把行业、大致营业额、员工人数和现在的 IT 情况告诉我们，出一份按您公司算的方案。

网络险的核保问的是您平时怎么做，不是您有多大。常见的几项是：数据有没有定期备份、备份是不是离线保存、系统和杀毒软件有没有及时更新、员工的账号权限是怎么分的、有没有做过安全培训。

这些在保单里叫义务（Obliegenheiten），做不到会影响理赔。ERGO 2024 版条款把这些义务做了精简，并且写得更清楚，这对不以德语为母语的投保人来说是实实在在的差别。

投保前我们会把这份问题清单用中文和您过一遍，答不上来的地方先补，而不是签完字再说。

看两件事。第一，您的员工是不是主要靠邮件和外部打交道——是的话，模拟钓鱼演练和在线培训是投入产出比最高的一项，因为绝大多数事故就是从这里进来的。

第二，算一下自付额。舒适版让首次事故的自付额减半（最多减 2.500 欧），高级版首次事故最高免除 5.000 欧，并且放弃因出险而解约的权利。加费是保费的 20%，封顶 3.000 欧。自付额定得高的合同，这笔账通常划算。

不要关机重启。 内存里的痕迹一关就没了，取证会因此变得困难甚至不可能，而取证结论直接影响后面向监管机构说明「哪些数据外流了」。

把受影响的设备从网络里断开（拔网线、关无线），但保持开机；然后立刻联系我们和保险的应急服务，由 IT 服务商接手。

同时开始记录时间：什么时候发现的、谁发现的、看到了什么。这份记录后面报备时要用，也是 72 小时起算点的依据。

从您知悉（Kenntnis）发生了个人数据泄露的那一刻起算，不是从攻击发生那一刻，也不是从查清楚全部细节那一刻。

第 33 条的原意是先报备、后补充：一开始信息不全也要先报，之后可以分阶段补充。超过 72 小时的，报备时必须说明延迟的理由。

这块表在周末和节假日照走，所以周五下午发现问题和周一发现问题，压力完全不同。

建议报。德国各州警方为企业设有网络犯罪专门联系点（Zentrale Ansprechstelle Cybercrime，简称 ZAC），联邦刑警局（BKA）设有对应部门并牵头这个联络网络。ZAC 面向企业和机构，不受理私人报案。

报案与向数据保护监管机构报备是两回事，两边都要做，而且互不替代。

这两件事的德语沟通我们可以替您做，报案回执和报备记录在后续理赔中也用得上。

这正是我们在这份保险上最实际的作用。事故当天要打交道的每一方——保险公司的应急服务、IT 取证服务商、数据保护监管机构、可能还有警方和您的客户——都在用德语工作，而法律给的时间是 72 小时。

我们的分工是：您用中文把情况告诉我们，我们负责报案、协调取证服务商、准备报备材料、起草给客户的通知稿，并把每一步的进展和期限用中文同步给您。

需要说明的是，这项服务的前提是保单经我们办理。德国的数据保护规定不允许我们介入在别处签下的合同。