19 lipca 2024 roku, w piątek nad ranem, firma CrowdStrike wysłała klientom rutynową aktualizację oprogramowania zabezpieczającego. Według Microsoftu w kilka godzin unieruchomiła ona około 8,5 mln komputerów z Windows. Stanęły lotniska, banki, szpitale i stacje telewizyjne.
Firma analityczna Parametrix policzyła, że same przedsiębiorstwa z listy Fortune 500 (bez Microsoftu) straciły bezpośrednio 5,4 mld dolarów. Polisy cyber miały pokryć z tego zaledwie 10–20 procent. Linie lotnicze Delta wyceniły swoje straty na ponad 500 mln dolarów i poszły do sądu.
Najciekawsze w tym sporze nie jest to, ile kosztował błąd, tylko czym CrowdStrike się broni. Pełnomocnik firmy przekonuje, że umowa z Deltą ogranicza odpowiedzialność, a w najgorszym razie roszczenie zamknie się w „jednocyfrowej liczbie milionów”. Delta ten limit kwestionuje. W maju 2025 roku sąd w stanie Georgia dopuścił część jej roszczeń do dalszego procesu, w tym zarzut zaniedbania. Według dostępnych informacji sprawa wciąż się toczy, a o limicie sąd jeszcze nie przesądził.
Jedna z największych firm cyberbezpieczeństwa na świecie broni się więc przede wszystkim jednym zdaniem w umowie. Polski programista, który pracuje na B2B i podpisuje umowę z szablonu klienta, często nie ma ani takiej klauzuli, ani polisy, która przejęłaby resztę.
Z etatu na fakturę
Według Eurostatu w 2025 roku w Polsce pracowało 778,8 tys. specjalistów ICT. Ilu z nich wystawia faktury, nie wie nikt, bo takich danych nie zbiera ani GUS, ani organizacje branżowe. W badaniu społeczności IT, którego wyniki Bulldogjob opublikował w kwietniu 2025 roku (blisko 5 tys. osób), 38,5 proc. respondentów pracowało na B2B. Z omówienia raportu No Fluff Jobs wynika z kolei, że B2B pojawia się w około 72 proc. ofert dla osób na poziomie mid i senior.
Polska branża IT coraz mocniej pracuje też dla zagranicy. Według Polskiego Instytutu Ekonomicznego eksport usług telekomunikacyjnych, informatycznych i informacyjnych wyniósł w 2024 roku ok. 80 mld zł, czyli 17 proc. całego eksportu usług. Rok do roku wzrósł o 11 proc., podczas gdy cały eksport usług urósł o 3 proc.
Przejście na fakturę zmienia stawkę, a mniej widocznie zmienia też odpowiedzialność.
Pracownik, który nieumyślnie wyrządzi szkodę pracodawcy, odpowiada tylko za rzeczywistą stratę, bez utraconych korzyści (art. 115 Kodeksu pracy), i najwyżej do wysokości trzymiesięcznego wynagrodzenia (art. 119). Na B2B ta granica znika. Wykonawca odpowiada jak każdy przedsiębiorca: za niewykonanie lub nienależyte wykonanie umowy (art. 471 Kodeksu cywilnego), czyli co do zasady za pełną szkodę. Obejmuje to zarówno straty, które klient poniósł, jak i korzyści, które przez błąd mu przepadły (art. 361 § 2 k.c.).
Weźmy seniora na B2B. Według Bulldogjob średnia stawka na tym poziomie to 25 467 zł netto miesięcznie. Ten sam specjalista na etacie odpowiadałby za nieumyślny błąd najwyżej trzema pensjami. Na kontrakcie odpowiada za cały przestój systemu klienta, utracone zamówienia i koszty naprawy. Jeśli umowa nie mówi inaczej, sufitu nie ma.
Jak wygląda szkoda
W debacie o odpowiedzialności programistów często przewija się obraz spektakularnej awarii. Codzienne szkody są mniej filmowe, ale realne.
W kwietniu 2026 roku portal ITwiz opisał kilka przypadków z rynku ubezpieczeń IT. Specjalista programował robota na linii produkcyjnej w fabryce z branży motoryzacyjnej. Błąd w kodzie sprawił, że robot wykonał niekontrolowany ruch i uderzył w infrastrukturę zakładu. Uszkodził czujniki, kamerę i dysze, a szkodę wyceniono na 25 738 euro. W innym zakładzie w sterowaniu stołem obrotowym zabrakło jednego warunku, który blokuje obrót, gdy w strefie kolizji jest robot. Stół uderzył w robota, linia stanęła, a rachunek wyniósł 11 443 euro.
Druga kategoria to dane. W 2022 roku Prezes UODO nałożył karę na Fortum Marketing and Sales Polska (4,9 mln zł) i na jej dostawcę IT, firmę PIKA (ponad 250 tys. zł). Podczas modernizacji systemu utworzono bazę, do której dostęp uzyskały osoby nieuprawnione. Urząd ustalił, że dostawca testował system na prawdziwych danych klientów bez pseudonimizacji. Po kilku rundach w sądach administracyjnych WSA w Warszawie wyrokiem z 20 maja 2026 roku (II SA/Wa 458/26) kary utrzymał. To ważny sygnał dla każdego, kto pracuje na danych klienta. RODO (art. 82 ust. 2) pozwala dochodzić odszkodowania także od podmiotu przetwarzającego, jeśli nie dopełnił obowiązków, które ciążą na nim z mocy rozporządzenia, albo działał poza poleceniami administratora.
Trzecia kategoria to spory o samo wykonanie umowy. Dobrze pokazuje to wyrok Sądu Apelacyjnego w Białymstoku z 9 maja 2019 roku (I AGa 192/18). Firma zamówiła wdrożenie systemu do obsługi sprzedaży. System działał, ale z błędami: wyciągi bankowe trzeba było obsługiwać ręcznie, raporty generowały się źle. Zamawiający zażądał 885 tys. zł kar umownych. Przegrał, bo kara w umowie dotyczyła opóźnienia, a nie wadliwego wykonania, a opóźnienia z winy wykonawcy nie wykazał.
Wykonawca wygrał więc nie dlatego, że jego kod był dobry. Wygrał, bo zdanie w umowie zostało napisane tak, a nie inaczej.
Umowa jest ważniejsza niż kod
Kodeks cywilny pozwala stronom umowy ograniczyć odpowiedzialność wykonawcy. Nie wolno wyłączyć odpowiedzialności za szkodę wyrządzoną umyślnie (art. 473 § 2 k.c.), a według dużej części prawników i sądów także za rażące niedbalstwo. Limit odpowiedzialności, np. do wartości kontraktu albo do sumy polisy, jest więc w polskim prawie normalnym narzędziem. Tym samym, na które w sporze z Deltą powołuje się CrowdStrike.
Druga strona medalu to kary umowne. Należą się w zastrzeżonej wysokości bez względu na to, jak duża jest szkoda (art. 484 k.c.). Sąd może je obniżyć, ale według Sądu Najwyższego kara należy się nawet wtedy, gdy szkody w ogóle nie było (uchwała III CZP 61/03). Dla ubezpieczenia to kluczowe, bo wiele polis wprost wyłącza kary umowne. Tak jest na przykład w karcie ogólnego produktu „OC Zawodowa” Warty (C7752, nie jest to osobny produkt dla IT): szkody z tytułu kar umownych nałożonych na ubezpieczonego są tam wyłączone. Kara wpisana do umowy może więc zostać w całości po stronie programisty, nawet jeśli ma on polisę.
Coraz częściej to klient decyduje, jak będzie wyglądała umowa. Od 17 stycznia 2025 roku banki, ubezpieczyciele i inne instytucje finansowe stosują unijne rozporządzenie DORA. Jego art. 30 nakazuje, by umowy z dostawcami usług ICT zawierały m.in. zasady podwykonawstwa, miejsce przetwarzania danych, obowiązek pomocy przy incydentach i prawo wypowiedzenia. Programista, który przez software house pracuje dla banku, dostaje więc umowę grubszą i bardziej wymagającą niż jeszcze dwa lata temu.
Co się zmienia od grudnia
Do 9 grudnia 2026 roku kraje UE muszą wdrożyć nową dyrektywę o odpowiedzialności za produkty wadliwe (2024/2853). Po raz pierwszy wprost zalicza ona oprogramowanie do produktów. Odpowiedzialność za wadliwy produkt nie zależy od winy. Dyrektywa przewiduje też domniemania, które ułatwiają poszkodowanemu wykazanie wady i związku przyczynowego.
Warto jednak czytać ją uważnie, bo w internecie łatwo o przesadę. Dyrektywa dotyczy produktów wprowadzonych do obrotu po 8 grudnia 2026 roku. Obejmuje szkody na osobie, w mieniu i zniszczenie danych, ale z wyłączeniem mienia używanego wyłącznie do celów zawodowych i danych wykorzystywanych do takich celów. Nie wywraca więc sporów B2B między software housem a klientem biznesowym. Bardziej dotknie twórców aplikacji i urządzeń dla konsumentów. W Polsce zmiany w Kodeksie cywilnym przygotowuje Komisja Kodyfikacyjna Prawa Cywilnego. Według kancelarii DWF w czerwcu 2026 roku prace nadal trwały.
Tło jest jasne. W Allianz Risk Barometer 2026, corocznym badaniu wśród ekspertów od ryzyka (risk managerów, brokerów, underwriterów), cyberincydenty piąty rok z rzędu zajęły pierwsze miejsce (42 proc. wskazań). Sztuczna inteligencja awansowała z dziesiątego na drugie (32 proc.). Biznes boi się dziś technologii bardziej niż czegokolwiek innego, a za każdą awarię ktoś w końcu odpowiada.
Co naprawdę kupujesz, kupując OC IT
OC zawodowe dla informatyków nie jest w Polsce obowiązkowe. Nie ma go w katalogu ubezpieczeń obowiązkowych, w przeciwieństwie do OC lekarza, adwokata czy biura rachunkowego. Obowiązek bierze się z umowy z klientem, jeśli ten go postawi. Na rynku działa kilku dostawców: m.in. Lloyd's przez Leadenhall i Findię, Warta z produktem „OC Zawodowa IT” oraz duzi ubezpieczyciele z ogólnymi polisami OC zawodowego.
Najważniejsza rzecz, której programiści zwykle nie wiedzą, kryje się w dwóch skrótach.
Claims made i data retroaktywna. Polisy IT, których warunki są publicznie dostępne, działają na zasadzie claims made: liczy się moment, w którym klient zgłosi roszczenie, a nie moment popełnienia błędu. Ogólne warunki Findia Tech&Cyber mówią wprost, że chronione są czyny popełnione po raz pierwszy po dacie retroaktywnej. W praktyce wygląda to tak: błąd z 2025 roku wychodzi w 2027 roku. Jeśli polisa z 2027 roku nie sięga wstecz do 2025 roku, ochrony nie ma. To samo dzieje się, gdy zmieniasz ubezpieczyciela i nowy nie przejmie daty retroaktywnej.
Okres po zakończeniu umowy. Kiedy kończysz działalność albo przechodzisz na etat, polisa wygasa, a roszczenia za dawne projekty mogą przyjść później. W tych samych warunkach Findii (wersja z 2021 roku) przedłużony okres zgłaszania roszczeń trwa do 365 dni. Trzeba o niego wnioskować najpóźniej 10 dni po końcu umowy, kosztuje 90 proc. ostatniej składki rocznej i nie przysługuje, gdy umowa wygasła przez nieopłaconą składkę.
Terytorium. Karta produktu OC konsultantów IT od Lloyd's (Leadenhall) obejmuje standardowo Europejski Obszar Gospodarczy, Szwajcarię i Wielką Brytanię. Cały świat, osobno bez USA i Kanady albo z nimi, to opcja za dopłatą. Polisa Warty domyślnie działa w Polsce. Jeśli fakturujesz klienta z Teksasu, to jest pierwsza rzecz do sprawdzenia.
OC działalności to nie OC zawodowe. Zwykłe OC firmy chroni przed szkodą osobową i rzeczową, np. gdy klient poślizgnie się w Twoim biurze albo zalejesz jego serwerownię. Błąd w kodzie, przez który klient traci pieniądze, choć nikt nie ucierpiał i nic się nie zepsuło, to tzw. czysta strata finansowa. Obejmuje ją OC zawodowe programisty, nie ogólne OC działalności.
Wyłączenia. W karcie produktu Leadenhall wyłączone są m.in. okoliczności znane przed początkiem ubezpieczenia, „nieuzyskanie zakładanego zysku” przez klienta, roszczenia podmiotów powiązanych, odpowiedzialność przyjęta w umowie ponad zakres ustawowy oraz odpowiedzialność za opóźnienie. To dwa punkty, które wprost łączą się z tym, co podpisujesz w kontrakcie. Część polis ogranicza też branże klientów: w materiałach brokera CUK pojawiają się m.in. automotive, płatności online, handel w czasie rzeczywistym, treści dla dorosłych, gry, hazard i hosting.
Ile to kosztuje i dlaczego ceny tak się różnią
Ubezpieczyciele zwykle nie publikują cennika OC IT. Ceny podają pośrednicy, a ich widełki potrafią się różnić kilkukrotnie. Jeden serwis agencyjny podaje „od 290 zł” rocznie za sumę 500 tys. zł. Inny pośrednik pisze, że jednoosobowa firma z przychodem do 300 tys. zł i klientami krajowymi zapłaci od ok. 1000 do 1500 zł rocznie przy sumie 250–500 tys. zł. Przy klientach z USA lub Kanady według niego zaczyna się od 3000 zł.
Różnica nie bierze się z tego, że ktoś się pomylił. Pod tą samą nazwą „OC programisty” kryją się różne produkty: z cyber i RODO albo bez, z karami umownymi albo bez, z Europą albo z całym światem, z datą retroaktywną albo bez niej. Porównywanie samych składek przypomina porównywanie laptopów po cenie bez patrzenia na procesor.
Dobrze to widać na przykładzie z naszej agencji. Konsultant DevOps dostał kontrakt z amerykańskim startupem. OC już miał, ale z terytorium „Europa”. Rozszerzenie na USA i Kanadę podniosło składkę mniej więcej dwukrotnie. Bez tego jego polisa przy tym kliencie byłaby tylko kawałkiem papieru.
Pięć pytań przed podpisaniem kontraktu
- Czy umowa ogranicza moją odpowiedzialność? Jeśli nie, zaproponuj limit, np. do wartości wynagrodzenia z ostatnich 12 miesięcy albo do sumy polisy. Kodeks cywilny na to pozwala.
- Jakie kary umowne podpisuję i czy moja polisa je obejmuje? Jeśli wyłącza je wprost, kara zostanie po Twojej stronie.
- Gdzie jest klient i jakie prawo obowiązuje? USA, Kanada i Wielka Brytania to osobne pozycje w polisie.
- Czy polisa sięga wstecz? Zapytaj o datę retroaktywną, szczególnie przy zmianie ubezpieczyciela.
- Czy pracuję na danych osobowych? Jeśli tak, sprawdź, czy polisa ma sekcję RODO i cyber, i nigdy nie testuj na prawdziwych danych bez zgody i pseudonimizacji.
CrowdStrike, gdy przyszło roszczenie Delty na ponad pół miliarda dolarów, miał w szufladzie umowę z limitem odpowiedzialności i prawników, którzy potrafią jej bronić. Czy limit się utrzyma, rozstrzygnie sąd. Programista na jednoosobowej działalności ma zwykle tylko szablon klienta i nadzieję, że nic się nie wydarzy. Kod nie podpisuje umów. Podpisuje je człowiek, i to on odpowiada.