客户数据由供应商保管或处理
包括个人身份信息 PII、受保护健康信息 PHI、员工记录、支付信息、商业秘密及其他机密数据。
Cyber · Data Network Security
网络安全保险
当企业处理客户的 PHI、PII、员工记录或机密数据，或者提供软件、SaaS、联网产品和技术服务时，海外客户常把 Cyber／Data Network Security Insurance 写进订单或供应商协议。它既为黑客入侵后的应急响应和恢复提供资金，也保障企业对客户、数据主体及监管机构承担的责任。
Buyer Requirement
客户为什么在订单里要求网络安全险？
客户把数据、系统接口或关键业务交给供应商后，供应商发生的网络事件可能迅速变成客户自己的通知、停业、索赔和监管问题。
供应商事件会影响客户业务
勒索软件、云服务中断、账号入侵或系统失效，可能导致订单、交付、平台或客户服务停摆。
数据泄露触发通知与监管义务
不同司法辖区可能要求向客户、数据主体和监管机构报告；取证、律师、通知和信用监测都可能产生费用。
客户要确认供应商有应急和赔付能力
保险不仅提供责任限额，也通常连接网络律师、取证、恢复、公关和勒索谈判等专业服务。
First & Third Party
第一方保自身损失，第三方保对外责任
FIRST PARTY
第一方：企业自身的响应与恢复费用
网络事件发生后，先帮助企业控制事件、恢复运营并处理自身经济损失。
- 应急响应、网络律师、数字取证、数据泄露通知、信用监测和危机公关
- 受损或被加密的数据、软件与系统恢复费用
- 网络事件造成的业务中断损失与额外费用；供应商中断通常需要附加扩展
- 网络勒索谈判、专业顾问及法律允许范围内的付款，受制裁和保单条件限制
THIRD PARTY
第三方：对客户、数据主体与监管机构的责任
当数据泄露、网络安全失效或隐私违规导致第三方索赔或监管程序时，承担约定的抗辩与赔偿责任。
- 隐私泄露和网络安全责任索赔、律师费、抗辩费用、和解金或判赔金
- 监管调查、应对费用，以及法律允许承保的罚款或处罚
- 支付卡行业责任、卡片重发费用或评估费用，通常取决于专项扩展
- 网络媒体责任，如在线内容引起的诽谤、隐私侵害或知识产权争议
社交工程、资金转账欺诈、网络犯罪、外包服务商中断、系统性事件以及勒索软件，可能适用单独附加条款、分项限额、等待期、共同保险或更高免赔额，并非所有网络险都自动包含。
Anonymized Buyer Wording
国外客户的订单里会怎么写？
以下内容根据两份真实客户文件匿名提炼。重点不是照抄名称，而是看触发场景、限额结构、保单形式和持续期限。
处理 PHI／PII 或机密数据时要求投保
Supplier shall maintain privacy and security liability insurance, sometimes referred to as Cyber/Data Network Security insurance, with limits of at least USD 5,000,000 per claim and USD 5,000,000 aggregate when handling PHI, employee records, personally identifiable information, or confidential data.只要供应商在履约过程中创建、接收、保存、传输、分析或存储这些数据，就触发网络安全险要求；责任限额为每次索赔和累计各 500 万美元。
项目邮件直接要求确认 500 万美元单一限额
Please confirm you carry the required USD 5,000,000 single-limit cyber insurance.这类要求往往出现在下单、供应商准入或项目确认阶段。需要核对“单一限额”是否与拟投保保单的每次索赔、累计限额和分项限额一致。
同一份合同还应核对
本次合同示例要求在协议终止后，通过替代保单或延长报告期继续维持不少于 3 年。
合同允许以包含网络安全责任的组合型 Technology E&O 保单满足相关要求。
本次示例要求生效前及每年提供 ACORD COI，并指定美国持牌、A.M. Best 不低于 A-VII 的保险公司。
不能只看总保额，还要确认勒索、业务中断、社交工程等是否存在较低分项限额。
以上为匿名条款阅读示例。500 万美元限额、3 年延长报告期及保险公司评级均来自本次客户文件，不是所有订单的统一标准；最终应逐条核对客户合同与正式保单。
Quotation Checklist
网络安全险快速报价资料
先把客户英文要求发来，再补充以下资料，可减少反复沟通。
- 01业务与收入
主营业务、网站、全球收入及美国／加拿大等地区收入。
- 02数据类型与数量
PII、PHI、支付卡、员工或客户记录的大致数量及保存地点。
- 03技术服务与外包依赖
软件／SaaS 服务内容、云平台、数据中心、支付和其他关键服务商。
- 04关键安全控制
MFA、离线或不可变备份、EDR、防钓鱼、补丁管理、权限控制和事件响应计划。
- 05客户条款和目标限额
提供订单、合同或邮件中的英文原文，并说明每次／累计或单一限额要求。
- 06过往事件与索赔
说明历史数据泄露、勒索、系统中断、资金损失及已采取的整改措施。