Pre-Purchase Cyber Insurance Checklist for Indian Organisations | भारत में साइबर बीमा खरीदने से पहले चेकलिस्ट

Introduction | परिचय

Cyber Insurance has become a standard consideration for Indian organisations of all sizes, but buying a policy without a structured review can leave critical gaps. This checklist is designed as an advanced buyer tool to help business owners, risk managers and procurement teams compare offers, validate assumptions and integrate insurance into a practical cyber risk plan.

साइबर बीमा अब भारत में सभी आकार के संगठनों के लिए एक सामान्य विचार बन गया है, लेकिन बिना व्यवस्थित समीक्षा के पॉलिसी खरीदना महत्वपूर्ण अंतराल छोड़ सकता है। यह चेकलिस्ट एक उन्नत खरीदार उपकरण के रूप में तैयार की गई है ताकि व्यवसाय मालिक, रिस्क मैनेजर और खरीद टीम ऑफर की तुलना कर सकें, धारणाओं को सत्यापित कर सकें और बीमा को व्यावहारिक साइबर जोखिम योजना में शामिल कर सकें।

Why Cyber Insurance Is Not a Silver Bullet | क्यों साइबर बीमा जादुई समाधान नहीं है

Cyber Insurance transfers certain financial impacts of incidents but does not replace strong cyber hygiene, technical controls and contingency planning. Coverage often has limits, exclusions and conditions tied to security posture; insurers may decline claims if contractual or due diligence requirements were not met.

साइबर बीमा कुछ घटनाओं के वित्तीय प्रभावों को स्थानांतरित करता है, लेकिन मजबूत साइबर हाइजीन, तकनीकी नियंत्रण और contingency planning की जगह नहीं लेता। कवरेज अक्सर सीमाओं, अपवादों और सुरक्षा स्थिति से जुड़ी शर्तों के साथ आता है; अगर अनुबंधिक या आवश्यकता अनुसार सावधानी नहीं बरती गई तो बीमाकर्ता दावे को अस्वीकार कर सकते हैं।

What This Advanced Buyer Checklist Covers | यह उन्नत खरीदार चेकलिस्ट क्या कवर करती है

This checklist focuses on policy clarity, operational readiness, and contract-level details Indian buyers should verify before relying on Cyber Insurance. It is insurer-independent and intended to complement, not substitute, technical security improvements and legal advice.

यह चेकलिस्ट पॉलिसी स्पष्टता, परिचालन तत्परता और अनुबंध स्तर के विवरणों पर केंद्रित है जिन्हें भारतीय खरीदारों को साइबर बीमा पर निर्भर होने से पहले सत्यापित करना चाहिए। यह बीमाकर्ता-स्वतंत्र है और तकनीकी सुरक्षा सुधारों और कानूनी सलाह का विकल्प नहीं है, बल्कि उसे पूरा करने के लिए है।

Core Policy Elements to Verify | सत्यापित करने के लिए मुख्य पॉलिसी तत्व

Coverage Scope — First-Party vs Third-Party | कवरेज दायरा — प्रथम-पक्ष बनाम तृतीय-पक्ष

Confirm which first-party losses (data restoration, business interruption, forensic costs, extortion/ransom) and third-party liabilities (privacy breach claims, regulatory fines, defence costs) are included. Some policies focus on first-party costs only; others include third-party legal liabilities—know the difference for your risk profile.

पुष्टि करें कि किन प्रथम-पक्ष हानियों (डेटा पुनर्स्थापन, व्यवसाय में रुकावट, फोरेंसिक लागत, जब्ती/रैनसम) और तृतीय-पक्ष दायित्वों (गोपनीयता उल्लंघन दावे, नियामक जुर्माने, रक्षा लागत) को शामिल किया गया है। कुछ पॉलिसियाँ केवल प्रथम-पक्ष लागतों पर केंद्रित होती हैं; अन्य तृतीय-पक्ष कानूनी दायित्वों को शामिल करती हैं—अपने जोखिम प्रोफ़ाइल के लिए अंतर जानना आवश्यक है।

Policy Limits, Sublimits and Aggregate Caps | पॉलिसी सीमाएं, सबलिमिट और समग्र कैप

Check overall policy limits and any sublimits for ransomware, cyber extortion, dependent business interruption or regulatory fines. Sublimits can drastically reduce actual payable amounts. Also verify if limits are aggregate (annual) or per-incident and whether reinstatement options exist after a large claim.

कुल पॉलिसी सीमाओं और रैनसमवेयर, साइबर उ extortion, निर्भर व्यवसाय व्यवधान या नियामक जुर्माने के लिए किसी भी सबलिमिट की जाँच करें। सबलिमिट वास्तविक देय राशियों को काफी कम कर सकते हैं। यह भी सत्यापित करें कि सीमाएँ aggregate (वार्षिक) हैं या प्रति-घटना और क्या बड़े दावे के बाद पुनर्स्थापन विकल्प उपलब्ध हैं।

Exclusions and Conditional Exclusions | अपवाद और शर्तीय अपवाद

Read exclusions carefully: acts of war/terrorism, intentional acts, pre-existing incidents, known vulnerabilities not remediated, contractual fines, and bodily injury/property damage exclusions. Conditional exclusions may apply if security controls were not met at time of loss; ensure you understand required compliance levels.

अपवादों को ध्यान से पढ़ें: युद्ध/आतंकवाद के कृत्य, जानबूझकर कृत्य, पहले से मौजूद घटनाएँ, ज्ञात कमजोरियाँ जो ठीक नहीं की गईं, संविदात्मक जुर्माने और शारीरिक चोट/संपत्ति क्षति के अपवाद। शर्तीय अपवाद तब लागू हो सकते हैं यदि नुकसान के समय सुरक्षा नियंत्रणों का पालन नहीं किया गया हो; आवश्यक अनुपालन स्तरों को समझना जरूरी है।

Retroactive Dates and Waiting Periods | रेट्रोएक्टिव तारीखें और प्रतीक्षा अवधि

Confirm retroactive coverage dates (for prior acts) and waiting periods for business interruption or contingent losses. A policy might exclude incidents discovered before the retroactive date or enforce a waiting period before business interruption coverage kicks in.

रेट्रोएक्टिव कवरेज तिथियों (पूर्व कृत्यों के लिए) और व्यवसाय व्यवधान या आश्रित नुकसान के लिए प्रतीक्षा अवधियों की पुष्टि करें। एक पॉलिसी उन घटनाओं को बाहर कर सकती है जो रेट्रोएक्टिव तिथि से पहले खोजी गई थीं या व्यवसाय व्यवधान कवरेज शुरू होने से पहले प्रतीक्षा अवधि लागू कर सकती है।

Regulatory Fines, Privacy Breach Costs and Compliance | नियामक जुर्माने, गोपनीयता उल्लंघन लागत और अनुपालन

India’s regulatory landscape includes data protection rules and sector-specific obligations. Verify whether the policy covers regulatory penalties, notification and credit monitoring costs, and legal defence for government investigations. Some insurers exclude fines for wilful non-compliance.

भारत का नियामक परिदृश्य डेटा सुरक्षा नियमों और क्षेत्र-विशिष्ट दायित्वों को शामिल करता है। सत्यापित करें कि पॉलिसी नियामक जुर्माने, सूचनाकरण और क्रेडिट मॉनिटरिंग लागत, और सरकारी जांचों के लिए कानूनी रक्षा को कवर करती है या नहीं। कुछ बीमाकर्ता जानबूझकर गैर-अनुपालन के लिए जुर्मानों को बाहर कर देते हैं।

Dependent Third-Party and Supply Chain Cover | निर्भर तृतीय-पक्ष और सप्लाई चेन कवरेज

Determine whether interruptions at critical vendors (cloud providers, payment processors, logistics partners) are covered. Many businesses rely on third parties; coverage for contingent business interruption or cyber incidents at suppliers may require explicit wording or endorsements.

निर्णय लें कि क्या महत्वपूर्ण विक्रेताओं (क्लाउड प्रदाता, भुगतान प्रोसेसर, लॉजिस्टिक्स पार्टनर) में व्यवधान को कवर किया गया है। कई व्यवसाय तृतीय-पक्ष पर निर्भर करते हैं; आश्रित व्यवसाय व्यवधान या सप्लायर पर साइबर घटनाओं के लिए कवरेज के लिए स्पष्ट शब्द या संशोधन की आवश्यकता हो सकती है।

Incident Response, Forensics and Pre-Approved Vendors | घटना प्रतिक्रिया, फोरेंसिक और पूर्व-स्वीकृत विक्रेता

Check whether incident response services and forensics are included or if insurers mandate pre-approved vendors. Pre-approved vendors may speed response but could limit choice; confirm whether you can use preferred incident responders, and how their fees are treated for reimbursement.

जाँचें कि क्या घटना प्रतिक्रिया सेवाएँ और फोरेंसिक शामिल हैं या क्या बीमाकर्ता पूर्व-स्वीकृत विक्रेताओं का निर्देश देते हैं। पूर्व-स्वीकृत विक्रेता प्रतिक्रिया को तेज कर सकते हैं लेकिन विकल्प सीमित कर सकते हैं; पुष्टि करें कि क्या आप प्राथमिकता वाले रिस्पॉन्डरों का उपयोग कर सकते हैं और उनकी फीस की प्रतिपूर्ति कैसे की जाएगी।

Ransom Payments, Negotiation and Legal Permissions | फिरौती भुगतान, वार्ता और कानूनी अनुमति

Confirm policy stance on ransom payments: whether payments are reimbursed, whether insurers coordinate negotiation or only reimburse after payment, and whether local legal permissions (e.g. RBI, FTA guidance) affect payment handling. Understand any obligations to seek law enforcement advice first.

फिरौती भुगतान पर पॉलिसी की स्थिति की पुष्टि करें: क्या भुगतान प्रतिपूर्ति योग्य हैं, क्या बीमाकर्ता वार्ता का समन्वय करते हैं या केवल भुगतान के बाद प्रतिपूर्ति करते हैं, और क्या स्थानीय कानूनी अनुमतियाँ (जैसे RBI, FTA दिशानिर्देश) भुगतान हैंडलिंग को प्रभावित करती हैं। किसी भी दायित्व को समझें कि पहले कानून लागू करने वाली एजेंसी की सलाह लेनी चाहिए।

Underwriting Requirements and Security Controls | अंडरराइटिंग आवश्यकताएँ और सुरक्षा नियंत्रण

Insurers typically require information on security posture: MFA, patching cadence, endpoint protection, backups and disaster recovery plans. Document what evidence is needed during underwriting and whether post-quote surveys or security improvements are mandatory for coverage to be valid.

बीमाकर्ता आमतौर पर सुरक्षा स्थिति पर जानकारी मांगते हैं: MFA, पैचिंग की आवृत्ति, एंडपॉइंट सुरक्षा, बैकअप और डिजास्टर रिकवरी योजनाएँ। अंडरराइटिंग के दौरान किस प्रमाण की आवश्यकता है और क्या उद्धरण के बाद सर्वे या सुरक्षा सुधार कवरेज के वैध होने के लिए अनिवार्य हैं, इसे दस्तावेजीकृत करें।

Claims Process, Timelines and Dispute Resolution | क्लेम प्रक्रिया, समयसीमा और विवाद समाधान

Understand claim notification timelines, documentation requirements, insurer response SLA, and dispute resolution mechanisms (arbitration, Indian courts, foreign jurisdiction). For cross-border exposures, clarify choice of law and how currency conversion is handled for payouts.

क्लेम सूचना समयसीमा, दस्तावेज़ीकरण आवश्यकताएँ, बीमाकर्ता प्रतिक्रिया SLA, और विवाद समाधान तंत्र (अर्बिट्रेशन, भारतीय अदालतें, विदेशी क्षेत्राधिकार) को समझें। क्रॉस-बॉर्डर जोखिमों के लिए, कानून के चयन और भुगतान के लिए मुद्रा रूपांतरण कैसे संभाला जाता है यह स्पष्ट करें।

Pricing, Deductibles and Coinsurance | प्राइसिंग, डिडक्टिबल और कॉइनशोयर

Compare premiums in the context of limits and deductibles. Higher deductibles lower immediate costs but may leave SMEs exposed to cashflow shocks. Check coinsurance clauses which can reduce indemnity if minimum risk management thresholds aren’t met at loss time.

सीमाओं और डिडक्टिबल के संदर्भ में प्रीमियम की तुलना करें। उच्च डिडक्टिबल तत्काल लागत कम करते हैं लेकिन SMEs को नकदी प्रवाह झटकों के लिए उजागर कर सकते हैं। कॉइनशोयर क्लॉज़ की जाँच करें जो नुकसान के समय न्यूनतम जोखिम प्रबंधन मानदंडों के पूरा न होने पर मुआवजा घटा सकते हैं।

Operational Readiness Questions | परिचालन तत्परता प्रश्न

Before buying, run tabletop exercises and ensure internal processes (incident response, legal counsel, communications) are coordinated with policy provisions. Confirm roles for claim notification, evidence preservation, and vendor engagement during an incident.

खरीदने से पहले टेबलटॉप अभ्यास चलाएँ और सुनिश्चित करें कि आंतरिक प्रक्रियाएँ (घटना प्रतिक्रिया, कानूनी परामर्श, संचार) पॉलिसी प्रावधानों के साथ समन्वित हैं। नुकसान सूचना, साक्ष्य संरक्षण और घटना के दौरान विक्रेता जुड़ाव की भूमिकाओं की पुष्टि करें।

Practical Example: Mid-Sized Indian Retailer Breach | व्यावहारिक उदाहरण: मध्यम आकार के भारतीय रिटेलर का ब्रेच

Scenario: A mid-sized retailer in Bengaluru uses a cloud POS and a third‑party logistics partner. A credential-stuffing attack leads to a data breach exposing customer payment tokens and shuts down the online store for 48 hours.

परिदृश्य: बेंगलुरु का एक मध्यम आकार का रिटेलर क्लाउड POS और एक तृतीय-पक्ष लॉजिस्टिक्स पार्टनर का उपयोग करता है। क्रेडेंशल-स्टफिंग हमले के कारण डेटा उल्लंघन होता है, ग्राहक भुगतान टोकन उजागर होते हैं और ऑनलाइन स्टोर 48 घंटों के लिए बंद हो जाता है।

Checklist application:

• Coverage: Verify first-party forensic costs, PCI forensics, customer notification, credit-monitoring, and business interruption for 48 hours. Ensure third-party contingent BI covers the logistics outage period if relevant.
• Retroactive/Discovery: Confirm the incident discovery date is within the retroactive period and the waiting period for BI does not eliminate the 48‑hour claim.
• Vendors: Check if the insurer requires use of pre-approved forensic vendor and whether that vendor has PCI credentials.
• Ransom: If extortion occurs, confirm ransom reimbursement policy and any law enforcement notification requirements.

चेकलिस्ट का अनुप्रयोग:

• कवरेज: प्रथम-पक्ष फोरेंसिक लागत, PCI फोरेंसिक, ग्राहक सूचना, क्रेडिट-मॉनिटरिंग और 48 घंटे के लिए व्यवसाय व्यवधान की पुष्टि करें। यदि लागू हो तो लॉजिस्टिक्स व्यवधान अवधि के लिए तृतीय-पक्ष आश्रित BI को सुनिश्चित करें।
• रेट्रोएक्टिव/खोज: पुष्टि करें कि घटना की खोज की तारीख रेट्रोएक्टिव अवधि के भीतर है और BI के लिए प्रतीक्षा अवधि 48 घंटे के दावे को शून्य नहीं कर देती।
• विक्रेता: जाँचें कि क्या बीमाकर्ता पूर्व-स्वीकृत फोरेंसिक विक्रेता के उपयोग की मांग करता है और क्या उस विक्रेता के पास PCI उपाधियाँ हैं।
• रैनसम: यदि उ extortion होता है, तो फिरौती प्रतिपूर्ति नीति और किसी भी कानून प्रवर्तन सूचना आवश्यकताओं की पुष्टि करें।

Red Flags to Watch For | सतर्क रहने वाले लाल झंडे

Beware of vague wording, unspecified sublimits, unclear claim timelines, exclusions tied to minimal security lapses (e.g., lack of MFA), and brokers promising guaranteed payouts. Also be cautious if underwriting relies solely on self-reported answers without verification.

अनिर्दिष्ट शब्दावली, अज्ञात सबलिमिट, अस्पष्ट क्लेम समयसीमाएँ, न्यूनतम सुरक्षा चूकों से जुड़े अपवादों (जैसे MFA की कमी) और दावों की गारंटी देने वाले ब्रोकरों से सावधान रहें। यदि अंडरराइटिंग केवल स्व-रिपोर्टेड उत्तरों पर निर्भर करती है बिना सत्यापन के, तो सावधानी बरतें।

Practical Steps for Procurement Teams | खरीद टीम के लिए व्यावहारिक कदम

1) Map risks and identify which losses you want insured. 2) Request standardized policy wordings and run a redline review. 3) Require pre-quote security attestations and clarify remediation timelines. 4) Include cybersecurity obligations in vendor contracts to avoid coverage disputes. 5) Plan for post-incident communications and regulatory obligations.

1) जोखिमों का मानचित्र बनाएं और पहचानें कि आप किन नुकसानों का बीमा करवाना चाहते हैं। 2) मानकीकृत पॉलिसी वर्डिंग का अनुरोध करें और रेडलाइन समीक्षा चलाएँ। 3) प्री-क्वोट सुरक्षा प्रतिज्ञान की मांग करें और सुधार समयसीमाओं को स्पष्ट करें। 4) कवरेज विवादों से बचने के लिए विक्रेता अनुबंधों में साइबर सुरक्षा दायित्व शामिल करें। 5) घटना के बाद संचार और नियामक दायित्वों की योजना बनाएं।

Checklist Summary — Actionable Item List | चेकलिस्ट सारांश — क्रियान्वित करने योग्य आइटम सूची

Use this quick actionable list when comparing quotes:

• Confirm first-party vs third-party inclusions
• Identify sublimits (ransom, PCI, BI)
• Check retroactive date and waiting periods
• Read exclusions for security lapses and intentional acts
• Verify whether vendor/forensic choice is restricted
• Understand ransom handling and law enforcement obligations
• Collect underwriting evidence of controls (MFA, backups, patching)
• Clarify claims timelines, currency and jurisdiction
• Assess deductible/coinsurance impact on cashflow

जब उद्धरणों की तुलना करें तो इस संक्षिप्त सूची का उपयोग करें:

• प्रथम-पक्ष बनाम तृतीय-पक्ष शामिलताओं की पुष्टि करें
• सबलिमिट्स की पहचान करें (रैनसम, PCI, BI)
• रेट्रोएक्टिव तिथि और प्रतीक्षा अवधियों की जाँच करें
• सुरक्षा चूकों और जानबूझकर कृत्यों के लिए अपवाद पढ़ें
• सत्यापित करें कि क्या विक्रेता/फोरेंसिक चयन पर प्रतिबंध है
• रैनसम हैंडलिंग और कानून प्रवर्तन दायित्वों को समझें
• नियंत्रणों (MFA, बैकअप, पैचिंग) के अंडरराइटिंग प्रमाण जुटाएँ
• क्लेम समयसीमाएँ, मुद्रा और क्षेत्राधिकार स्पष्ट करें
• नकदी प्रवाह पर डिडक्टिबल/कॉइनशोयर के प्रभाव का मूल्यांकन करें

Conclusion and Practical Advice | निष्कर्ष और व्यावहारिक सलाह

Cyber Insurance can be a valuable part of a risk transfer strategy if purchased thoughtfully. Treat the policy as one layer in a defence-in-depth approach: invest in prevention, test response plans, negotiate clear contract terms and use this advanced buyer checklist to avoid surprises at claim time.

यदि सोच-समझ कर खरीदा जाए तो साइबर बीमा जोखिम हस्तांतरण रणनीति का एक मूल्यवान हिस्सा हो सकता है। पॉलिसी को डिफेन्स-इन-डेप्थ दृष्टिकोण की एक परत के रूप में मानें: रोकथाम में निवेश करें, प्रतिक्रिया योजनाओं का परीक्षण करें, स्पष्ट अनुबंध शर्तों पर बातचीत करें और दावे के समय आश्चर्य से बचने के लिए इस उन्नत खरीदार चेकलिस्ट का उपयोग करें।

Next Topic | अगला विषय

For further reading, consider the next topic: “Real-Life Use Cases Where Cyber Insurance Makes Sense in Business Risk Planning” — a practical follow-up that walks through sector-specific scenarios and how insurance fits into continuity planning.

आगे पढ़ने के लिए, अगला विषय देखें: “Real-Life Use Cases Where Cyber Insurance Makes Sense in Business Risk Planning” — एक व्यावहारिक अनुवर्ती जो क्षेत्र-विशिष्ट परिदृश्यों और बीमा के continuidad योजना में समावेशन को समझाता है।