Kui ühe klikiga kaob raha ja käive: küberkindlustus ettevõttele

Hommikune telefonikõne: ettevõtte IT-süsteem on lukus. Ekraanil on teade, et failid on krüpteeritud ja taastamise eest nõutakse kuuekohalist lunaraha. Varukoopiad asusid samas võrgus ja on samuti krüpteeritud. Tootmine seiskub, kliente ei saa teenindada ning iga tund suurendab kahju. See ei ole filmistsenaarium, vaid Eesti ettevõtetes korduvalt juhtunud olukord. 2026. aastal ei ole küsimus enam selles, kas küberrünnak juhtub, vaid millal ja kas ettevõte on selleks valmis.

Mis on küberkindlustus

Küberkindlustus on kahjukindlustuse koondtoode, mis kaitseb ettevõtet infosüsteemide, andmete või digitaalse tegevuse häirest tuleneva varalise kahju eest. Erinevalt crime-kindlustusest, mis keskendub tahtlikule pettusele ja omastamisele, ning D&O-kindlustusest, mis katab juhtide isiklikku vastutust, on küberkindlustuse keskmes tehniline intsident: häkkimine, lunavara, teenusetõkestusrünnak või andmeleke ja selle tagajärjed.

Kaasaegne küberkindlustus toimib tervikliku kriisiohje mehhanismina. Kate jaguneb tavaliselt kolmeks:

• ettevõtte enda kahju: süsteemide ja andmete taastamine, ärikatkestusest saamata jäänud tulu, väljapressimisega seotud kulud;
• kolmandate isikute nõuded: klientide, partnerite ja andmesubjektide nõuded andmelekke või teenuse katkestuse tõttu;
• intsidendi teenuste kulud: IT-forensika, õigusabi, kriisikommunikatsioon, järelevalveasutuste ja andmesubjektide teavitamine.

Tegeliku kaitse määrab alati konkreetse lepingu sõnastus. Eesti õiguses on oluline ka VÕS § 476 lg 4: kahjukindlustus hõlmab saamata jäänud tulu üksnes siis, kui selles on eraldi kokku lepitud.¹ Küberkindlustuses on ärikatkestuse kate seega lepingu põhiosa, mitte iseenesestmõistetav lisa.

Kaks rahvusvahelist kaasust, mis muutsid turgu

2017. aastal levinud pahavara NotPetya ei olnud tavapärane lunavara, vaid andmeid pöördumatult hävitav rünnak. Farmaatsiaettevõte Merck kandis rünnaku tõttu ligikaudu 1,4 miljardi USA dollari suuruse kahju. Kuna eraldi küberkindlustust ei olnud, esitas Merck nõude oma varakindlustuse alusel. Kindlustusandjad keeldusid hüvitamast, tuginedes sõjariski välistusele, sest rünnakut seostati Venemaa riikliku tegevusega Ukraina vastu. New Jersey kohtud otsustasid Mercki kasuks: välistuse sõnastus oli mõeldud tavapärase sõjategevuse jaoks ega hõlmanud küberrünnakut erasektori ettevõtte vastu. Kui kindlustusandja soovis kübersõja välistada, oleks ta pidanud sõnastust muutma. Vaidlus lõppes hiljem kokkuleppega.

Samal aastal langes NotPetya ohvriks ka toiduainetetootja Mondelēz, kes nõudis oma kindlustusandjalt ligikaudu 100 miljonit dollarit. See vaidlus lõppes 2022. aastal kohtuvälise kokkuleppega.

Mõlema kaasuse järeldus turu jaoks oli sama: klassikalised vara- ja vastutuskindlustuse lepingud ei ole usaldusväärne varulahendus küberriski jaoks. Pärast neid vaidlusi on kindlustusandjad sõjariski ja riikliku küberrünnaku välistused ümber sõnastanud (rahvusvaheliselt on levinud Lloyd'si turu riiklike küberrünnakute klauslid), mistõttu ei saa tänapäeval loota, et varakindlustus katab küberkahju. Sõjariski välistuse laiast tõlgendamisest vt ka postitus sõjariskist ja droonidest.

Eesti kogemus

Eesti meedia on viimastel aastatel korduvalt kajastanud juhtumeid, kus lunavararünnak on tähendanud ettevõttele mitmemiljonilist kahju. Ühel juhul said Harjumaa metallitööstusettevõtted rünnaku ohvriks, mille käigus ründajad olid süsteemi kaardistanud juba varem ja krüpteerinud nii kohapealsed kui ka pilves asunud varukoopiad. Tootmine seiskus osaliselt kuuks ajaks ja saamata jäänud tulu oli seitsmekohaline. Teises juhtumis oli kirjastusettevõte korduvate rünnakute tõttu viie aasta jooksul kaotanud ligi miljon eurot. Riigi Infosüsteemi Amet on kinnitanud, et Eesti ettevõtete kahjud küberkuritegevusest ulatuvad aastas miljonitesse eurodesse ja see on üksnes teatatud juhtumite summa.

Miks küberkindlustus on vajalik

Kahju ei piirdu lunarahaga. Lunaraha on sageli vaid väike osa kogukahjust. Suurima osa moodustab ärikatkestus, millele lisanduvad taastamise, forensika, õigusabi ja kriisikommunikatsiooni kulud.

Klassikaline kindlustus ei ole piisav. Sõjariski välistused, füüsilise kahju nõue ja andmete kui vara staatuse ebaselgus muudavad vara- ja vastutuskindlustuse küberriski puhul ettearvamatuks.

Ründajad ei vali ohvrit suuruse järgi. Väikesed ja keskmised ettevõtted on sageli haavatavamad, sest neil puudub suurettevõtte IT-võimekus. Samas võivad nad olla sissepääsuks suuremate partnerite süsteemidesse: USA kaubandusketi Target 2013. aasta andmelekke taga oli väikese teenusepakkuja kaudu saadud ligipääs.

Kindlustusandja võrgustik on kriisis väärtus. Küberkindlustuse oluline osa on 24/7 intsidendi abiliin, forensika eksperdid, läbirääkijad ja juristid. Esimestel tundidel tehtud otsused määravad kahju suuruse.

Regulatiivne surve kasvab. Isikuandmetega seotud rikkumisest tuleb isikuandmete kaitse üldmääruse (GDPR) art 33 järgi teavitada järelevalveasutust põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast rikkumisest teadasaamist, välja arvatud juhul, kui rikkumine tõenäoliselt ei ohusta füüsiliste isikute õigusi ja vabadusi; kui oht on tõenäoliselt suur, tuleb põhjendamatu viivituseta teavitada ka andmesubjekte (art 34).² GDPR art 83 näeb ette trahvid, mis raskemate rikkumiste korral ulatuvad kümnetesse miljonitesse eurodesse või protsendini ülemaailmsest käibest.² Seejuures ei tähenda edukas rünnak iseenesest, et ettevõte on seadust rikkunud: hinnatakse, kas tehnilised ja korralduslikud meetmed olid riskidele vastavad. Lisaks kehtib alates 2026. aastast küberturvalisuse seadus NIS2 ülevõtmise redaktsioonis, mis paneb seaduse kohaldamisalas olevatele üksustele intsidendist teatamise kohustuse ja juhatuse liikme vastutuse turvameetmete eest (vt NIS2 ja küberkindlustus).³

Vastutus on mitmekihiline. Andmesubjektid võivad nõuda GDPR art 82 alusel varalise ja mittevaralise kahju hüvitamist, kliendid ja partnerid majandusliku kahju hüvitamist. Kui küberturvalisuse korraldamisel ei ole tegutsetud nõutava hoolsusega, võib tekkida juhatuse liikme vastutuse küsimus (ÄS § 187). Siin on oluline koostoime D&O-kindlustusega. Kõigele lisandub mainerisk, mis kestab kauem kui tehniline intsident.

Mida kindlustuslepingus kontrollida

Kindlustuse väärtus ei peitu poliisi olemasolus, vaid selle sõnastuses. Kontrolli vähemalt järgmist:

1. Sõjariski ja riikliku rünnaku välistus. Kas see on sõnastatud piisavalt kitsalt, et tavapärane küberkuritegevus jääks kaetuks? Kes peab tõendama rünnaku omistatavust riigile ja milliste tõenditega?
2. Ärikatkestuse kate. Ooteaeg (sageli 8–12 tundi), hüvitusperiood ja kas kaetud on ka teenusepakkuja süsteemi seiskumine (dependent business interruption).
3. Kolmandate isikute nõuded ja regulatiivsed menetlused. Kas kaetud on ka trahvid, kui see on kohaldatava õiguse järgi lubatud, ja menetluskulud?
4. Ohutusnõuded. Mitmeastmeline autentimine, varukoopiate eraldatus, tarkvara uuendamine. Eesti õiguses vabaneb kindlustusandja ohutusnõude rikkumisel üldjuhul vaid ulatuses, milles rikkumine mõjutas kahju (vt hoolsuskohustus ja proportsionaalsus), kuid tingimused ja vaidluse kulu on siiski olulised.
5. Lepingueelne küsimustik. Vastused turvameetmete kohta on lepingueelse teabe osa. Ebaõiged vastused võivad anda kindlustusandjale taganemisõiguse (VÕS § 441) või pettuse korral tühistamisõiguse.
6. Kriisiteenuste kättesaadavus. Kas abiliin ja eksperdid on kättesaadavad kohe ning kas nende kaasamine vajab eelnevat nõusolekut?

Ühine joon: küber, D&O ja crime

Küberintsident ei ole sageli ainult küberkindlustuse küsimus. Kui ründaja kasutab ligipääsu selleks, et suunata makse valele kontole, on tegemist pigem crime-kindlustuse riskiga (sotsiaalne manipulatsioon, maksepettus). Kui intsidendi järel esitatakse nõue juhatuse liikme vastu, rakendub D&O-kindlustus. Kolme poliisi vahel võivad tekkida nii kattuvused kui ka lüngad. Hea kindlustusprogrammi tunnus on see, et poliisid on omavahel kooskõlastatud: on selge, milline poliis on esmane, kuidas toimib omavastutus ja kas üks poliis ei välista riski, mida teine samuti ei kata.

Kokkuvõte

Küberkindlustus ei ole luksus ega tehnoloogiaettevõtete privileeg. See on sama loomulik osa vastutustundlikust ettevõtlusest nagu tule- või vastutuskindlustus. Rahvusvahelised ja Eesti juhtumid annavad sama sõnumi: rünnak ei küsi luba ega tee vahet suurtel ja väikestel ettevõtetel. Küberkindlustus hüvitab kahju, kuid annab ka kriisis vajaliku ekspertvõrgustiku. Eesti turul pakuvad sellist katet suures osas piiriülesed kindlustusandjad ja maaklerid, mistõttu tasub tingimusi võrrelda ja lasta need enne sõlmimist läbi vaadata.

Autor: Olavi-Jüri Luik. Õiguslik seis november 2026.

Seotud lehed

• Küberkindlustus
• Ärikatkestuskindlustus
• Crime-kindlustus
• NIS2, küberturvalisuse seadus ja kindlustus
• Sõjarisk ja geopoliitiline risk

Viited