Crime- ja küberkindlustuse koostoime: kus on piir

Lühidalt. Üks sündmus võib käivitada kolm lepingut: e-posti konto ülevõtmine viib petturliku makseni (crime), andmelekke ja süsteemide puhastamiseni (küber) ning lõpuks nõudeni juhatuse vastu (D&O). Lepingud on koostatud eri loogikaga: crime-leping katab kaotatud raha, küberleping tehnilised kulud ja vastutuse, D&O-leping juhtide isikliku vastutuse. Katteaugud tekivad definitsioonide piiril ja vastastikustes välistustes. Kui mitu lepingut kindlustavad sama huvi sama riski vastu ja kokku ületaksid hüvitised kahju, kohaldub mitmekordse kindlustuse regulatsioon (VÕS § 486) ning sellest ei saa kokkuleppega kõrvale kalduda; kui lepingud katavad aga tegelikult erinevaid huvisid või riske, määravad katte piirid poliisid ise ja „muu kindlustuse“ klauslid võivad mõjutada, milline leping kahju kannab. Iga katteauk ei ole seega seadusvastane.

1. Iga lepingu põhiala

Kahju	Crime	Küber	D&O
Petturliku makse summa	põhikate	piiratud laiendus	ei
Töötaja omastamine	põhikate	ei	ei
Forensika ja intsidendi lahendamine	uurimiskulud (piiratud)	põhikate	ei
Süsteemide taastamine	ei	põhikate	ei
Ärikatkestus	ei	põhikate	ei
Andmelekke teavitused ja vastutus	ei	põhikate	ei
Järelevalvemenetlus ühingu suhtes	ei	jah	C-kate (piiratud)
Nõue juhatuse liikme vastu	ei	ei	põhikate
Lunaraha	vahel (arvutipettus)	väljapressimise moodul	ei

Tabel on üldistus; konkreetne kate sõltub lepingutest.

2. Tüüpilised katteaugud

2.1. Kaotatud raha küberlepingus

Paljud küberlepingud välistavad rahaliste vahendite kaotuse või katavad selle väikese alamlimiidiga. Ettevõte, kellel on ainult küberleping, avastab pärast arvepettust, et tema suurim kahju (makstud summa) on katmata, kuigi küberleping kattis e-posti konto uurimise.

2.2. Tehniline rünnak crime-lepingus

Crime-leping võib välistada kahju, mis tuleneb küberrünnakust, kui see on kaetud küberlepinguga, või nõuda, et pettus oleks toime pandud „kindlustatu arvutisüsteemi“ kaudu. Kui pettur kasutas tarnija ülevõetud e-posti, ei pruugi kumbki tingimus täituda.

2.3. Sotsiaalne manipulatsioon kahe lepingu vahel

Sotsiaalse manipulatsiooni kate võib olla kas crime- või küberlepingus, sageli mõlemas väikese alamlimiidiga. Ettevõte peab teadma, kumb on esmane ja kas teine on lisakate või välistab kahju, kui see on kaetud mujal (vt sotsiaalne manipulatsioon).

2.4. Juhatuse vastutus pärast intsidenti

Kui D&O-leping välistab küberintsidendist tulenevad nõuded, jääb juhatuse liikme vastutus katteta, sest küberleping ei kata juhi isiklikku vastutust ühingu ees (vt uued riskid juhatusele).

2.5. Sõja- ja sanktsioonivälistus

Kui pettus või rünnak on seotud riikliku operatsiooniga, võivad kõik kolm lepingut tugineda sõjariski või sanktsioonide välistusele korraga. Need välistused on eri lepingutes sõnastatud erinevalt, mistõttu sama sündmus võib olla ühes lepingus kaetud ja teises mitte (vt sõjarisk).

3. Kui mitu lepingut katab sama kahju

Kui sama huvi on kindlustatud mitme kindlustusandja juures ja kindlustussummad kokku ületavad kahju, on tegemist mitmekordse kindlustusega; kindlustusandjad vastutavad kindlustusvõtja ees solidaarselt, kuid kindlustusvõtja ei saa kokku rohkem kui kahju.¹ Praktikas sisaldavad lepingud „muu kindlustuse“ klausleid:

lisakatte klausel (excess other insurance): leping maksab üksnes seda osa, mida teine leping ei kata;
välistusklausel: kahju ei kaeta, kui see on kaetud teise lepinguga;
proportsionaalne klausel: kahju jagatakse lepingute vahel limiitide suhtes.

Kui kaks lepingut sisaldavad vastastikuseid lisakatte klausleid, võib tekkida ring, kus kumbki leping väidab end olevat teisejärguline. Eesti õiguses tuleks sel juhul rakendada mitmekordse kindlustuse seadusreeglit, sest vastandlikud klauslid neutraliseerivad teineteist. Analüütiline järeldus: see ei ole kohtupraktikas kinnitatud, mistõttu on parem lahendada küsimus lepingute sõlmimisel.

4. Kooskõlastamise meetodid

Sama kindlustusandja või kombineeritud poliis. Mõned kindlustusandjad pakuvad küber- ja crime-katet ühes lepingus, mis vähendab definitsioonide vastuolu.
Ühised definitsioonid. „Arvutisüsteem“, „küberintsident“, „töötaja“, „petturlik juhis“ peaksid lepingutes olema samad või vähemalt mitte vastandlikud.
Selge järjekord. Leppige kokku, milline leping on sotsiaalse manipulatsiooni ja lunaraha puhul esmane.
Välistuste peegeldamine. Kui küberleping välistab kaotatud raha, ei tohi crime-leping välistada küberrünnaku teel toimunud pettust.
Ühine teavitamine. Intsidendiplaanis tuleb ette näha kõigi asjaomaste kindlustusandjate teavitamine korraga, sest teatamistähtajad on erinevad.²

5. Näide: üks sündmus, kolm lepingut

Ründaja saab õngitsuskirja kaudu ligipääsu finantsjuhi e-postile, jälgib kirjavahetust kolm nädalat ja saadab tarnijale „uued pangarekvisiidid“ teatava ettevõtte nimel. Samal ajal saadab ta ettevõtte raamatupidamisele tarnija nimel arve uuele kontole. Ettevõte maksab 240 000 eurot. Uurimine näitab, et ründaja laadis alla ka kliendiandmeid.

Crime-leping: petturliku juhise kate alamlimiidiga 150 000 eurot. Kontrollinõue (tagasihelistamine) oli lepingus kirjas, kuid seda ei tehtud. Kindlustusandja tugineb hoolsuskohustuse rikkumisele; vaidlus keskendub põhjuslikule seosele.³
Küberleping: katab forensika, e-posti süsteemi puhastamise, andmelekke teavitused ja järelevalvemenetluse kulud. Kaotatud raha osas on alamlimiit 50 000 eurot ja tingimus, et kahju ei kaeta, kui see on kaetud crime-lepinguga.
D&O-leping: osanikud nõuavad finantsjuhilt ja juhatuse liikmelt katmata kahju hüvitamist. D&O katab kaitsekulud.

Arvutus (eeldused nagu eespool): makstud summa 240 000 eurot; crime-leping maksimaalselt 150 000 eurot; küberlepingu 50 000 eurot on välistatud ulatuses, milles crime-leping katab. Kui crime-leping maksab 150 000 eurot, jääb katteta 240 000 - 150 000 = 90 000 eurot (lisaks omavastutused). Kui küberlepingu tingimus loeb katteks crime-lepingu tegelikult makstud summa, võib küberleping katta kuni 50 000 eurot jäägist, mis vähendab katmata osa 90 000 - 50 000 = 40 000 euroni. Limiitide lihtne liitmine (150 000 + 50 000 = 200 000) ei näita tegelikku tulemust, sest see sõltub lepingute omavahelisest klauslist.

Korduma kippuvad küsimused

Kas peaks ostma küber- ja crime-kindlustuse samalt kindlustusandjalt?

See vähendab definitsioonide ja „muu kindlustuse“ klauslite vastuolu riski, kuid ei ole alati võimalik ega soodne. Kui lepingud on eri kindlustusandjatelt, tuleb maakleri või juristiga koostada nende võrdlus ja lahendada vastuolud enne lepingute sõlmimist.

Kumba kindlustusandjat teavitada, kui pole selge, kas tegemist on küber- või crime-juhtumiga?

Mõlemat. Teatamistähtajad on lepingutes erinevad ja teatamata jätmine võib mõjutada katet. Ka D&O-kindlustusandjat tasub teavitada asjaoludest, kui sündmus võib viia nõudeni juhatuse vastu.

Kas kahju võib hüvitada kaks korda?

Ei. Kindlustatu ei saa mitme lepingu alusel kokku rohkem kui tegelik kahju. Kindlustusandjate omavaheline jaotus ei tohiks kindlustatu jaoks hüvitise maksmist viivitada; mitmekordse kindlustuse korral vastutavad kindlustusandjad kindlustatu ees solidaarselt.

Kas maakler peaks lepingute kooskõla kontrollima?

Kindlustusmaakleril on kohustus selgitada kliendi kindlustushuvi ja tutvustada tingimusi. Mitme lepingu omavahelise kooskõla analüüs on selle ülesande loomulik osa, kuid ettevõtja peaks seda eraldi küsima ja analüüsi tulemust kirjalikult nõudma. Analüüs peaks sisaldama tabelit, kus iga tüüpstsenaariumi kohta on näidatud, milline leping maksab esimesena, milline alamlimiit kehtib ja millised välistused võivad rakenduda.

Seotud lehed

Viited

VÕS § 486 (RT I, 20.06.2026, 18; jõust. 01.09.2026). - https://www.riigiteataja.ee/akt/V%C3%95S ↩
VÕS § 448 lg 1, § 514 lg 1 (viide 1). ↩
VÕS § 452 lg 2 p 1 ja 2; RKTKo 28.06.2024, 2-22-2313/65, p 12-17. - https://rikos.rik.ee/LahendiOtsingEriVaade?asjaNr=2-22-2313/65 ↩