# Uued D&O-riskid: küberturve, ESG, sanktsioonid ja tehisaru

Aadress: https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/do-kindlustus/uued-riskid-juhatusele/
Autor: Olavi-Jüri Luik, PhD, Partner, kindlustusõiguse valdkonna juht, vandeadvokaat (Advokaadibüroo WIDEN OÜ)
Viimati uuendatud: 2026-11-06

> Kuidas küberturvalisuse seadus, ESG-avalikustamine, rahvusvahelised sanktsioonid ja tehisaru kasutamine muudavad juhatuse vastutust ja D&O-katet.

> **Lühidalt.** Juhatuse vastutus ei laiene uutesse valdkondadesse seetõttu, et hoolsusstandard muutuks, vaid seetõttu, et muutub see, mida korralikult ettevõtjalt oodatakse. Küberturvalisuse seadus paneb alates 2026. aastast konkreetsele juhatuse liikmele kohustuse turvameetmed heaks kiita ja nende rakendamist jälgida. ESG-teave, sanktsioonide järgimine ja tehisaru kasutamine on valdkonnad, kus juhi tegevust hinnatakse järjest rohkem nii järelevalveasutuste kui ka investorite poolt. D&O-lepingu välistused (sanktsioonid, küber, keskkond, trahvid) võivad just neis valdkondades katte kitsendada.

## 1. Küberturve kui juhatuse isiklik kohustus

### 1.1. Seaduse nõuded

NIS2 direktiiv on Eesti õigusesse üle võetud küberturvalisuse seaduse muudatustega, mis jõustusid 1. jaanuaril 2026.[^1] Seaduse kohaldamisalasse kuuluv teenuseosutaja peab määrama vähemalt ühe juhatuse liikme, kes kiidab heaks küberturvalisuse riskide maandamise meetmed, jälgib nende rakendamist ja vastutab selle eest. Vastutav juhatuse liige peab korrapäraselt osalema koolitusel, et omandada piisavad teadmised ja oskused riskide tuvastamiseks ning nende juhtimise hindamiseks. Kui vastutavat juhatuse liiget ei määrata, laienevad kohustused kõigile juhatuse liikmetele. Ühe juhatuse liikmega teenuseosutajale ei kohaldata vastutava liikme määramise kohustust; meetmete heakskiitmise, jälgimise ja koolituse kohustused jäävad ainsale juhatuse liikmele.[^2]

Kohustuse rikkumise eest võib juriidilisest isikust üliolulisele üksusele määrata rahatrahvi kuni 10 miljonit eurot või kuni 2 protsenti eelmise majandusaasta ülemaailmsest aastasest kogukäibest ning olulisele üksusele kuni 7 miljonit eurot või kuni 1,4 protsenti, olenevalt sellest, kumb summa on suurem.[^3] Trahv määratakse ühingule, kuid ühingu kahju võib saada nõudeks juhatuse liikme vastu ÄS § 187 alusel.[^4]

### 1.2. Mida see D&O-kindlustusele tähendab

Küberintsidendi järel tekib juhatuse vastu kolme liiki risk:

1. **Järelevalvemenetlus**, kus Riigi Infosüsteemi Amet hindab, kas turvameetmed ja intsidendist teavitamine olid nõuetekohased. Juhatuse liikmete osalemise ja esindamise kulud on D&O-lepingus kaetud uurimiskuludena, sageli alamlimiidiga.
2. **Ühingu regressinõue**, kui ühing (uue juhtkonna või pankrotihalduri kaudu) nõuab juhilt trahvi, taastamiskulude või ärikatkestusest tulenenud kahju hüvitamist.
3. **Kolmandate isikute nõuded**, eelkõige börsiühingu investorite nõuded, kui intsidendi mõju või turvaolukorda kirjeldati avalikkusele eksitavalt.

Tähelepanu tuleb pöörata D&O-lepingu kübervälistusele. Mõned kindlustusandjad on lisanud D&O-tingimustesse laiu välistusi küberintsidendist tulenevatele nõuetele, eeldades, et need kuuluvad küberkindlustusse. Küberkindlustus aga katab ühingu kulusid ja vastutust, mitte juhi isiklikku vastutust ühingu ees. Kui D&O-leping välistab küberintsidendist tulenevad nõuded tervikuna, jääb juhatuse liikme vastutus katteta. Vt [küberkindlustus ja NIS2](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/kuberkindlustus/nis2-ja-kuberturvalisuse-seadus).

### 1.3. Andmekaitse

Isikuandmete kaitse üldmäärus näeb ette ühingule trahvi kuni 10 miljonit eurot või 2 protsenti, raskemate rikkumiste eest kuni 20 miljonit eurot või 4 protsenti ülemaailmsest aastasest käibest.[^5] Ka siin on trahvi adressaat ühing, kuid juhi vastutus ühingu ees võib tekkida, kui juhatus ei korraldanud andmekaitset nõuetekohaselt.

## 2. ESG ja jätkusuutlikkusega seotud vastutus

ESG-riskid jõuavad juhatuseni kolmel viisil:

- **Avalikustamine.** Kui ühing avaldab jätkusuutlikkuse kohta ebaõiget või eksitavat teavet (nt rohepesu), võivad investorid ja lepingupartnerid tugineda sellele teabele. Avalikustamiskohustus on ELi õiguses viimastel aastatel oluliselt laienenud (nt kestlikkusaruandluse direktiiv [(EL) 2022/2464](https://eur-lex.europa.eu/legal-content/ET/TXT/?uri=CELEX:32022L2464)), kuid kohustuste ulatus ja ajakava on muutunud ning tuleb iga ühingu puhul eraldi kontrollida.
- **Tarneahela kohustused.** Kui ühing kasutab tarnijaid, kes rikuvad töö- või keskkonnanõudeid, võib juhatusele ette heita riskide hindamata jätmist.
- **Strateegiline otsustamine.** Küsimus, kas juhatus arvestas kliimariskiga piisavalt, on jõudnud kohtusse. Ühendkuningriigis keelduti 2023. aastal lubamast keskkonnaorganisatsiooni derivatiivhagi naftaettevõtja juhatuse liikmete vastu, sest kohtu hinnangul ei olnud esitatud *prima facie* juhtumit ning juhatusel on strateegiliste otsuste tegemisel lai kaalutlusruum (vt [kaasused](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/do-kindlustus/kaasused)).[^6]

D&O-kindlustuse seisukohast on ESG-nõuete probleem selles, et need võivad langeda keskkonnavälistuse alla (kui nõue on seotud saastega) või trahvide välistuse alla (kui tegemist on järelevalvesanktsiooniga). Rohepesu nõue, mis tugineb eksitavale teabele, on tavaliselt kaetud nagu muu avalikustamisnõue, kuni tahtlik pettus ei ole lõplikult tuvastatud.

## 3. Rahvusvahelised sanktsioonid

### 3.1. Juhi risk

ELi sanktsioonimäärused keelavad sanktsioonide subjektile või tema kasuks rahaliste vahendite ja majandusressursside kättesaadavaks tegemise, otseselt või kaudselt.[^7] Rahvusvahelise sanktsiooni seaduse järgi on sanktsiooni rikkuv tehing tühine.[^8] Sanktsioonide rikkumine võib kaasa tuua ühingu jaoks kahju (tühised tehingud, külmutatud vara, trahvid, lepingupartnerite nõuded) ja juhatuse liikme vastutuse, kui juhatus ei korraldanud sanktsiooniriskide kontrolli.

### 3.2. Sanktsiooniklausel D&O-lepingus

Peaaegu kõik D&O-lepingud sisaldavad sanktsiooniklauslit, mille järgi kindlustusandja ei ole kohustatud pakkuma katet ega maksma hüvitist, kui see paneks kindlustusandja sanktsiooni rikkumise ohtu. Selline klausel ei ole tavaline välistus selles mõttes, et see ei hinda kindlustatu käitumist, vaid takistab kindlustusandja täitmist. Kui juht on sanktsioneeritud või nõue on seotud sanktsioneeritud isikuga, võib kaitsekulude maksmine olla võimatu ka siis, kui juht ise ei ole midagi valesti teinud. Juhatuse liige, kes tegutseb idaturgudel või kelle ühingul on sanktsiooniriskiga omanikke, peaks klausli sõnastust analüüsima enne ametisse asumist. Vt ka [sanktsioonid ja kindlustus](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/sojarisk/sanktsioonid-ja-kindlustus).

## 4. Tehisaru kasutamine juhtimises

Tehisaru kasutamine ühingu tegevuses tekitab juhatusele kolm küsimust.

1. **Otsustamise delegeerimine.** Kui juhatus tugineb tehisarul põhinevale analüüsile, jääb otsuse eest vastutajaks juhatus. Korraliku ettevõtja hoolsus nõuab, et juhatus mõistaks tööriista piiranguid ja kontrolliks tulemusi. Tehisaru kasutamine ei muuda tõendamiskoormust: juht peab endiselt tõendama oma hoolsust.
2. **Vastavus regulatsioonile.** ELi tehisaru määrus ([(EL) 2024/1689](https://eur-lex.europa.eu/legal-content/ET/TXT/?uri=CELEX:32024R1689)) seab kõrge riskiga süsteemide kasutajatele ja pakkujatele kohustused. Kohustuste rikkumise trahvid määratakse ühingule, kuid nagu küberturvalisuse puhul, võib ühingu kahju saada nõudeks juhatuse vastu.
3. **Avalikustamine.** Kui ühing kirjeldab investoritele oma tehisaru võimekust ülepaisutatult (nn *AI washing*), võib see USA praktika eeskujul viia väärtpaberinõueteni.

D&O-lepingute praegused tingimused enamasti tehisaru eraldi ei käsitle. See tähendab, et tehisaruga seotud nõuded on kaetud tavapärase juhtimisvastutuse nõudena, kuid võivad sattuda küber- või tehnoloogiavälistuse alla. Autori seisukoht: tehisaru-riskid ei vaja eraldi kindlustusliiki, kuid need tuleb D&O-lepingu uuendamisel kindlustusandjaga läbi rääkida ja välistusi kontrollida.

Tehisintellekti määruse suure riskiga süsteemide nõuded kohalduvad pärast 2026. aasta muudatust III lisa süsteemidele alates 2. detsembrist 2027 ja I lisa toodetesse integreeritud süsteemidele alates 2. augustist 2028; määruse üldine kohaldamine algas 2. augustil 2026.[^9] Tehisaru riskide jagunemist eri kindlustuslepingute vahel käsitleb leht [Tehisaru riskide kindlustamine](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/tehisaru-riskide-kindlustus).

## 5. Riskijuhtimise puudulikkus kui iseseisev nõude alus

Kõigi eespool nimetatud riskide ühine joon on see, et juhatusele ei heideta ette üksikut otsust, vaid riskijuhtimise süsteemi puudumist. Kui ühingus puudub ülevaade kriitilistest süsteemidest, tarnijatest, sanktsiooniriskidest ja vastavuskohustustest, on juhatuse liikmel keeruline tõendada korraliku ettevõtja hoolsust. Vastavusprogramm ja selle dokumenteerimine on seega üheaegselt vastutuse ennetamise vahend ja hilisemas kindlustusvaidluses tõend.

## 6. Kontrollküsimused D&O-lepingu uuendamisel

1. Kas leping sisaldab kübervälistust ja kas see jätab katte alla juhtide vastutuse ühingu ja investorite ees?
2. Kas KüTS-i ja GDPR-i järelevalvemenetluse kulud on kaetud ja milline on alamlimiit?
3. Kas keskkonnavälistus jätab katte alla ESG-avalikustamise nõuded ja kaitsekulud?
4. Kuidas on sõnastatud sanktsiooniklausel ja kas see piirab kaitsekulude maksmist?
5. Kas tehnoloogia- või tehisaruga seotud nõudeid on kuidagi piiratud?

## Korduma kippuvad küsimused

### Kas vastutava juhatuse liikme määramine vabastab teised juhatuse liikmed?

KüTS-i järgi täidab vastutav juhatuse liige seaduses nimetatud kohustusi. See ei muuda ÄS-i üldist reeglit, et juhatuse liikmed vastutavad ühingu ees solidaarselt, kui nad on oma kohustusi rikkunud. Teised juhatuse liikmed peavad endiselt korraldama ühingu juhtimist korraliku ettevõtja hoolsusega ja reageerima, kui neile saab teatavaks, et vastutav liige oma ülesandeid ei täida.

### Kas ESG-teabe avaldamine on D&O-kindlustusega kaetud?

Nõuded, mis tulenevad väidetavalt ebaõigest või eksitavast teabest, on tavaliselt kaetud nagu muu avalikustamisnõue. Tähelepanu tuleb pöörata keskkonnavälistusele ja trahvide välistusele ning sellele, kas nõue on esitatud ühingu vastu (C-kate) või juhtide vastu (A- ja B-kate).

### Kas tehisaru kasutamine võib olla hoolsuskohustuse rikkumine?

Iseenesest mitte. Rikkumine võib seisneda selles, kuidas tehisaru kasutati: juhatus tugines kontrollimata väljundile, ei hinnanud riske või ei korraldanud vastavust kohaldatavatele nõuetele. Samamoodi võib rikkumine seisneda ka selles, et juhatus ei kasutanud olemasolevat tööriista, mis oleks riski vähendanud. Hindamise aluseks jääb korraliku ettevõtja hoolsus.

### Kas sanktsiooniklausel võib takistada kaitsekulude maksmist?

Jah, kui kaitsekulude maksmine paneks kindlustusandja sanktsiooni rikkumise ohtu, näiteks kui juht ise on sanktsioonide subjekt. Kui juht ei ole sanktsioneeritud ja nõue puudutab üksnes väidetavat sanktsioonirikkumist, ei takista sanktsioonid tavaliselt kaitsekulude maksmist.

## Seotud lehed

- [Juhatuse ja nõukogu liikme vastutus Eesti õiguses](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/do-kindlustus/juhatuse-ja-noukogu-liikme-vastutus)
- [NIS2 ja küberturvalisuse seadus](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/kuberkindlustus/nis2-ja-kuberturvalisuse-seadus)
- [Sanktsioonid ja kindlustus](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/sojarisk/sanktsioonid-ja-kindlustus)
- [Tüüpilised välistused ja vaidlused](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/do-kindlustus/valistused-ja-vaidlused)
- [D&O-kaasused](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/do-kindlustus/kaasused)
- [Tehisaru riskide kindlustamine](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/tehisaru-riskide-kindlustus)

## Viited

[^1]: Küberturvalisuse seaduse muutmise seadus (RT I, 30.12.2025, 4; jõust. 01.01.2026). - https://www.riigiteataja.ee/akt/K%C3%BCTS
[^2]: KüTS § 6¹ lg 1-4 (RT I, 06.10.2026, 2; jõust. 16.10.2026). - https://www.riigiteataja.ee/akt/K%C3%BCTS
[^3]: KüTS § 18² lg 2, § 18³ lg 2 (viide 2).
[^4]: ÄS § 187 lg 2 (RT I, 06.07.2023, 131; jõust. 01.03.2024). - https://www.riigiteataja.ee/akt/%C3%84S
[^5]: Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679, art 83 lg 4-5. - ELT L 119, 04.05.2016, lk 1. - https://eur-lex.europa.eu/legal-content/ET/TXT/HTML/?uri=CELEX:32016R0679
[^6]: ClientEarth v Shell plc, High Court of Justice (England and Wales), Chancery Division, 2023. Teisene allikas: Debevoise & Plimpton. ClientEarth v Shell plc: High Court Rejects Climate-Related Derivative Claim, 09.2023. - https://www.debevoise.com/insights/publications/2023/09/clientearth-v-shell-plc-high-court-rejects-climate
[^7]: Nõukogu määrus (EL) nr 269/2014, art 2 lg 1-2. - ELT L 78, 17.03.2014, lk 6. - https://eur-lex.europa.eu/legal-content/ET/TXT/HTML/?uri=CELEX:32014R0269
[^8]: RSanS § 7 (RT I, 17.05.2025, 4; jõust. 01.07.2026). - https://www.riigiteataja.ee/akt/RSanS
[^9]: Euroopa Parlamendi ja nõukogu määrus (EL) 2026/1744, 08.07.2026, millega muudetakse määrust (EL) 2024/1689 (jõust. 27.07.2026). – https://eur-lex.europa.eu/eli/reg/2026/1744/oj