Küberkindlustus: kate, piirid ja seos NIS2-ga

Lühidalt. Küberkindlustus hüvitab infosüsteemide, andmete ja digitaalse tegevuse häirest tekkinud kahju: intsidendile reageerimise ja IT-forensika kulud, andmete ja süsteemide taastamise, ärikatkestuse, kolmandate isikute nõuded, teavitamise ja regulatiivsete menetluste kulud. Klassikaline vara- ja vastutuskindlustus ei ole küberriski jaoks usaldusväärne varulahendus. Alates 2026. aastast paneb küberturvalisuse seadus (NIS2 ülevõtmine) seaduse kohaldamisalas olevatele ühingutele juhatuse liikme tasandi vastutuse turvameetmete eest ja kohustuse teavitada olulise mõjuga intsidendist Riigi Infosüsteemi Ametit 24 tunni jooksul.¹ Küberkindlustus ei asenda seda kohustust, kuid aitab intsidendi tagajärgedega toime tulla. Kõige rohkem vaieldakse sõjariski välistuse, „füüsilise kahju“ nõude, otsese ja kaudse kahju piiri ning ohutusnõuete üle.

Süvalehed

See leht on küberkindlustuse ülevaade. Üksikasjalik käsitlus koos normi- ja kohtupraktika viidetega on jaotatud alamlehtedele:

• Mida küberkindlustus katab: omakahju ja vastutuskate - Küberkindlustuse esimese ja kolmanda isiku kate: intsidendile reageerimine, andmete taastamine, ärikatkestus, vastutus, regulatiivsed kulud ja küberväljapressimine.
• NIS2 ja küberturvalisuse seadus: kohustused ja kindlustus - Küberturvalisuse seaduse NIS2 muudatused 2026: vastutav juhatuse liige, 24 ja 72 tunni teavitused, trahvid ning seos küber- ja D&O-kindlustusega.
• Andmeleke, GDPR ja vastutus: mida küberkindlustus katab - Isikuandmetega seotud rikkumine: teavitamine 72 tunni jooksul, andmesubjekti nõue art 82 alusel, trahvid, volitatud töötleja vastutus ja kindlustuskate.
• Lunavararünnak ja lunaraha maksmine: õigus ja kindlustus - Kas lunaraha maksmine on Eestis lubatud, sanktsioonide risk, kindlustusandja nõusolek, küberväljapressimise kate ja juhatuse otsustamine lunavara korral.
• Küberintsident: reageerimine, teenusepakkujad ja kindlustusnõue - Kuidas toimida küberintsidendi korral: kindlustusandja teavitamine, paneelteenusepakkujad, tõendite säilitamine, kahju tõendamine ja kindlustusnõude esitamine.
• Küberkindlustuse välistused ja vaidlused: sõda, taristu, ohutusnõuded - Küberkindlustuse tüüpilised vaidlused: sõja- ja riikliku küberoperatsiooni välistus, taristuvälistus, ohutusnõuded, lepingueelne teave, otsene ja kaudne kahju.
• Küberkindlustuse kaasused: NotPetya, Merck, Mondelez ja tarneahel - Avalikud küberkindlustuse kaasused (Merck, Mondelez, Clorox v Cognizant, G&G Oil) ümbersõnastatult ja nende õppetunnid Eesti ettevõtjale.

1. Mis on küberkindlustus

Küberkindlustus on kahjukindlustuse koondtoode, mis ühendab mitut kindlustustegevuse seaduse liiki: muu varakindlustus (andmed ja süsteemid), finantskahjude kindlustus (ärikatkestus, lisakulud) ja tsiviilvastutuskindlustus (kolmandate isikute nõuded).² Toode on tekkinud vastusena olukorrale, kus ettevõtte peamine vara ei ole masinad ega kinnisvara, vaid andmed, infosüsteemid ja nende kättesaadavus.

Traditsiooniline varakindlustus eeldab üldjuhul asja füüsilist kahjustumist. Andmete krüpteerimine, kustutamine või ligipääsu kaotus ei ole aga asja kahjustumine selle klassikalises tähenduses. Küberkindlustus täidab selle lünga.

Küberrisk ei ole ainult tehniline risk. See on juhtimisrisk, sest:

1. see on seotud ärimudeliga: kui tulu sõltub süsteemide kättesaadavusest, tähendab iga katkestus otsest finantskahju;
2. see on seotud finantsvoogudega: suur osa intsidentidest ei hävita süsteeme, vaid suunab raha valele kontole (vt crime-kindlustus);
3. sellel on tugev õiguslik mõõde: isikuandmete kaitse üldmäärus (GDPR) ja KüTS panevad juhtkonnale otsesed kohustused;
4. see liigub tarneahela kaudu: ettevõte võib kanda kahju ka siis, kui rünnati tema teenusepakkujat.

2. Mida küberkindlustus katab

2.1. Ettevõtte enda kahju (first-party)

• Intsidendile reageerimine. IT-forensika, ründe ulatuse ja sisenemisvektori kindlakstegemine, ründe peatamine, logide ja tõendite säilitamine. Need kulud tekivad esimestel tundidel ja on vältimatud.
• Andmete ja süsteemide taastamine. Varukoopiate taastamine, tarkvara uuesti paigaldamine, andmete rekonstrueerimine. Mõni tingimus katab ka riistvara asendamise, kui püsivara on kahjustatud (bricking).
• Ärikatkestus. Saamata jäänud tulu ja lisakulud ajal, mil süsteemid ei tööta. VÕS § 476 lõike 4 järgi hõlmab kahjukindlustus saamata jäänud tulu ainult siis, kui selles on eraldi kokku lepitud.³ Küberkindlustuses on see kokkulepe olemas, kuid sisaldab ooteaega (nt 8-12 tundi) ja hüvitusperioodi. Laiendusena on võimalik katta ka teenusepakkuja süsteemi seiskumisest tekkinud katkestust (dependent business interruption).
• Väljapressimine. Läbirääkimised ründajaga ja mõne tingimuse järgi lunaraha, kui see on seaduslik. Lunaraha maksmine ei tohi rikkuda rahvusvahelisi sanktsioone; tingimused välistavad sanktsioneeritud isikule tehtava makse.
• Kriisikommunikatsioon ja mainekahju leevendamine.
• Teavitamiskulud. Andmesubjektide ja järelevalveasutuste teavitamine, kõnekeskus, krediidiseire.

2.2. Kolmandate isikute nõuded (third-party)

Andmelekke või teenuse katkestuse korral võivad nõude esitada andmesubjektid, kliendid, lepingupartnerid ja maksekaardiettevõtted. Vastutuskindlustusena katab küberkindlustus nii hüvitise kui ka õigusabikulud (VÕS § 510, § 511).⁴ Nõuded võivad olla lepingulised või deliktilised ja tekkida mitmes riigis korraga.

2.3. Regulatiivsed menetlused

Küberkindlustus katab tavaliselt järelevalvemenetluse kulud (õigusabi, esindamine Andmekaitse Inspektsiooni või Riigi Infosüsteemi Ameti ees) ja mõne tingimuse järgi trahvid, kui need on kohaldatava õiguse järgi kindlustatavad. GDPR-i järgi peab vastutav töötleja isikuandmetega seotud rikkumisest teavitama järelevalveasutust põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast rikkumisest teadasaamist, välja arvatud juhul, kui rikkumine tõenäoliselt ei ohusta füüsiliste isikute õigusi ja vabadusi.⁵ Trahvide kindlustatavus Eestis on vaieldav (vt D&O-kindlustus, p 3.4).

3. Peamised riskistsenaariumid

Lunavararünnak. Ründaja krüpteerib süsteemid ja nõuab lunaraha; sageli varastab ta andmed ja ähvardab need avaldada (double extortion). Kahju koosneb taastamiskuludest, ärikatkestusest, lepingurikkumistest klientide ees ja võimalikust GDPR-vastutusest. Eesti meedias on kirjeldatud mitut juhtumit, kus Eesti tööstus- ja kirjastusettevõtte tootmine või töö seiskus nädalateks ning kahju ulatus seitsmekohalise summani. Need juhtumid kinnitavad, et lunaraha on kogukahjust sageli väiksem osa.

Andmeleke. Leke võib tekkida välise ründe, valesti seadistatud pilveteenuse, kadunud seadme või töötaja tegevuse tõttu. Süsteemid ei pruugi seiskuda, kuid tagajärjed on pikaajalised: teavitamine, järelevalve, kahjunõuded, mainekahju. Kui ilmneb, et turvameetmed olid ebapiisavad, võib nõue jõuda juhatuseni.

Teenustõkestusrünnak (DDoS). Andmeid ei varastata, kuid teenus muutub kättesaamatuks. E-kaubanduses, finantsteenustes ja digitaalteenustes on ka lühike katkestus kallis. DDoS-i kasutatakse ka muu ründe varjamiseks.

Tarneahela rünne. Rünnatakse tarkvaratootjat või IT-teenusepakkujat, kelle kaudu pääsetakse ligi sadade klientide süsteemidesse. Klient ei ole ise midagi „valesti teinud“, kuid kannab kahju ja vastutab sageli oma klientide ees. Vastutus jaguneb mitme lepingu ja osapoole vahel.

Ärikirjade kompromiteerimine ja petturlikud maksed. Kui ründaja kasutab ülevõetud e-posti kontot, et suunata makse valele kontole, on tegemist piiriga küber- ja crime-kindlustuse vahel. Paljud küberlepingud katavad süsteemi kompromiteerimise kulud, kuid mitte kaotatud raha, või katavad selle väikese alamlimiidiga.

4. Küberkindlustus ja NIS2 Eesti õiguses

4.1. Ülevõtmine

NIS2 direktiiv ((EL) 2022/2555) on Eesti õigusesse üle võetud küberturvalisuse seaduse muudatustega, mis jõustusid 1. jaanuaril 2026.⁶ Seadus jagab teenuseosutajad üliolulisteks ja olulisteks üksusteks. Varem seaduse alla kuulunud teenuseosutajal on oma tegevuse nõuetega vastavusse viimiseks üleminekuaeg.⁷ Kas konkreetne ühing kuulub seaduse kohaldamisalasse, tuleb hinnata tegevusala ja suuruse järgi; see analüüs ei ole veebitekstiga asendatav.

4.2. Juhatuse vastutus

Teenuseosutaja peab määrama vähemalt ühe juhatuse liikme, kes kiidab turvameetmed heaks, jälgib nende rakendamist ja vastutab selle eest. Ta peab korrapäraselt koolitusel osalema, et mõista riske ja nende juhtimise viise. Kui vastutavat juhatuse liiget ei määrata, laienevad kohustused kõigile juhatuse liikmetele. Vastutava juhatuse liikme määramise kohustust ei kohaldata ühe juhatuse liikmega teenuseosutajale; turvameetmete heakskiitmise, nende rakendamise jälgimise ja koolituse kohustused lasuvad siis ainsal juhatuse liikmel.¹

Küberintsidendi korral hinnatakse seega ka seda, kas riskid olid hinnatud ja maandatud, kas turvameetmed olid adekvaatsed, kas reageerimisplaan oli olemas ja toimis ning kas juhatus oli informeeritud. See loob otsese seose D&O-kindlustusega.

4.3. Teavitamine

Teenuseosutaja peab esitama Riigi Infosüsteemi Ametile esmase teate viivitamata, kuid hiljemalt 24 tunni jooksul olulise mõjuga küberintsidendist teadasaamisest. Hiljemalt 72 tunni jooksul tuleb esitada intsidenditeade, mis täpsustab esmase teate andmeid; usaldusteenuse osutaja peab selle esitama 24 tunni jooksul. Ameti taotlusel tuleb enne lõppraportit esitada vahearuanne intsidendi lahendamise seisu kohta. Lõppraport tuleb esitada ühe kuu jooksul intsidenditeate esitamisest; kui intsident on selleks ajaks lahendamata, käsitatakse esitatud lõppraportit vahearuandena ja uus lõppraport tuleb esitada ühe kuu jooksul intsidendi lahendamisest. Lõppraporti tähtaeg ei sõltu seega sellest, kas intsident on lahendatud. Kui süsteemi haldab või majutab teine isik, vastutab teenuseosutaja selle eest, et teine isik teavitab teda 24 tunni jooksul.⁸ Olulise mõjuga on intsident muu hulgas siis, kui teenust ei saa jätkata lubatud maksimaalse katkestusaja jooksul, kui on häiritud teise teenuseosutaja teenus või kui tekib märkimisväärne kahju.⁸

4.4. Sanktsioonid

Turvameetmete ja teavitamiskohustuse rikkumise eest võib juriidilisest isikust üliolulisele üksusele määrata rahatrahvi kuni 10 miljonit eurot või kuni 2 protsenti eelmise majandusaasta ülemaailmsest kogukäibest, olulisele üksusele kuni 7 miljonit eurot või kuni 1,4 protsenti, olenevalt sellest, kumb summa on suurem.⁹

4.5. Vastavus ja kindlustus täidavad eri ülesandeid

NIS2 nõuab riskipõhist lähenemist, mitte absoluutset turvalisust. Täielikult nõuetele vastav ettevõte võib samuti langeda rünnaku ohvriks. Kindlustus ei vabasta ettevõtet regulatiivsetest kohustustest ega vähenda juhatuse vastutust. Vastupidi: kindlustusandjad küsivad lepingu sõlmimisel üha üksikasjalikumalt varunduse, mitmikautentimise, ligipääsuhalduse, logimise, tarnijate halduse ja reageerimisplaani kohta. Halvem turvatase tähendab kallimat, kitsamat või üldse kättesaamatut kindlustust.

Eesti infoturbestandard (E-ITS) annab kasuliku kontrolliraamistiku ka neile ettevõtetele, kellele see formaalselt ei kohaldu. Kindlustusvaidluse vaates on oluline, et ettevõte suudaks tõendada oma tegelikku turvataset enne intsidenti: riskianalüüs, rakendatud meetmed, kasutajaõiguste ja tarnijate haldus, intsidentide käsitlemise kord. Ilma dokumentatsioonita võib kindlustusandja väita, et lepingueelne teave oli ebaõige või et ohutusnõudeid rikuti.

4.6. Küberkerksuse määrus

Digitaalsete elementidega toodete tootjad peavad alates 11. septembrist 2026 teatama aktiivselt ära kasutatavast haavatavusest ja raskest intsidendist; määrus kohaldub tervikuna alates 11. detsembrist 2027.¹⁷ Tarkvara- või seadmetootjast kindlustusvõtjale tähendab see uut regulatiivset riski ja koostoimes uue tootevastutuse direktiiviga laiemat tootja vastutust. Vt EL määrused ja Tehisaru riskide kindlustamine.

5. Tüüpilised välistused ja vaidlused

5.1. Sõjariski välistus

Sõjariski välistus on küberkindlustuse kõige vaieldum klausel. Küberruumis on piir sõjategevuse, riigi toetatud operatsiooni ja kuritegevuse vahel hägune. Kindlustusandja peab tõendama, et intsident kuulub välistuse alla, ning ründe omistamine riigile (attribution) on sageli tõenäosuslik.

NotPetya pahavara (2017) järel tekkinud vaidlustes keeldusid kindlustusandjad varakindlustuslepingu alusel hüvitamast, tuginedes traditsioonilisele sõjariski välistusele. USA New Jersey osariigi apellatsioonikohus leidis 2023. aastal, et klassikaline vaenulike ja sõjaliste tegude välistus ei hõlma küberrünnakut äriühingu vastu, mis ei ole seotud relvastatud konfliktiga selle tavatähenduses.¹⁰ Teine samast rünnakust tulenenud suurvaidlus lõppes 2022. aastal kompromissiga. Turg reageeris kiiresti: Lloyd’s nõudis alates 2023. aasta 31. märtsist, et iseseisvad küberkindlustuslepingud sisaldaksid riigi toetatud küberrünnakute välistust, mis vastab turuasutuse kehtestatud miinimumnõuetele.¹¹ Tänapäeva tingimustes on sõjariski ja riikliku küberoperatsiooni välistused seega oluliselt laiemad ja täpsemad kui 2017. aastal. Vt lähemalt sõjarisk.

5.2. Füüsilise kahju nõue ja vaikiv küberrisk

Kui varakindlustus nõuab „füüsilist kahju“, tekib küsimus, kas andmete krüpteerimine on asja kahjustumine või ainult kasutusvõimaluse kaotus. Küberkindlustus määratleb kahju laiemalt, kuid tulemus sõltub sõnastusest. Teisalt sisaldasid paljud vara-, vastutus-, crime- ja D&O-lepingud varem küberriski „vaikimisi“ (silent cyber). Turg on seda vähendanud selgesõnaliste kübervälistustega. Ettevõtte jaoks tähendab see, et vana varakindlustusleping ei ole tõenäoliselt enam küberriski varulahendus.

5.3. Otsene ja kaudne kahju

Ahela iga lüli (seisak, tulu kaotus, lepingutrahv kliendile, mainekahju) tuleb siduda konkreetse kattekomponendiga. Lepingutrahvid ja klientidele makstavad hüvitised ei ole sageli ärikatkestuse osa, vaid võivad kuuluda vastutuskatte alla või olla välistatud.

5.4. Ohutusnõuded ja lepingueelne teave

Küberlepingutes on sageli nõuded varukoopiate eraldatusele, mitmikautentimisele, tarkvarauuendustele ja haavatavuste parandamisele (turvapaikade paigaldamisele). VÕS § 452 lõike 2 järgi ei saa kindlustusandja tugineda vabanemisele enne kindlustusjuhtumit täidetava kohustuse rikkumise tõttu, kui rikkumine ei olnud kindlustusvõtja süüline või kui see ei mõjutanud kahju tekkimist ega suurust; riski vähendamiseks mõeldud kohustuse puhul ei saa ta tugineda vabanemisele, kui rikkumine ei mõjutanud kindlustusjuhtumi toimumist ega täitmise kohustust.¹² Põhjusliku seose nõue on kindlustusvõtja olulisim kaitse. Suurettevõtte puhul võib see kaitse VÕS § 427 lõike 3 tõttu lepinguga olla välistatud.¹³ Lepingueelse küsimustiku valed vastused võivad anda kindlustusandjale õiguse taganeda VÕS §-de 440-442 järgi.¹⁴

5.5. Tahtlus ja töötaja tegu

Kui intsidendi põhjustas töötaja, ei saa tema tahtlust automaatselt omistada kindlustusvõtjale. Küberkindlustuses on sisemine pahatahtlik töötaja (rogue employee) tavaliselt kaetud, välja arvatud juhul, kui tegemist on juhtkonnaga. Tahtluse välistus peab olema suunatud kindlustusvõtja enda (juhtkonna) tahtlusele ja kindlustusjuhtumi põhjustamisele.

5.6. Teenusepakkujate kasutamine

Paljud lepingud nõuavad, et intsidendile reageerimisel kasutataks kindlustusandja heaks kiidetud forensika-, õigus- ja PR-partnereid. Kui ettevõte tegutseb omal käel, võib osa kuludest jääda hüvitamata. Seepärast peab partnerite nimekiri olema intsidendiplaanis kirjas juba enne intsidenti.

6. Intsidendi korral

Esimesed tunnid määravad nii kahju ulatuse kui ka kindlustuskaitse. Kindlustusjuhtumist tuleb teatada viivitamata (VÕS § 448 lg 1).¹⁵ Kahju tuleb võimaluse piires ära hoida ja vähendada, järgides kindlustusandja juhiseid, ning kahjustatud süsteemides ei tohi teha muudatusi, mis raskendavad kahju põhjuse või suuruse kindlakstegemist, välja arvatud kahju vähendamiseks vajalikud muudatused.¹⁶ Üksikasjalik tegevuskava: Esimesed 72 tundi pärast kahju.

Küberintsidendi korral on kindlustusõiguslik ja IT-õiguslik nõustamine tihedalt seotud: teavitamise tähtajad, isikuandmete kaitse ja kindlustusandja nõusolekud tuleb lahendada samal ajal. WIDEN-i IT-, IP- ja andmekaitse spetsialistid on tunnustatud Chambers & Partnersi ja The Legal 500 edetabelites (WIDEN-i teade 10.08.2026). WIDEN-i advokaadid nõustasid Eesti riiki NIS2 direktiivi ülevõtmisel (teade 18.09.2025). WIDEN-il on küberrünnakute ja andmelekete jaoks ööpäevaringne õigusabiliin, mille tingimused on kirjeldatud WIDEN-i teates 11.06.2025.

7. Küberkindlustuse valimine: küsimused

1. Kas kate hõlmab ärikatkestust, sh teenusepakkuja süsteemi seiskumist? Milline on ooteaeg ja hüvitusperiood?
2. Kas petturlik makse (sotsiaalne manipulatsioon, ärikirja kompromiteerimine) on kaetud ja millise alamlimiidiga? Kuidas see haakub crime-lepinguga?
3. Kuidas on sõnastatud sõjariski ja riikliku küberoperatsiooni välistus? Kes peab tõendama omistamist ja millise standardiga?
4. Kas regulatiivsed menetlused (Andmekaitse Inspektsioon, RIA) on kaetud? Kas trahvid on kaetud seaduse lubatud ulatuses?
5. Millised ohutusnõuded on lepingus? Kas need vastavad tegelikule IT-keskkonnale ja kas nende rikkumine on seotud põhjusliku seose nõudega?
6. Kas lepingueelse küsimustiku vastused on tehniliselt kontrollitud ja dokumenteeritud?
7. Kas kindlustusandja partnerite nimekiri on intsidendiplaanis?
8. Kas D&O-leping välistab küberintsidendist tulenevad nõuded juhatuse vastu?

Seotud lehed

• Crime-kindlustus
• D&O-kindlustus
• Ärikatkestuskindlustus
• Sõjarisk ja geopoliitiline risk
• Riskijuhtimine: küber, crime ja D&O koostoime
• Eraisiku küberkindlustus
• Tehisaru riskide kindlustamine

Viited