# Küberkindlustuse kaasused: NotPetya, Merck, Mondelez ja tarneahel

Aadress: https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/kuberkindlustus/kaasused/
Autor: Olavi-Jüri Luik, PhD, Partner, kindlustusõiguse valdkonna juht, vandeadvokaat (Advokaadibüroo WIDEN OÜ)
Viimati uuendatud: 2026-11-11

> Avalikud küberkindlustuse kaasused (Merck, Mondelez, Clorox v Cognizant, G&G Oil) ümbersõnastatult ja nende õppetunnid Eesti ettevõtjale.

> **Lühidalt.** Küberkindlustuse kohtupraktika on peamiselt USA-st, kuid selle õppetunnid on universaalsed. NotPetya kaasused näitasid, et traditsiooniline sõjariski välistus ei sobi küberoperatsioonidele, ja ajendasid turgu kasutusele võtma täpsemaid klausleid. Tarneahela kaasused näitavad, et ettevõtte kahju võib alguse saada teenusepakkuja kasutajatoest. Lunavara kaasus crime-lepingu alusel näitab, et sama sündmus võib leida katte mitmest lepingust. Kaasused on esitatud avalike allikate põhjal ümbersõnastatult.

## 1. Merck v ACE American: NotPetya ja sõjariski välistus (USA)

**Asjaolud.** 2017. aasta juunis levis NotPetya pahavara Ukraina raamatupidamistarkvara uuenduse kaudu ning halvas tuhandete ettevõtete süsteemid üle maailma. USA ravimitootja Merck esitas oma varakindlustuse (*all risks*) programmi alusel nõude, mille suurust on avalikult kirjeldatud ligikaudu 1,4 miljardi USA dollarina. Kindlustusandjad keeldusid, tuginedes vaenulike ja sõjaliste tegude välistusele, sest USA ja Ühendkuningriigi valitsus omistasid rünnaku Venemaa sõjaväeluurele.

**Kohtumenetlus.** New Jersey esimese astme kohus ja 2023. aasta mais apellatsioonikohus leidsid, et välistus, mis viitab vaenulikule või sõjalisele tegevusele, hõlmab selle tavatähenduses relvastatud konflikti, mitte küberrünnakut äriühingu vastu, mis ei olnud seotud sõjalise tegevusega.[^1] Pooled teatasid 2024. aasta jaanuaris kompromissist, mille tingimusi ei avalikustatud.[^2]

**Õppetund.** Kohus tõlgendas välistust kitsalt ja selle kasutaja kahjuks; Eesti õiguses viiks tüüptingimuste tõlgendamise reegel samale lähtekohale.[^3] Kaasus ei tähenda aga, et küberrünnak on alati kaetud: uued küberklauslid (LMA 5564-5567 jt)[^9] sõnastavad välistuse just selliseks olukorraks (vt [küberkindlustuse välistused](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/kuberkindlustus/valistused-ja-vaidlused)).

## 2. Mondelez v Zurich: sama rünnak, kompromiss (USA)

**Asjaolud.** Toiduainetootja Mondelez kandis NotPetya tõttu kahju, mida on avalikult kirjeldatud ligikaudu 100 miljoni USA dollarina, ja esitas nõude oma varakindlustuslepingu alusel. Kindlustusandja tugines sõjariski välistusele. Vaidlus Illinoisi osariigi kohtus lõppes 2022. aasta lõpus kompromissiga enne lõplikku kohtulahendit.[^4]

**Õppetund.** Sama rünnak tõi kaasa kaks vaidlust ja kaks erinevat lõpptulemust, kuid kumbki ei loonud selget pretsedenti küberoperatsiooni kohta. Turu reaktsioon (Lloyd's turubülletään Y5381 riigi toetatud küberrünnakute välistuse kohta[^5]) on praktikas mõjukam kui kohtulahendid. Eesti ettevõtja peaks eeldama, et tänapäevane leping sisaldab riikliku küberoperatsiooni välistust, ja kontrollima selle sõnastust.

## 3. Clorox v Cognizant: kasutajatugi kui sisenemisvektor (USA)

**Asjaolud.** 2023. aastal tabas tarbekaupade tootjat Cloroxi küberintsident, mis põhjustas tootmise ja tarnete häireid. 2025. aastal esitas Clorox oma IT-teenusepakkuja Cognizanti vastu hagi, väites, et teenusepakkuja kasutajatugi lähtestas ründaja palvel töötajate paroolid ja mitmikautentimise ilma nõuetekohase isikutuvastuseta. Nõude suurust on avalikult kirjeldatud ligikaudu 380 miljoni USA dollarina. Teenusepakkuja vaidles väidetele vastu.[^6]

**Õppetund.** Sisenemisvektoriks ei olnud tehniline haavatavus, vaid protsess: kasutajatoe isikutuvastus. Kaasus tõstatab kolm Eesti õiguse jaoks olulist küsimust: teenuselepingu turvanõuded ja vastutuse piirangud; kindlustusandja tagasinõue teenusepakkuja vastu pärast hüvitise maksmist (VÕS § 492);[^7] juhatuse kohustus valida ja kontrollida teenusepakkujat korraliku ettevõtja hoolsusega. Mitmikautentimine on kasutu, kui seda saab ühe telefonikõnega lähtestada.

## 4. G&G Oil v Continental Western: lunaraha crime-lepingu alusel (USA)

**Asjaolud.** Indiana kütuseettevõtte süsteemid krüpteeriti ja ettevõte maksis süsteemidele juurdepääsu taastamiseks krüptorahas lunaraha. Ettevõttel ei olnud küberkindlustust, kuid tal oli crime-leping, mis kattis arvutikasutusest tulenevat pettust. Madalama astme kohtud leidsid, et kate puudus. Indiana ülemkohus leidis 2021. aastal, et süsteemide ülevõtmine ja selle kaudu makse väljapressimine võisid täita lepingu arvutipettuse tunnused, ning saatis asja uueks arutamiseks.[^8]

**Õppetund.** Lunaraha maksmine on seotud nii küber- kui ka crime-kindlustusega. Kui ühingul on mõlemad lepingud, tuleb kontrollida, kumb on esmane ja kas teine kehtib lisakattena (vt [koostoime küberkindlustusega](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/crime-kindlustus/koostoime-kuberkindlustusega)).

## 5. Eesti ja Balti kontekst

Eesti on kogenud riiklikult motiveeritud küberkampaaniaid alates 2007. aasta kevadest, kui ulatuslikud teenusetõkestusrünnakud tabasid riigiasutusi, panku ja meediat. Hilisemad rünnakud Balti riikide avalike teenuste vastu on olnud sageli ajaliselt seotud poliitiliste sündmustega. Nende juhtumite kohta ei ole teada, kas kahjustatud ühingutel oli küberkindlustus, ega seda, kuidas kindlustusandjad oleksid neid kvalifitseerinud; seetõttu ei saa neist teha järeldusi konkreetsete lepingute kohta. Üldine järeldus on siiski selge: Balti riikides tuleb küberlepingu sõjaklauslit ja omistamise reegleid lugeda eeldusega, et riiklikult motiveeritud rünnak ei ole teoreetiline stsenaarium.

## 6. Üldistatud stsenaariumid

**Raamatupidamistarkvara uuendus.** Ettevõtte raamatupidamistarkvara tootja kompromiteeriti ja uuendusega levis pahavara. Ettevõtte küberleping kattis taastamise ja ärikatkestuse, kuid kindlustusandja kaalus riikliku küberoperatsiooni välistust, sest rünnakut seostati meedias välisriigi luurega. Määravaks sai omistamise klausel: leping nõudis valitsuse ametlikku omistamist, mida ei olnud.

**Pilveteenuse katkestus.** Ettevõtte e-pood oli kaks päeva maas pilveteenuse pakkuja rikke tõttu, mis ei olnud rünnak. Leping kattis sõltuvat ärikatkestust üksnes küberrünnaku korral; süsteemi rike oli katmata. Lahendus oleks olnud *system failure* laiendus.

**Teadaolev haavatavus.** Rünnak toimus kaughaldusvahendi haavatavuse kaudu, mille paranduse tootja oli avaldanud kuus nädalat varem. Leping sisaldas parandamata haavatavuste välistust 45 päeva möödumisel. Vaidlus keskendus sellele, millal oli parandus „kättesaadav“ ja kas välistus oli sisuliselt hoolsuskohustus, mille rikkumise mõju kindlustusandja pidi tõendama.

## Mida kaasused ütlevad lepingu sõnastuse kohta

Kaasustest saab tuletada konkreetsed küsimused, mida küberlepingu sõlmimisel või uuendamisel kindlustusandjaga arutada.

1. **Sõjavälistuse vorm.** Kas lepingus on klassikaline vaenutegevuse välistus või uus küberoperatsiooni klausel? Kui klausel on uus, siis milline variant ja milline omistamise reegel?
2. **Varalepingu kübervälistus.** Kui ettevõttel on lisaks küberlepingule ka kõigi riskide varaleping, kas see välistab küberrünnaku? Merck ja Mondelez esitasid nõude just varalepingu alusel; tänapäeval on paljudes varalepingutes kübervälistus.
3. **Teenusepakkuja risk.** Kas sõltuv ärikatkestus on kaetud ja kas see hõlmab nii rünnakut kui ka süsteemi riket? Kas IT-teenusepakkuja tegevus on kaetud samamoodi kui ettevõtte enda süsteemides toimunud intsident?
4. **Lunaraha.** Kas väljapressimise kate on piisav ja kas crime-leping võib olla lisakate?
5. **Tagasinõue.** Kas teenuselepingute vastutuse piirangud on kindlustusandjale avaldatud?

## Miks kohtulahendeid on vähe

Suur osa küberkindlustuse vaidlusi lahendatakse kompromissiga või vahekohtus, mille tulemused ei ole avalikud. Seetõttu tuginevad turuosalised ja kommentaatorid väikesele hulgale avalikele lahenditele, peamiselt USA-st. Autorile teadaolevalt ei ole Riigikohus küberkindlustuse vaidlust seni sisuliselt lahendanud. Eesti kohus lahendaks küberkindlustuse vaidluse VÕS-i üldiste kindlustuslepingu sätete ja tüüptingimuste tõlgendamise reeglite järgi. Riigikohtu praktika välistuste, ohutusnõuete ja põhjusliku seose kohta varakindlustuses on küberkindlustusele ülekantav (vt [küberkindlustuse välistused ja vaidlused](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/kuberkindlustus/valistused-ja-vaidlused)).

## Seotud lehed

- [Küberkindlustuse välistused ja vaidlused](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/kuberkindlustus/valistused-ja-vaidlused)
- [Küberrünnak kui sõjategevus](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/sojarisk/kuberrunnak-kui-sojategevus)
- [Lunavararünnak ja lunaraha](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/kuberkindlustus/lunavara-ja-lunaraha)
- [Crime-kindlustuse kaasused](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/crime-kindlustus/kaasused)
- [D&O-kaasused](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/do-kindlustus/kaasused)

## Viited

[^1]: Merck & Co. v. ACE American Insurance Co., New Jersey Superior Court, Appellate Division, 01.05.2023. Teisene allikas: Simpson Thacher & Bartlett. New Jersey Appellate Court Affirms That War Exclusion Does Not Bar Coverage for Malware Claims. - Insurance Law Alert, 31.05.2023. - https://www.stblaw.com/about-us/publications/view/2023/05/31/new-jersey-appellate-court-affirms-that-war-exclusion-does-not-bar-coverage-for-malware-claims-%28insurance-law-alert%29
[^2]: Teisene allikas: Business Insurance. Merck, insurers settle dispute over 2017 NotPetya cyberattack, 05.01.2024. - https://www.businessinsurance.com/article/20240105/NEWS06/912361959/Merck,-insurers-settle-dispute-over-2017-NotPetya-cyberattack-Merck-Co,-Inc-v
[^3]: VÕS § 39 (RT I, 20.06.2026, 18; jõust. 01.09.2026). - https://www.riigiteataja.ee/akt/V%C3%95S
[^4]: Teisene allikas: The Register. Mondelez, Zurich settle NotPetya insurance dispute, 02.11.2022. - https://www.theregister.com/2022/11/02/mondelez_zurich_notpetya_settlement/
[^5]: Lloyd's. Market Bulletin Y5381: State backed cyber-attack exclusions, 17.08.2022. - https://assets.lloyds.com/media/e9a4058c-4c25-48d6-99d3-0c466987e099/Y5381%20Market%20Bulletin%20-%20Cyber-attack%20exclusions.pdf
[^6]: Teisene allikas: The Register. $380M lawsuit claims intruder got Clorox's passwords from Cognizant simply by asking, 23.07.2025. - https://www.theregister.com/2025/07/23/lawsuit_clorox_vs_cognizant/
[^7]: VÕS § 492 lg 1 (viide 3).
[^8]: G&G Oil Co. of Indiana v. Continental Western Insurance Co., Indiana Supreme Court, 2021. Teisene allikas: Simpson Thacher & Bartlett. Indiana Supreme Court Rules That Ransomware Losses May Be Subject to Computer Fraud Coverage, 30.04.2021. - https://www.stblaw.com/about-us/publications/view/2021/04/30/indiana-supreme-court-rules-that-ransomware-losses-may-be-subject-to-computer-fraud-coverage
[^9]: Lloyd's Market Association. Cyber war and cyber operation clauses updated. - https://lmalloyds.com/cyber-war-cyber-operation-clauses-updated/