Mida küberkindlustus katab: omakahju ja vastutuskate

Lühidalt. Küberkindlustus on koondtoode, mis ühendab varakindlustuse (andmed ja süsteemid), finantskahjude kindlustuse (ärikatkestus, lisakulud) ja vastutuskindlustuse (kolmandate isikute nõuded ning järelevalvemenetlused). Erinevalt klassikalisest varakindlustusest ei eelda see asja füüsilist kahjustumist. Iga kattekomponent on eraldi kindlustusjuhtumi kirjeldus oma alamlimiidi, ooteaja ja omavastutusega. Küberkindlustus ei kata tavaliselt pettusega kaotatud raha täies ulatuses; see on crime-kindlustuse ala.

1. Küberkindlustuse koht kindlustusliikide süsteemis

Kindlustustegevuse seaduse liigituses jaguneb küberkindlustus mitme kahjukindlustuse liigi vahel: muu varakindlustus, tsiviilvastutuskindlustus ja finantskahjude kindlustus.¹ Liigituse tähendus ei ole üksnes järelevalveline. VÕS § 427 lõike 3 järgi võib suurriskide lepingus kindlustusvõtja kaitseks ette nähtud poolimperatiivsetest sätetest kõrvale kalduda, kui kindlustusvõtja vastab vähemalt kahele kolmest suuruskriteeriumist (bilansimaht üle 6,6 miljoni euro, netokäive üle 13,6 miljoni euro, majandusaasta keskmine töötajate arv vähemalt 250).² Seetõttu sõltub kindlustusvõtja õiguslik kaitse sama küberlepingu puhul ühingu suurusest.

Küberkindlustuse eripära on, et kahju ei ole füüsiline. Andmete krüpteerimine, kustutamine või süsteemi kättesaamatus ei ole asja hävimine ega kahjustumine klassikalise varakindlustuse mõttes. Küberkindlustus määratleb kahju ise: „andmevara“, „arvutisüsteem“, „küberintsident“, „turvarikkumine“ ja „süsteemi rike“ on lepingus defineeritud mõisted, mille sisu määrab katte ulatuse.

2. Ettevõtte enda kahju (first-party)

2.1. Intsidendile reageerimise kulud

Esimesed tunnid pärast intsidenti määravad kahju ulatuse. Küberkindlustus katab tavaliselt:

• IT-forensika ja intsidendi analüüsi kulud (ründe ulatuse, sisenemisvektori ja mõjutatud süsteemide tuvastamine);
• õigusnõustamise (breach coach) kulud teavitamiskohustuste ja vastutuse hindamisel;
• kriisikommunikatsiooni ja suhtekorralduse kulud;
• kolmandate isikute teavitamise ja kõnekeskuse kulud;
• krediidimonitooringu või identiteedikaitse teenuse kulud andmesubjektidele.

Sageli on need kulud kaetud ilma omavastutuseta või madala omavastutusega, kui kindlustatu kasutab kindlustusandja paneelteenusepakkujaid (vt intsidendile reageerimine ja teenusepakkujad).

2.2. Andmete ja süsteemide taastamine

Kate hõlmab andmete taastamist varukoopiatest, tarkvara uuesti installeerimist, andmete rekonstrueerimist ning mõnel juhul ka riistvara asendamist, kui see on rünnaku tõttu kasutuskõlbmatuks muutunud (bricking). Paljud tingimused ei kata süsteemi parendamist (betterment): kui taastamisel paigaldatakse uuem ja turvalisem süsteem, hüvitatakse üksnes varasemaga samaväärse olukorra taastamise kulu.

2.3. Ärikatkestus

VÕS § 476 lõike 4 järgi hõlmab kahjukindlustus saamata jäänud tulu üksnes siis, kui selles on eraldi kokku lepitud.³ Küberlepingus see kokkulepe on, kuid selle sisu tuleb lugeda täpselt:

• ooteaeg (waiting period), tavaliselt 8 kuni 24 tundi, mille jooksul tekkinud kahju ei hüvitata;
• hüvitusperiood (indemnity period), mille jooksul tekkinud kahju hüvitatakse;
• kahju arvutamise alus: kas saamata jäänud puhastulu pluss jätkuvad püsikulud või muu metoodika;
• lisakulud (increased cost of working) tegevuse jätkamiseks (ületunnid, ajutised süsteemid, käsitsi töö).

Laiendusena kaetakse ka teenusepakkuja süsteemi seiskumisest tekkinud katkestus (dependent business interruption), sageli alamlimiidiga ja tingimusel, et teenusepakkuja on lepingus nimetatud või vastab teatud tunnustele. Süsteemi rike, mis ei ole põhjustatud rünnakust (system failure), on kaetud üksnes siis, kui see on eraldi kokku lepitud.

2.4. Küberväljapressimine

Väljapressimise kate hõlmab läbirääkimiste ja vahendamise kulusid ning teatud tingimustel lunaraha. Lunaraha maksmise õiguslikud piirid on käsitletud eraldi lehel: lunavara ja lunaraha.

2.5. Rahaliste vahendite kaotus

Mõned küberlepingud sisaldavad piiratud alamlimiidiga laiendust petturlike maksete (funds transfer fraud, social engineering) või telekommunikatsioonipettuse (telephone hacking) kahjule. Kui ettevõtte peamine risk on maksepettus, ei ole see laiendus asendus crime-kindlustusele (vt koostoime küberkindlustusega).

3. Kolmandate isikute nõuded (third-party)

3.1. Vastutus andmelekke ja turvarikkumise eest

Kui andmed lekivad või süsteemi kaudu levib pahavara partnerite süsteemidesse, võivad nõude esitada andmesubjektid, kliendid, lepingupartnerid ja maksekaardiettevõtted. Vastutuskindlustusena katab küberkindlustus nii hüvitise kui ka õigusabikulud.⁴ Nõuded võivad olla lepingulised (teenuse kättesaadavuse või konfidentsiaalsuse rikkumine) või lepinguvälised (GDPR art 82 alusel materiaalse või mittemateriaalse kahju hüvitamine).⁵

Tähelepanu tuleb pöörata lepingulise vastutuse välistusele: paljud tingimused katavad lepingulist vastutust ainult ulatuses, milles see oleks olemas ka ilma lepinguta. Kui ettevõte on lepinguga võtnud endale leppetrahvi või laiendatud hüvitamiskohustuse, ei pruugi see olla kaetud.

3.2. Meediavastutus

Laiendus katab nõuded, mis tulenevad veebilehel või sotsiaalmeedias avaldatud sisust (autoriõiguse rikkumine, laim, eraelu puutumatuse rikkumine), eeldusel et sisu on seotud kindlustatu tegevusega.

3.3. Maksekaarditööstuse nõuded

Kui ettevõte töötleb maksekaardiandmeid, võivad kaardiorganisatsioonid nõuda lepingutrahve ja hindamiskulusid turvanõuete (PCI DSS) rikkumise eest. Need on kaetud tavaliselt eraldi alamlimiidiga.

4. Regulatiivsed menetlused

Küberkindlustus katab tavaliselt järelevalvemenetluse kulud (õigusabi, esindamine Andmekaitse Inspektsiooni või Riigi Infosüsteemi Ameti ees) ja mõne tingimuse järgi trahvid, kui need on kohaldatava õiguse järgi kindlustatavad. Vastutav töötleja peab isikuandmetega seotud rikkumisest teavitama järelevalveasutust põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast rikkumisest teadasaamist, välja arvatud juhul, kui rikkumine tõenäoliselt ei ohusta füüsiliste isikute õigusi ja vabadusi.⁶ Küberturvalisuse seaduse kohaldamisalas olevad teenuseosutajad peavad olulise mõjuga intsidendist esitama Riigi Infosüsteemi Ametile esmase teate hiljemalt 24 tunni jooksul.⁷ Vt NIS2 ja küberturvalisuse seadus.

Trahvide kindlustatavus Eestis on vaieldav. Kindlustatu ei tohiks eeldada, et haldustrahv või GDPR-trahv on kaetud ka siis, kui tingimus seda kohaldatava õiguse piires võimaldab (vt mida D&O-kindlustus katab).

5. Mida küberkindlustus tavaliselt ei kata

• asja füüsilist kahjustumist ja kehavigastust (need kuuluvad vara- ja vastutuskindlustusse);
• infrastruktuuri (elekter, internet, telekommunikatsioon) üldist riket;
• sõjategevust ja riigi toetatud küberoperatsioone teatud tingimustel (vt välistused ja vaidlused);
• teadaolevaid haavatavusi, mida ei ole lepingus nõutud aja jooksul parandatud (osa tingimusi);
• intellektuaalomandi väärtuse vähenemist ja tulevikus saamata jäävat tulu pärast hüvitusperioodi;
• süsteemide parendamist.

6. Kuidas lugeda küberlepingu struktuuri

Küberleping on moodulitest koosnev dokument. Iga moodul sisaldab kindlustusjuhtumi kirjeldust, alamlimiiti ja omavastutust ning sellele lisanduvad üldised definitsioonid ja välistused. Kindlustatu peaks koostama tabeli, kuhu on kantud iga mooduli limiit, omavastutus ja ooteaeg ning võrdlema seda oma kõige tõenäolisemate stsenaariumidega: lunavara, andmeleke, teenusepakkuja katkestus ja petturlik makse.

Korduma kippuvad küsimused

Kas küberkindlustus on Eestis kohustuslik?

Ei. Küberturvalisuse seadus kohustab teatud teenuseosutajaid rakendama turvameetmeid ja teavitama intsidentidest, kuid ei nõua kindlustust. Kindlustuse vajadus tuleneb ettevõtte riskist, lepingupartnerite nõuetest ja juhatuse otsusest.

Kas väike ettevõte vajab küberkindlustust?

Väikesel ettevõttel on tavaliselt vähem ressursse intsidendi lahendamiseks. Küberkindlustuse esimese isiku teenused (forensika, õigusabi, taastamine) võivad väikese ettevõtte jaoks olla väärtuslikumad kui suure ettevõtte jaoks, kellel on oma meeskond. Oluline on, et lepingu alamlimiidid ja ooteajad vastaksid ettevõtte tegelikule tegevusele.

Kuidas suhestub küberkindlustus IT-teenusepakkuja vastutusega?

Teenusepakkuja vastutus on piiratud lepinguga ja sõltub rikkumise tõendamisest. Küberkindlustus hüvitab kindlustatu kahju ilma rikkumise tõendamiseta, ja kindlustusandja võib hiljem esitada tagasinõude teenusepakkuja vastu.

Kas küberkindlustus katab töötaja eksituse?

Enamik lepinguid katab ka töötaja hooletusest tulenevaid intsidente (nt õngitsuskirja avamine). Töötaja tahtlik tegu võib olla eraldi reguleeritud.

Seotud lehed

• Küberkindlustus (ülevaade)
• NIS2 ja küberturvalisuse seadus
• GDPR, andmeleke ja vastutus
• Küberkindlustuse välistused ja vaidlused
• Crime-kindlustus (ülevaade)

Viited