Küberrünnak kui sõjategevus: NotPetya, omistamine ja kate

Lühidalt. Küberoperatsioon võib toimuda rahuajal, ilma füüsilise vägivallata ja anonüümselt, kuid selle majanduslik mõju võib olla võrreldav sõjalise rünnakuga. Kindlustuse seisukohast on kolm küsimust: kas tegemist on riigi enda, riigi toetatud või sõltumatu kuritegeliku tegevusega; kas lepingu välistus hõlmab küberoperatsiooni; ja kes peab omistamist tõendama. NotPetya vaidlused (Merck ja Mondelez) näitasid, et klassikaline sõjavälistus ei ole küberoperatsiooni puhul usaldusväärne; turu vastus olid uued, täpsemad klauslid. Eesti ja Balti ettevõtjad peavad arvestama, et riiklikult motiveeritud küberkampaaniad on nende piirkonnas korduv nähtus.

1. Kolm rünnakute kategooriat

Riiklik operatsioon. Riigi relvajõud või luureasutus korraldab rünnaku otse. Näiteks omistasid USA ja Ühendkuningriigi valitsus 2018. aastal NotPetya rünnaku Venemaa sõjaväeluurele.

Riigi toetatud või tolereeritud tegevus. Rühmitus tegutseb riigi juhiste, rahastuse või kaitse all, kuid ei ole riigiorgan. Paljud lunavararühmitused tegutsevad riikidest, mis neid ei takista, kuid ei pruugi neid ka juhtida.

Sõltumatu kuritegevus poliitilise sõnumiga. Rühmitus tegutseb omal algatusel, deklareerides poliitilist eesmärki (nt teenusetõkestusrünnakud riikide vastu, kes toetavad Ukrainat).

Kindlustusõiguslikult on piir esimese ja teise kategooria vahel kõige olulisem. Uued klauslid välistavad tavaliselt riigi „poolt või nimel“ tehtud operatsioonid. Pelk tolereerimine ei pruugi sellele tunnusele vastata.

2. NotPetya: regionaalne konflikt, globaalne kahju

2017. aasta juunis levis NotPetya pahavara Ukraina raamatupidamistarkvara uuenduse kaudu. See näis lunavarana, kuid oli tegelikult hävitav: andmeid ei olnud võimalik taastada. Rünnak oli suunatud Ukrainale, kuid tabas rahvusvaheliste ettevõtete süsteeme kogu maailmas, sest need kasutasid sama tarkvara või olid võrguühenduses Ukraina tütarettevõtetega.

Kaks suurt kindlustusvaidlust:

• Merck v ACE American. Ravimitootja nõue varakindlustuse alusel; kindlustusandjad tuginesid vaenulike ja sõjaliste tegude välistusele. New Jersey kohtud leidsid 2022. ja 2023. aastal, et välistus hõlmab relvastatud konflikti tavatähenduses, mitte küberrünnakut, mis ei olnud seotud sõjalise tegevusega.¹ Pooled sõlmisid 2024. aasta jaanuaris kompromissi.²
• Mondelez v Zurich. Toiduainetootja nõue varakindlustuse alusel; vaidlus lõppes 2022. aastal kompromissiga enne kohtulahendit.³

Kaasustest tuleb teha kaks järeldust. Esiteks: kui leping ei käsitle küberoperatsioone eraldi, on kindlustatul tugev argument, et klassikaline sõjavälistus ei kohaldu. Teiseks: tänapäeval sõlmitud lepingutes on olukord teistsugune, sest turg on lisanud spetsiifilised klauslid (vt sõjariski välistused ja LMA klauslid).

3. Eesti õiguse lähenemine

Eesti kohus lähtuks küsimuse lahendamisel lepingu tõlgendamisest: kuidas mõistaks välistust mõistlik kindlustusvõtja ja kas sõnastus on üheselt mõistetav.⁴ Kui välistus on klassikaline, on kindlustatul hea võimalus väita, et küberrünnak rahuajal ei ole sõda ega vaenutegevus tavakeele tähenduses. Kui välistus on uus küberoperatsiooni klausel, keskendub vaidlus faktidele: kas operatsioon oli riigi poolt või nimel, kas sellel oli oluline mõju riigi toimimisele ja kas omistamise reegel on täidetud.

Tõendamiskoormus välistuse eelduste osas on kindlustusandjal. Kui klausel lubab kindlustusandjal tugineda oma järeldusele, peab see järeldus olema kohtus kontrollitav. Analüütiline järeldus: kindlustusandja ei saa piirduda meediaväljaannete või anonüümsete luureallikatega; ta peab esitama tehnilised ja kontekstuaalsed tõendid, mida kohus saab hinnata.

4. Teenusetõkestuskampaaniad

Riiklikult motiveeritud teenusetõkestusrünnakud (DDoS) on Baltikumis olnud korduvad: Eesti 2007. aasta rünnakutest kuni hilisemate kampaaniateni avalike teenuste ja meedia vastu, mis on sageli ajaliselt seotud poliitiliste otsustega. Need rünnakud on tehniliselt suhteliselt lihtsad, kuid põhjustavad teenusekatkestust ja ärikatkestuse kahju.

Kindlustuse seisukohast:

• kui ründajaks on poliitiliselt motiveeritud rühmitus, mida riik ametlikult ei juhi, ei pruugi riikliku küberoperatsiooni välistus kohalduda;
• kui rünnak tabab kogu riigi taristut (nt internetiühendus), võib kohalduda taristuvälistus;
• ärikatkestuse ooteaeg (tavaliselt mitu tundi) võib tähendada, et lühiajalised rünnakud on katmata.

5. Tarneahela rünnakud

Tarneahela rünnakus kompromiteeritakse tarkvaratootja või teenusepakkuja, et levitada pahavara klientidele. NotPetya oli selle näide. Tarneahela rünnak võib olla riiklik operatsioon, mille sihtmärk on ühes riigis, kuid kaaskannatajad kõikjal. Siin muutub oluliseks kaaskannataja erand: kas klausel säilitab katte süsteemidele, mis ei asu mõjutatud riigis? Eesti ettevõte, kes kasutab Ukraina, Venemaa või muu konfliktipiirkonna tarkvara või teenusepakkujat, peaks seda küsimust hindama eriti hoolikalt.

6. Mõju crime- ja D&O-kindlustusele

Crime. Kui riigi toetatud rühmitus korraldab sotsiaalse manipulatsiooni pettuse, võib kindlustusandja kaaluda sõjavälistust. Klassikalise välistuse korral on see raske, sest arvepettus ei ole sõda.

D&O. Küberoperatsiooni järel võivad juhid saada nõude, et nad ei valmistanud ühingut geopoliitiliseks riskiks ette. D&O-lepingu sõjavälistus, kui see on olemas, ei tohiks laieneda juhtimisvastutuse nõudele, mis tugineb puudulikule ettevalmistusele, sest nõude alus on juhi tegevusetus, mitte sõda. Lepingu sõnastus tuleb siiski üle kontrollida.

7. Praktilised soovitused

1. Loe küberlepingu sõjaklausel läbi ja tee kindlaks, milline LMA variant või muu sõnastus on kasutusel.
2. Selgita välja, kas kaaskannataja erand kehtib ja kuidas on määratletud „mõjutatud riik“, eriti Eesti enda suhtes.
3. Hinda tarneahela riske: kas kriitiline tarkvara või teenus tuleb konfliktipiirkonnast?
4. Kontrolli, kas vara- ja ärikatkestuse lepingud välistavad küberrünnakud ning kuidas need suhestuvad küberlepinguga.
5. Intsidendi korral kogu tehnilisi tõendeid ka omistamise küsimuse jaoks; kindlustusandja võib neid kasutada välistuse põhjendamiseks.

Korduma kippuvad küsimused

Kas lunavararühmituse rünnak on riiklik küberoperatsioon?

Üldjuhul mitte. Lunavararühmitused tegutsevad rahalisel eesmärgil. Isegi kui rühmitus tegutseb riigist, mis seda ei takista, ei tähenda see automaatselt, et rünnak on riigi poolt või nimel. Kindlustusandja peab tõendama seost riigiga lepingus nõutud ulatuses.

Kas teenusetõkestusrünnak Eesti avalike teenuste vastu mõjutab erasektori katet?

Kui ettevõte kannatab kahju seetõttu, et avalik teenus (nt e-teenuste platvorm) on kättesaamatu, võib see olla taristu- või sõltuva ärikatkestuse küsimus. Kui rünnak on omistatud riigile ja sellel on oluline mõju Eesti toimimisele, võib rakenduda ka küberoperatsiooni välistus.

Kas küberrünnak võib käivitada D&O-nõude?

Jah, kui osanikud, aktsionärid või pankrotihaldur väidavad, et juhatus ei valmistunud teadaolevaks riskiks korraliku ettevõtja hoolsusega. Selline nõue on juhtimisvastutuse nõue, mitte sõjakahju.

Kas ettevõte peaks intsidendi järel avalikult spekuleerima ründaja päritolu üle?

Ei. Ettevõtte avalikud avaldused võivad hiljem saada tõendiks kindlustusvaidluses. Kui ettevõte teatab meediale, et rünnaku taga on välisriik, võib kindlustusandja sellele tugineda välistuse põhjendamisel. Kommunikatsioon peab olema faktiline ja kooskõlastatud õigusnõustajaga.

Kas riiklik küberoperatsioon võib olla kaetud mõne muu lepinguga?

Kui küberlepingus on küberoperatsiooni välistus, ei pruugi muud lepingud seda lünka täita, sest vara- ja ärikatkestuse lepingutes on sageli kübervälistus. Mõned PV-lepingud pakuvad piiratud katet küberrünnakust tuleneva füüsilise kahju korral. Riikliku küberoperatsiooni risk jääb seega suures osas ettevõtte enda kanda ja seda tuleb maandada tehniliste ja organisatsiooniliste meetmetega.

Seotud lehed

• Sõjariski välistused ja LMA klauslid
• Küberkindlustuse kaasused
• Küberkindlustuse välistused ja vaidlused
• Eesti ettevõtja kontrollnimekiri sõjariski osas
• Küberkindlustus (ülevaade)

Viited