Kaasaegne riskimaastik: küber, pettus ja juhtimisvastutus

Lühidalt. Kümne aastaga on ettevõtte riskipilt muutunud põhimõtteliselt. Kahju ei ole enam valdavalt füüsiline, vaid seisneb andmete kättesaamatuses, valele kontole tehtud maksetes ja sellele järgnevates nõuetes. Üks intsident võib korraga käivitada küber-, Crime- ja D&O-riski. Klassikaline vara- ja vastutuskindlustus ei ole selliseks olukorraks ehitatud ning kindlustusprogramm, mis on kokku pandud eraldi ostetud lepingutest, jätab sageli just kõige kallima osa kahjust katmata.¹

1. Miks traditsiooniline kindlustus enam ei piisa

Vara- ja vastutuskindlustus kujunesid ajal, mil riskid olid selgemini piiritletud. Varakindlustus keskendus asja hävimisele või kahjustumisele (tulekahju, veekahju, vargus), vastutuskindlustus aga klassikalistele vastutusjuhtumitele, näiteks kolmanda isiku tervise või vara kahjustamisele. Kindlustusjuhtumi kirjeldus ja sellega seotud välistused peegeldavad seda loogikat tänaseni.

Tänapäeva tüüpiline kahju näeb välja teistsugune.

• Kahju ei ole füüsiline. Andmete kustumine, süsteemide krüpteerimine või ligipääsu kaotus ei pruugi kvalifitseeruda „asja hävimiseks või kahjustumiseks“ varakindlustuse tähenduses. Rahvusvahelises kohtupraktikas on seda küsimust lahendatud kord kindlustusvõtja, kord kindlustusandja kasuks; tulemuse määras iga kord lepingu sõnastus (vt küberkaasused).
• Pettus ei ole tehniline rike. Kui töötaja sisestab ise maksekorralduse, sest teda on veendud, et tarnija pangakonto on muutunud, ei ole makse ise ettevõtte maksesüsteemi „häkkimine“, isegi kui skeem algas e-posti konto kompromiteerimisest. Arvutikelmuse katte sõnastusest sõltub, kas selline kahju on kaetud.
• Kahju on mitmekihiline. Ühest sündmusest võivad tekkida ärikatkestus, lepingulised nõuded, järelevalvemenetlus, trahv ja mainekahju. Iga kiht võib kuuluda erineva kindlustuslepingu alla või jääda katmata.
• Risk liigub tarneahelas. Rünnak IT-teenuse pakkuja vastu võib tekitada kahju kliendile, kes ei olnud ründe sihtmärk ja kelle enda süsteemid olid korras.

Praktikas tähendab see nelja lihtsat tõdemust: varakindlustus ei kata üldjuhul küberkahju, üldvastutuskindlustus ei kata üldjuhul andmeleket, Crime-kindlustus ei kata automaatselt kõiki sotsiaalse manipulatsiooni (social engineering) skeeme ja D&O-kindlustus ei kata ettevõtte enda tehnilist ega otsest rahalist kahju. Kui kindlustusprogramm ei ole teadlikult üles ehitatud, ei jää kahju katmata mitte seetõttu, et kindlustust polnud, vaid seetõttu, et see oli valesti struktureeritud.

Eesti kindlustuslepinguõigus annab kindlustusvõtjale olulise kaitse: seaduse eeldus on, et kindlustusandja kannab kindlustusjuhtumist tulenevad kulud, ja kindlustuskaitse piirangud peavad olema selged.² Riigikohus on korduvalt rõhutanud, et tüüptingimuses peidetud piirang ei pruugi saada lepingu osaks ja et ebaselget tüüptingimust tõlgendatakse koostaja kahjuks.³ See kaitse aitab vaidluses, kuid ei asenda katte olemasolu: kui kindlustusjuhtum ise on kitsalt ja selgelt määratletud, ei loo tõlgendamine katet, mida lepingus ei ole.

2. Digitaliseerimine ja sõltuvus IT-st

Peaaegu kõik ettevõtte põhifunktsioonid (raamatupidamine, arveldus, kliendisuhtlus, tarneahela juhtimine, tootmise planeerimine) toimivad digitaalselt. Isegi lühiajaline seisak võib tähendada märkimisväärset ärikatkestust. Lisaks ei sõltu ettevõte ainult oma süsteemidest, vaid ka pilveteenuse pakkujatest, tarkvaraplatvormidest ja hallatud IT-teenuse pakkujatest. Risk võib seega realiseeruda väljaspool ettevõtte otsest kontrolli.

Kindlustuse vaates on siin kaks olulist järeldust.

Esiteks, klassikaline ärikatkestuskindlustus on enamasti seotud füüsilise varakahjuga: katkestus peab tulenema kindlustatud vara hävimisest või kahjustumisest. IT-süsteemi seisak ilma füüsilise kahjuta jääb sellisest kattest välja, kui leping ei näe ette teisiti. Saamata jäänud tulu hüvitatakse Eesti õiguse järgi kahjukindlustuses üksnes eraldi kokkuleppel (VÕS § 476 lg 4), mistõttu tuleb ärikatkestuse kate alati selgelt kokku leppida.⁴

Teiseks, tarneahela katkestus (contingent business interruption) on omaette kate, mis tuleb eraldi läbi rääkida: kas kaetud on ainult nimetatud teenusepakkujad või kõik IT-teenuse osutajad, kas ka pilveteenused, ja milline on ooteaeg (waiting period), enne kui kate rakendub.

3. Pettuste evolutsioon: sotsiaalne manipulatsioon ja arvepettus

Pettused on liikunud tehnilistelt rünnakutelt inimkäitumise manipuleerimisele. Kaks levinumat skeemi on järgmised.

• Arvepettus (invoice fraud, payment diversion): ründaja jälgib ettevõtte või tarnija kirjavahetust ja saadab õigel hetkel teate pangakonto muutumisest. Riigi Infosüsteemi Amet kirjeldab skeemi just nii: võltsarve erineb õigest peamiselt pangakonto andmete poolest ning kurjategijad on sageli eelnevalt partneri või ettevõtte e-posti sisse murdnud.⁵
• Tegevjuhi pettus (CEO fraud, fake president): finantstöötajale saadetakse juhi nimel kiire ja konfidentsiaalne korraldus teha ülekanne „strateegilise tehingu“ jaoks.

Mõlema skeemi lõpus sisestab ja kinnitab maksekorralduse ettevõtte enda töötaja. See ei tähenda, et süsteemi ei sisenetaks: arvepettus algab sageli ettevõtte või partneri e-posti konto kompromiteerimisest, nagu märgib ka RIA, ja lõpeb alles autoriseeritud maksega. Just seetõttu tekivad kindlustuses vaidlused. Küberkindlustuse andja võib väita, et tegemist ei olnud süsteemi ründega, vaid inimliku eksimusega; Crime-kindlustuse andja võib väita, et tegemist ei olnud „otsese“ kahjuga või et kahju ei tekkinud arvuti kasutamisest, vaid töötaja otsusest. USA ja Kanada kohtupraktika on selles küsimuses lõhestunud (vt Crime-kindlustuse kohtukaasused). Kriminaalõiguslikult on sellised teod kelmus või arvutikelmus (KarS § 209, § 213), kuid kindlustusjuhtumi määrab kindlustusleping, mitte karistusõiguslik kvalifikatsioon.⁶

4. Juhtimisriskide kasv: NIS2, isikuandmete kaitse ja investorid

Regulatiivne keskkond on muutnud küberturbe ja riskijuhtimise juhatuse küsimuseks.

Küberturvalisuse seadus. NIS2 direktiiv on Eestis üle võetud küberturvalisuse seaduse muudatustega, mis jõustusid 01.01.2026.⁷ Seaduse kohaldamisalasse kuuluv üksus peab määrama küberturbe eest vastutava juhatuse liikme, kes läbib vastava koolituse; kui seda ei tehta, kannavad vastutust kõik juhatuse liikmed (KüTS § 6¹). Olulise mõjuga intsidendist tuleb Riigi Infosüsteemi Ametile esitada esmane teade hiljemalt 24 tunni ja intsidenditeade hiljemalt 72 tunni jooksul (KüTS § 8). Üliolulise üksuse rikkumise eest võib trahv ulatuda kuni 10 miljoni euro või 2%-ni ülemaailmsest aastakäibest, olulise üksuse puhul kuni 7 miljoni euro või 1,4%-ni (KüTS § 18², § 18³).⁸

Isikuandmete kaitse. Isikuandmetega seotud rikkumisest tuleb teavitada Andmekaitse Inspektsiooni põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul, välja arvatud juhul, kui rikkumine tõenäoliselt ei ohusta füüsiliste isikute õigusi ja vabadusi (isikuandmete kaitse üldmääruse art 33 lg 1); volitatud töötleja teavitab vastutavat töötlejat põhjendamatu viivituseta (art 33 lg 2).⁹

Äriühinguõigus. Juhatuse liige peab täitma kohustusi korraliku ettevõtja hoolsusega ja vastutab kohustuste rikkumisega tekitatud kahju eest; vabanemiseks peab ta tõendama, et tegutses hoolsalt (ÄS § 187, § 315).¹⁰ Tagantjärele hinnates on küsimus selles, kas risk oli ettenähtav ja kas juhatus võttis mõistlikke meetmeid. Küberturbe puudujääke ei käsitleta enam pelgalt tehnilise probleemina, vaid võimaliku hoolsuskohustuse rikkumisena.

Investorid ja võlausaldajad. Kui ettevõte on avalikustanud teavet oma riskide kohta, võivad investorid pärast intsidenti väita, et teave oli ebatäielik või eksitav. Rahvusvahelises praktikas on andmelekkele mitmel korral järgnenud väärtpaberi- ja derivatiivhagid juhtide vastu (vt D&O-kaasused).

5. Riskide ahel: kuidas üks sündmus liigub kolme kindlustusliigi vahel

Tüüpiline sündmuste ahel võib olla järgmine:

1. ründaja võtab üle finantstöötaja e-posti konto (küberrisk);
2. konto kaudu saadetakse partnerile või ettevõtte enda raamatupidamisele võltsitud maksekorraldus ja raha kantakse ründaja kontole (Crime-risk);
3. uurimisel selgub, et kontolt lekkisid ka klientide andmed; tuleb teavitada järelevalveasutust ja kliente (küberrisk, regulatiivne risk);
4. kliendid ja partnerid esitavad nõudeid, ettevõtte tegevus on häiritud (vastutus- ja ärikatkestusrisk);
5. osanikud või aktsionärid, hiljem võib-olla pankrotihaldur, küsivad, miks mitmeastmelist autentimist ja maksete kontrolli ei olnud (D&O-risk).

Sellises olukorras võivad korraga rakenduda küberkindlustus (forensika, taastamine, teavitamine, vastutus andmelekke eest), Crime-kindlustus (petturlik maksekorraldus) ja D&O-kindlustus (nõue juhtide vastu). Samal ajal tekivad küsimused, mis on kindlustusvaidluste tuum: milline leping katab millise osa kahjust, kas kahju oli otsene või kaudne, kas töötaja tegu katkestab põhjusliku seose, kas juhatus täitis hoolsuskohustuse ning kas ründe võimalik riiklik taust käivitab sõjariski välistuse (vt sõjarisk).

Kolme liigi omavaheline seos on lahti kirjutatud lehel küber-, Crime- ja D&O-kindlustuse koostoime ning ahelat illustreerivad praktikal põhinevad stsenaariumid.

6. Mitmekihiline kahju ja kolm küsimust juhatusele

Mitmekihilist kahju on kasulik mõelda läbi infoturbe kolme mõõtme kaudu, sest see muudab tehnilise riski juhatusele arusaadavaks ja aitab hiljem kahju kindlustusliigiti jaotada:

• käideldavus: kas süsteemid ja andmed on õigel ajal kättesaadavad (lunavara, teenusetõkestus, pilveteenuse seisak; peamiselt küberkindlustus ja ärikatkestus);
• terviklikkus: kas andmed ja maksekorraldused on õiged ja muutmata (petturlik makse, võltsitud arve, manipuleeritud pearaamat; peamiselt Crime-kindlustus);
• konfidentsiaalsus: kas andmetele pääsevad ligi ainult volitatud isikud (andmeleke, siseringi andmevargus; küberkindlustus ja vastutus kolmandate isikute ees).

Kõigi kolme mõõtme taga on küsimus, kas juhtimine oli korraldatud hoolsalt. See on D&O-kiht, mis aktiveerub sageli alles kuid või aastaid hiljem.

7. Mida see tähendab ettevõttele

1. Kindlustust tuleb ostes vaadata stsenaariumide, mitte lepinguliikide kaupa. Iga olulise stsenaariumi juures tuleb küsida, milline leping seda katab, millise limiidi ja alamlimiidiga ning millised välistused võivad rakenduda.
2. Riskijuhtimine ja kindlustus on üks süsteem. Kindlustusandjad hindavad üha enam ettevõtte tegelikku turvataset ja sisekontrolli. Kui taotluses esitatud teave ei vasta tegelikkusele, võib kindlustusandja seaduses sätestatud tingimustel lepingust taganeda (VÕS § 441, § 442).¹¹
3. Dokumenteerimine on kaitse. Juhatuse otsuste, riskianalüüside ja kindlustusvalikute põhjendused on hiljem peamine tõend selle kohta, et juhatus tegutses hoolsalt.
4. Kriisivalmidus on osa kindlustuskaitsest. Õigeaegne teatamine, kahju vähendamine ja tõendite säilitamine on seadusest ja lepingust tulenevad kohustused (VÕS § 448, § 488).¹²

Seotud lehed

• Kindlustusvajaduse kaardistamine
• Integreeritud kindlustusprogramm
• Küber-, Crime- ja D&O-kindlustuse koostoime
• Küberkindlustus
• Crime-kindlustus
• D&O-kindlustus

Viited