KindlustusõigusVandeadvokaat Olavi-Jüri Luik, PhD
Avaleht / Ettevõtte riskijuhtimine ja kindlustus: käsiraamat juhatusele / Kaasuste kogumik: küber-, Crime- ja D&O-kindlustuse kaasused / Küberkindlustuse kaasused: NotPetya, andmelekked, lunavara

Küberkindlustuse kaasused: NotPetya, andmelekked, lunavara

Autor: Olavi-Jüri Luik, PhD, vandeadvokaat (WIDEN)

Sisukord

Lühidalt. Rahvusvahelised küberkindlustuse vaidlused keerlevad nelja küsimuse ümber: kas küberkahju on kaetud traditsioonilise vara- või vastutuskindlustusega (nn vaikiv küberrisk), kas riiklikult seotud rünnak on „sõda“, kas lepinguline vastutus (nt kaardibrändide tasud) on kaetud ning kas kindlustusvõtja taotluses antud teave turvameetmete kohta vastas tegelikkusele. Allolevad kirjeldused põhinevad avalikel teisestel allikatel.1 Merck, Mondelēz, Clorox ja G&G Oil on küberkindlustuse lehel analüüsitud põhjalikumalt: vt küberkindlustuse kaasused.

1. Merck vs. ACE American: NotPetya ja sõjariski välistus (USA)

Asjaolud. 2017. aasta NotPetya oli lunavaraks maskeeritud hävitav pahavara, mis levis Ukraina raamatupidamistarkvara uuenduse kaudu ja tabas ülemaailmselt tuhandeid organisatsioone. Ravimitootja Merck hindas oma kahjuks ligikaudu 1,4 miljardit dollarit; tal oli 1,75 miljardi dollari suurune kõikide riskide varakindlustus.

Vaidlus. Kindlustusandjad tuginesid sõjategevuse välistusele, väites, et rünnak oli riiklikult toetatud tegevus Ukraina vastu.

Lahend. New Jersey osariigi kohus leidis 2021. aasta detsembris, et sõjategevuse välistus ei kohaldu: kindlustusandja teadis, et küberrünnakud võivad olla sõjategevus, kuid ei muutnud välistuse sõnastust, mistõttu võis kindlustusvõtja mõistlikult eeldada, et välistus puudutab traditsioonilist sõjategevust. Apellatsiooniastme kohus (Appellate Division) jättis otsuse 1. mail 2023 muutmata, leides, et poliiside vaenuliku või sõjalaadse tegevuse välistus ei kohaldu küberrünnakule mittesõjalise ettevõtte vastu; kindlustusandjad said loa pöörduda New Jersey ülemkohtusse, kuid pooled sõlmisid 2024. aasta jaanuaris kompromissi ja ülemkohus lõpetas kaebuste menetluse 26. jaanuaril 2024 registreeritud määrusega ilma sisulise otsuseta.2 Tulemus puudutab nende kõikide riskide varakindlustuslepingute konkreetset vaenuliku või sõjalaadse tegevuse välistust ja seda ei saa üldistada uuematele küberoperatsioonide ja riiklike küberrünnakute välistustele.

Õppetund. Kaasus mõjutas kogu turgu: Lloyd's'i turul ja mujal võeti kasutusele eraldi küberoperatsioonide ja riiklike küberrünnakute välistused. Täna on vaidluse tulemus sõnastuse küsimus: kas leping välistab riiklikud küberoperatsioonid, kuidas defineeritakse „oluline mõju riigi toimimisele“ ja kes tõendab omistamist. Vt sõjarisk.

2. Mondelēz vs. Zurich: NotPetya ja varakindlustus (USA)

Asjaolud. Toiduainetootja Mondelēz kandis NotPetya tõttu kahju ja esitas 2018. aastal hagi varakindlustuse andja vastu enam kui 100 miljoni dollari suuruses nõudes. Kindlustusandja tugines sõjategevuse välistusele.

Tulemus. Vaidlus lõppes 2022. aasta oktoobris kompromissiga vahetult enne kohtumenetluse lõppu; tingimused on konfidentsiaalsed.3

Õppetund. Traditsiooniline varakindlustus ei ole küberriski jaoks usaldusväärne varulahendus. Kas küberkahju on varakindlustuses kaetud, välistatud või kokkuleppeliselt piiratud, peab olema lepingus selgelt kirjas.

3. Sony PlayStation Network: üldvastutuskindlustus ja andmeleke (USA)

Asjaolud. 2011. aastal rünnati Sony PlayStation Networki ja lekkisid ligikaudu 77 miljoni kasutaja andmed. Sony püüdis katta kasutajate ja partnerite nõudeid üldvastutuskindlustuse (CGL) lepingute alusel, tuginedes isikuõiguste rikkumise (avaldamise) kattele.

Tulemus. New Yorgi osariigi esimese astme kohus leidis 2014. aasta veebruaris, et andmete leke oli küll „avaldamine“, kuid leping eeldas, et avaldamise paneb toime kindlustusvõtja ise, mitte kolmas isik (ründaja); kohus lahendas asja kindlustusandja kasuks. Kindlustusandja ja Sony sõlmisid apellatsioonimenetluse ajal kokkuleppe, mistõttu kõrgema astme lahendit ei tulnud.4

Õppetund. Üldvastutuskindlustus ei ole vaikimisi küberkindlustus. Andmelekke vastutus vajab selgesõnalist katet.

4. Clorox vs. Cognizant: IT-teenusepakkuja ja tarneahela risk (USA)

Asjaolud. Tarbekaupade tootja Clorox kandis 2023. aastal küberrünnaku tõttu suurt kahju ja esitas 2025. aastal hagi oma IT-tugiteenuse pakkuja vastu ligikaudu 380 miljoni dollari suuruses nõudes, väites, et teenusepakkuja kasutajatoe töötajad andsid ründajale paroole ilma kontrollita.5

Õppetund. Tarneahela intsidendis võivad korraga aktiveeruda kliendi ja teenusepakkuja küberkindlustus. Teenuslepingus tuleb läbi rääkida turvanõuded, vastutuse piirangud ja teenusepakkuja kindlustuskohustus ning kontrollida, kas oma kindlustusandja tagasinõue teenusepakkuja vastu säilib (VÕS § 492).6

5. Capital One 2019: pilvekeskkond ja juhatuse vastutus (USA)

Asjaolud. Pilvekeskkonda talletatud krediiditaotluste ja kliendiandmeteni pääses volitamata isik; intsident puudutas ligikaudu 100 miljonit klienti USA-s ja 6 miljonit Kanadas. Järgnesid tarbijate masshagid, väärtpaberinõuded ja USA panganduse järelevalve trahv.7

Õppetund. Selline intsident tõstatab jaotusküsimuse küberkindlustuse (teavitamine, forensika, tarbijanõuded) ja D&O-kindlustuse (investorinõuded, järelevalvemenetlus) vahel. Viidatud allikad ei näita, kuidas Capital One'i kindlustusandjad hüvitised tegelikult jaotasid, mistõttu on jaotus siin esitatud tüüpilise katteküsimusena, mitte tuvastatud tulemusena. Pilveteenus ei vähenda juhatuse vastutust: konfiguratsiooniviga on ettevõtte enda risk.

6. Netgain Technology: hallatud IT-teenuse pakkuja lunavara (USA)

Asjaolud. Hallatud IT-teenuse pakkujat (MSP) tabas 2020. aastal lunavara, mis häiris mitme tervishoiuteenuse osutaja ja raamatupidamisbüroo tööd ning tõi kaasa tundlike andmete lekke. Järgnesid kohtumenetlused ja kokkulepped.8

Õppetund. Klient, kelle andmed on teenusepakkuja juures, kannab kahju sageli esimesena ise ja saab alles hiljem nõuda teenusepakkujalt. Teenusepakkuja kindlustuslepingus peab olema piisav kliendivastutuse kate.

7. MGM Resorts 2023: ärikatkestus kui suurim kahju (USA)

Asjaolud. Lunavararünnak seiskas kasiino- ja hotelliketi broneerimis-, makse- ja mängusüsteemid. Ettevõte ei maksnud lunaraha; järgnesid grupihagid.9

Õppetund. Suurim kahjuosa oli ärikatkestus, mitte andmeleke. Küberlepingus peab olema selgelt määratletud, millal katkestus loetakse kindlustusjuhtumiks (täielik seisak või ka oluline töövõime langus), ooteaeg ja hüvitamisperiood.

8. P.F. Chang's vs. Federal Insurance: kaardibrändi tasud ja lepinguline vastutus (USA)

Asjaolud. 2014. aasta andmelekke järel hüvitas küberkindlustuse andja restoraniketile üle 1,7 miljoni dollari otseseid kulusid. Vaidlus tekkis ligikaudu 2 miljoni dollari suuruste Mastercardi tasude üle, mille kett oli lepingu alusel kohustatud hüvitama oma makseteenuse pakkujale.

Lahend. Arizona föderaalkohus leidis 2016. aastal, et osa tasudest kuulus küll lepingu kindlustuskaitse kirjelduse alla, kuid neile kohaldusid lepingu alusel võetud vastutuse välistused: kett ei oleks tasude eest vastutanud ilma lepinguta.10

Õppetund. Kaardiandmeid töötlev ettevõte peab kaardibrändide tasude (PCI) katte eraldi läbi rääkima.

9. Columbia Casualty vs. Cottage Health: lepingueelne teave (USA)

Asjaolud. Haigla valesti konfigureeritud serveri tõttu said avalikuks ligikaudu 32 500 patsiendi andmed. Kindlustusandja püüdis lepingut tagasiulatuvalt kõrvaldada, väites, et taotluses kirjeldatud turvameetmed ei toiminud.11

Eesti õiguse vaates ei ole ingliskeelsel rescission'il automaatset vastet. Kui kindlustusvõtja rikkus lepingueelset teatamiskohustust, võib kindlustusandja seaduses sätestatud eeldustel lepingust taganeda (VÕS § 441, § 442), pettuse korral lepingu tühistada (TsÜS § 94).12 Tagajärjed on erinevad. Vt vaidluskohad.

10. National Bank of Blacksburg vs. Everest: kaks küberrünnakut ja Crime-leping (USA)

Asjaolud. Väikepanka rünnati 2016. ja 2017. aastal; ründajad kandsid klientide kontodele pettusega raha, mis võeti välja sularahaautomaatidest. Pank hindas kahjuks ligikaudu 2,4 miljonit dollarit ja esitas 2018. aastal hagi. Vaidlus puudutas seda, kas kahju kuulus arvuti- ja elektroonilise kuriteo lisa alla (8 miljonit dollarit juhtumi kohta) või deebetkaardi lisa alla (50 000 dollarit juhtumi kohta); kindlustusandja käsitles kahte rünnakut ka ühe juhtumina.13

Õppetund. Kui Crime- ja küberleping ei ole kooskõlas, vaieldakse kvalifikatsiooni ja alamlimiidi üle. Pangad ja makseteenuse pakkujad peavad mõlemad lepingud läbi rääkima ühtse paketina.

11. G&G Oil vs. Continental Western: lunavara Crime-lepingus (USA)

Asjaolud. Kütusemüüja süsteemid krüpteeriti 2017. aastal; ettevõte maksis lunarahaks neli bitcoini (ligikaudu 35 000 dollarit) ja nõudis hüvitist Crime-lepingu arvutikelmuse katte alusel.

Lahend. Indiana Ülemkohus leidis 2021. aastal, et kahju tulenes vahetult arvuti kasutamisest ja sunni all tehtud makse ei katkestanud põhjuslikku seost; küsimus, kas süsteemid saadi pettusega, jäi faktiküsimuseks ja asi saadeti tagasi.14

Õppetund. Lunavara võib olla nii küber- kui ka Crime-risk. Lepingud peavad käsitlema arvutikelmust, rahaülekande pettust ja küberväljapressimist koordineeritult.

12. EMOI Services vs. Owners: lunavara ja „füüsiline kahju“ varakindlustuses (USA)

Asjaolud. Ettevõte nõudis lunavarast tulenevat kahju äriomaniku varakindlustuse alusel, mis eeldas otsest füüsilist kahju.

Lahend. Ohio Ülemkohus leidis (2022-Ohio-4649), et tarkvara on mittemateriaalne ega saa kanda otsest füüsilist kahju, mistõttu elektroonikaseadmete lisa, mis eeldas füüsilist kahju, ei katnud tarkvara kasutamatust lunavara tõttu.15

Õppetund. Varakindlustuse „füüsilise kahju“ nõue jätab andmekahju tavaliselt välja. Mercki kaasus (punkt 1) näitab, et sõnastusest sõltuvalt võib tulemus olla ka teistsugune.

13. Baltimore'i linn 2019: avaliku sektori lunavara (USA)

Asjaolud. Lunavara halvas linna maksesüsteemid, kinnisvararegistri ja e-posti. Linn ei maksnud lunaraha ja taastamine kestis kuid. 2025. aastal tunnistas rünnakuga seotud isik end USA kohtus süüdi.16

Õppetund. Suurem osa kahjust tulenes tegevuse seiskumisest ja taastamisest, mitte andmelekkest. Omavalitsused ja avaliku sektori asutused vajavad samuti küberriski juhtimist ja kaitset.

14. Kindlustusandjate avaldatud kahjunäited

Kindlustusandja Beazley avaldab üldistatud küberkahjude näiteid.17 Neist neli on eriti õpetlikud:

  • Siseringi rikkumine sotsiaalmeedias. Väikelinna haigla töötaja avaldas sotsiaalmeedias patsiendi raviloo detaile ilma nimeta, kuid tuvastataval viisil. Küberkindlustus kattis privaatsusõiguse spetsialistid, teavitamisnõustamise ja kriisikommunikatsiooni. Õppetund: andmeleke ei vaja tehnilist rünnet.
  • Teenusepakkuja avalik serverifail. IT-teenusepakkuja jättis avalikuks faili enam kui 30 000 patsiendi arveldus- ja raviandmetega; see avastati ühinemise eelse kontrolli käigus. Järgnesid järelevalvemenetlused. Õppetund: vastutus kolmandate isikute ees jääb sageli andmete vastutavale töötlejale.
  • Kadunud krüpteerimata varukoopiad. IT-süsteemide ümberkorraldamise käigus kadusid krüpteerimata varundusandmed ligi 1,6 miljoni lapse arveldusandmetega. Suurimad kulud olid teavitamine, identiteedikaitse ja järelevalvemenetlus. Õppetund: füüsilise andmekandja kadumine on samuti küberrisk.
  • Lahkunud töötaja e-kirjad. Töötaja saatis enne lahkumist patsiendifaile isiklikule e-postile. Uurimine näitas, et andmeid ei kasutatud ega levitatud ning teavitamiskohustust ei tekkinud. Õppetund: professionaalne hinnang aitab vältida nii liigset kui ka puudulikku teavitamist.

Mida need kaasused Eesti ettevõtjale tähendavad

  1. Kontrolli, kas vara- ja vastutuskindlustus välistab küberkahju, ja kata see riski kohaselt küberkindlustusega.
  2. Ühtlusta sõjariski välistus kõigis lepingutes ja selgita, kuidas omistamist tõendatakse.
  3. Räägi läbi lepingulise vastutuse ja kaardibrändide tasude kate, kui need on sinu ärimudelis olulised.
  4. Täida kindlustustaotlus täpselt; see on hiljem tõend.
  5. Kontrolli tarneahela ja teenusepakkujate riski nii teenuslepingus kui ka kindlustuses.

Seotud lehed

Viited

  1. O.-J. Luik. Ettevõtte juhtkonna riskiraamat. Käsikiri, seis 03.05.2026, ptk 41. ↩

  2. Merck & Co., Inc. v. ACE American Insurance Co., UNN-L-2682-18 (N.J. Super. Ct. Law Div., 6.12.2021), jäetud muutmata: A-1879-21, A-1882-21 (N.J. Super. Ct. App. Div., 1.05.2023). – https://law.justia.com/cases/new-jersey/appellate-division-published/2023/a-1879-21.html; New Jersey ülemkohtu määrus kaebuste menetluse lõpetamise kohta, A-62/63 September Term 2022 (088274), registreeritud 26.01.2024. – https://judiciary.state.nj.us/system/files/court-opinions/2024/a_62_63_22.pdf; Merck wins cyber insurance lawsuit related to NotPetya attack. – The Record, 21.01.2022. – https://therecord.media/merck-wins-cyber-insurance-lawsuit-related-to-notpetya-attack ↩

  3. Mondelez, Zurich reach settlement in NotPetya cyberattack insurance suit. – Cybersecurity Dive, 08.11.2022. – https://www.cybersecuritydive.com/news/mondelez-zurich-notpetya-cyber-insurance-settlement/636029/ ↩

  4. What cyber insurance lessons did we learn from Sony v. Zurich? – https://www.amystewartlaw.com/news-and-blog/what-cyber-insurance-lessons-did-we-learn-from-sony-zurich ↩

  5. Clorox accuses IT provider in lawsuit of giving hackers employee passwords. – Reuters, 22.07.2025. – https://www.reuters.com/legal/government/clorox-accuses-it-provider-lawsuit-giving-hackers-employee-passwords-2025-07-22/ ↩

  6. Võlaõigusseadus (VÕS) § 492 (RT I, 20.06.2026, 18; jõust. 01.09.2026). – https://www.riigiteataja.ee/akt/V%C3%95S ↩

  7. Capital One 2019 andmelekke analüüs. – ACM. – https://dl.acm.org/doi/full/10.1145/3546068 ↩

  8. Netgain Technology data breach settlement. – HIPAA Journal. – https://www.hipaajournal.com/netgain-technology-data-breach-settlement/ ↩

  9. MGM Resorts data breach settlement analysis. – https://www.sdosecurity.com/post/mgm-resorts-data-breach-settlement-analysis-and-lessons-for-cisos ↩

  10. P.F. Chang's China Bistro, Inc. v. Federal Insurance Co., No. 15-cv-1322 (D. Ariz. 31.05.2016); ülevaade: ArentFox Schiff. – https://www.afslaw.com/perspectives/alerts/pf-changs-cyber-insurance-decision-pay-attention-the-provisions-the-cyber-risk ↩

  11. Columbia Casualty Co. v. Cottage Health System, No. 2:16-cv-03759 (C.D. Cal.; hagi 31.05.2016). – https://www.insideprivacy.com/wp-content/uploads/sites/51/2016/06/CNA-v-Cottage-Health-2016-complaint.pdf; Columbia Casualty v. Cottage Health System shows importance of reading your cyber policy. – CIAB. – https://www.ciab.com/resources/columbia-casualty-v-cottage-health-system-shows-importance-of-reading-your-cyber-policy ↩

  12. VÕS § 440–442 (viide 6); tsiviilseadustiku üldosa seadus (TsÜS) § 94 (RT I, 31.12.2024, 48; jõust. 01.01.2025). – https://www.riigiteataja.ee/akt/Ts%C3%9CS ↩

  13. Bank, insurer fight over coverage for cyber attack. – Business Insurance. – https://www.businessinsurance.com/bank-insurer-fight-over-coverage-for-cyber-attack ↩

  14. G&G Oil Co. of Indiana v. Continental Western Insurance Co., Indiana Supreme Court, 18.03.2021, nr 20S-PL-617. – https://law.justia.com/cases/indiana/supreme-court/2021/20s-pl-00617.html ↩

  15. Takeaways from Ohio court ruling on ransomware and insurance exclusions. – IAPP. – https://iapp.org/news/a/takeaways-from-ohio-court-ruling-on-ransomware-and-insurance-exclusions-2 ↩

  16. Iranian man pleads guilty in US to 2019 Baltimore ransomware attack. – Reuters, 27.05.2025. – https://www.reuters.com/world/us/iranian-man-pleads-guilty-us-2019-baltimore-ransomware-attack-2025-05-27 ↩

  17. Beazley. Breach and claims examples. – https://beazley.com/en/cyber-customer-centre/cyber-risk-management-tools/breach-and-claims-examples/ ↩

Märksõnad: Küberkindlustus Varakindlustus Sõjarisk Crime-kindlustus Vastutuskindlustus Ärikatkestuskindlustus