Küber-, Crime- ja D&O-kindlustuse koostoime ja piirid

Lühidalt. Küber-, Crime- ja D&O-kindlustus on funktsionaalselt erinevad: esimene vastab küsimusele „mis juhtus süsteemidega“, teine „kuhu raha kadus“ ja kolmas „kes vastutab“. Reaalne intsident liigub aga nende vahel. Hallalad tekivad eelkõige sotsiaalse manipulatsiooni pettuste, ärikatkestuse, otsese ja kaudse kahju eristamise ning sõjariski välistuse juures. Kui definitsioonid ei ühti, välistused kattuvad või laiendused puuduvad, võib kahju kukkuda kahe tooli vahele.¹

Kindlustusliikide sisuline käsitlus on lehtedel küberkindlustus, Crime-kindlustus ja D&O-kindlustus. See leht keskendub nende omavahelistele piiridele.

1. Milline leping mida katab?

Eristamise alus on kahju olemus ja õiguslik kvalifikatsioon.

Küberkindlustus keskendub tehnilistele ja operatiivsetele riskidele, mis tulenevad IT-süsteemide häiretest või rünnakutest:

• süsteemide ja andmete taastamise kulud;
• forensika ja intsidendi uurimise kulud;
• ärikatkestusest tulenev kahju (kui see on kokku lepitud, vt VÕS § 476 lg 4);²
• andmelekkega seotud kulud (teavitamine, kõnekeskus, krediidijälgimine, õigusabi);
• kolmandate isikute nõuded andmekaitse- ja võrguturbe rikkumise eest;
• sageli ka kriisikommunikatsiooni, väljapressimise ja regulatiivsete menetluste kulud.

Crime-kindlustus keskendub otsesele varalisele kahjule, mis tuleneb pettusest või omastamisest:

• töötaja toime pandud omastamine või kelmus (employee theft, employee dishonesty);
• petturlik maksejuhis ja sotsiaalne manipulatsioon (fraudulent instruction, social engineering);
• arvutikelmus ja rahaülekande pettus (computer fraud, funds transfer fraud);
• võltsimine ja maksekorralduste manipuleerimine;
• sageli ka kliendi vara, mida kindlustusvõtja hoiab või haldab.

D&O-kindlustus ei kata ettevõtte tehnilist ega otsest varalist kahju, vaid juhatuse ja nõukogu liikmete vastu esitatud nõudeid:

• kaitsekulud (õigusabi tsiviil-, haldus- ja kriminaalmenetluses vastavalt lepingule ja VÕS § 511 lg 1–2);³
• osanike, aktsionäride, võlausaldajate ja pankrotihalduri nõuded;
• regulatiivsete menetluste kulud;
• vastutus väära teabe avaldamise või juhtimisvigade eest.

Lihtsustatud loogika:

Näide. Ettevõte langeb lunavara ohvriks; süsteemid seiskuvad. Küberkindlustus katab taastamise ja ärikatkestuse. Kui samal ajal kantakse raha petturitele, võib see kuuluda Crime-kindlustuse alla. Kui investorid esitavad hiljem nõude juhatuse vastu ebapiisava riskijuhtimise tõttu, aktiveerub D&O-kindlustus.

2. Hallalad ja konfliktid

Teoreetiline eristus on selge, praktikas tekivad hallalad. Need on vaidluste peamine allikas.

2.1. Pettus kübervahenditega

Sotsiaalse manipulatsiooni skeemis, kus töötaja tehakse makset tegema, võib küberkindlustuse andja väita, et tegemist ei olnud süsteemi ründega, vaid inimese eksitamisega. Crime-kindlustuse andja võib väita, et tegemist ei olnud „otsese“ kahjuga, sest makse tegi töötaja ise. USA kohtupraktika on lõhestunud: Medidata (2. ringkond, 2018) ja American Tooling Center (6. ringkond, 2018) leidsid, et arvutikelmuse kate rakendus, Apache (5. ringkond, 2016) jõudis vastupidisele järeldusele (vt Crime-kohtukaasused).

Eesti õiguse seisukohalt on oluline, et kindlustusjuhtumi piiritlemise ebaselgus tüüptingimuses tuleb tõlgendada tingimuse kasutaja kahjuks (VÕS § 39).⁴ See ei loo aga katet, kui leping on selgelt sõnastatud nii, et töötaja enda sisestatud makse ei ole arvutikelmus ja eraldi sotsiaalse manipulatsiooni kate puudub.

2.2. Ärikatkestus

Kui süsteemid seiskuvad küberrünnaku tõttu, on see küberrisk. Kui katkestus tuleneb pettusest (nt raha puudumine maksete tegemiseks) või tarneahela häirest, tekib küsimus, kas see kuulub küber- või Crime-kindlustuse alla. Crime-kindlustus ärikatkestust üldjuhul ei kata.

2.3. Otsene ja kaudne kahju

Crime-kindlustus katab tavaliselt üksnes otsese varalise kahju. Kui ettevõte maksab petturile 500 000 eurot, on see otsene kahju. Sellele lisanduvad aga uurimiskulud, süsteemide audit, leppetrahvid partneritele ja intressikulu. Crime-kindlustus võib katta ainult esialgse makse (sõltuvalt sellest, kas leping sisaldab uurimiskulude laiendust), küberkindlustus võib väita, et tehnilist rünnet ei olnud. USA kohtupraktikas on „otsese kahju“ mõistet tõlgendatud ka laialt: Cargilli kaasuses loeti töötaja pettusest otseselt tulenevaks ka 29 miljoni dollari suurused lisaveokulud (vt Crime-kohtukaasused).

2.4. Juhtimisvastutus

Kui intsident viib nõudeni juhatuse vastu, on see D&O-risk. Kuid D&O-leping võib sisaldada küberintsidendi või andmelekke välistust, eeldades, et need on kaetud küberkindlustusega; küberkindlustus omakorda ei kata juhtide isiklikku vastutust. Lisaks võib kindlustusandja vaidlustada hüvitise ulatuse, väites, et juhtumi põhjustas tahtlus või teadlik riskivõtt.

2.5. Kindlustusandjate vahelised konfliktid

Üks kindlustusandja võib väita, et kahju kuulub teise lepingu alla. Ettevõte peab siis esialgu kulud ise kandma ja lahendama vaidluse hiljem. Mitmekordse kindlustuse korral vastutavad kindlustusandjad Eesti õiguse järgi solidaarselt (VÕS § 486), kuid see eeldab, et mõlemad lepingud katavad sama huvi.⁵

3. „Kahe tooli vahele kukkumise“ probleem

Hallalade praktiline väljendus on olukord, kus kahju ei kvalifitseeru selgelt ühegi lepingu alla. See tekib eelkõige kolmel põhjusel:

1. lepingute definitsioonid ei ühti;
2. välistused kattuvad;
3. vajalikud laiendused puuduvad.

Näide. Ettevõte kannab kahju küberpettuse tõttu, millel on võimalik geopoliitiline taust. Küberkindlustus välistab riiklikult toetatud küberoperatsioonid, Crime-kindlustus välistab kaudse kahju ja D&O-kindlustus ei kata otsest rahalist kahju. Märkimisväärne osa kahjust jääb kaitseta. Sõjariski välistuste kohta vt sõjarisk.

4. Piiride teadlik kujundamine

Need probleemid ei ole vältimatud. Piiride teadlik kujundamine tähendab:

• definitsioonid on kooskõlas: „arvutisüsteem“, „pettus“, „otsene kahju“, „kindlustatud isik“, „nõue“ tähendavad kõigis lepingutes sama või vähemalt ei jäta vahele tühimikku;
• välistused ei tekita auke: sõjariski välistus on kõigis lepingutes sama sõnastusega ja küberterrorism on eristatud riikidevahelisest sõjast; D&O-lepingu küberivälistus ei välista juhtide isiklikku vastutust;
• olulised riskid on kaetud laiendustega: sotsiaalse manipulatsiooni kate kas Crime- või küberlepingus piisava alamlimiidiga; ärikatkestus IT-seisaku korral; uurimiskulud; kliendi vara.

Praktiline kontroll:

5. Kolm praktilist küsimust lepingute kooskõla kontrollimiseks

1. Kas sama sõna tähendab kõigis lepingutes sama? Võrdle „arvutisüsteemi“, „pettuse“, „kahju“, „nõude“ ja „kindlustatud isiku“ definitsioone. Kui küberleping määratleb arvutisüsteemi kitsamalt kui Crime-leping, võib petturlik makse teenusepakkuja süsteemi kaudu jääda kahe lepingu vahele.

2. Kas välistused viitavad teineteisele? Otsi sõnastusi nagu „kahju, mis on kaetud muu kindlustusega“ või „välja arvatud ulatuses, mis on kaetud küberkindlustusega“. Kui kaks lepingut viitavad teineteisele, võib kumbki väita, et vastutab teine.

3. Kas käivitajad ja perioodid ühtivad? Kui küberleping on kahju tekkimise põhine, Crime-leping avastamispõhine ja D&O nõude esitamise põhine, võib sama sündmus jaguneda eri kindlustusperioodide vahel. Kontrolli tagasiulatuvaid kuupäevi ja järelperioode, eriti kindlustusandja vahetuse korral.

Need kolm küsimust on mõistlik esitada maaklerile kirjalikult enne iga uuendamist.

6. Kokkuvõte

Kolme liigi piirid on teoreetiliselt selged, kuid praktikas hägused. Iga leping katab erinevat tüüpi riske, kuid sama sündmus võib puudutada kõiki. Ettevõtte jaoks tähendab see, et kindlustusprogrammi ei saa käsitleda fragmentaarselt. Vaja on terviklikku lähenemist, mis arvestab lepingute omavahelisi seoseid; seda kirjeldavad lehed katteaukude vältimine ja kindlustusnõude strateegia.

Seotud lehed

• Praktikal põhinevad stsenaariumid
• Integreeritud kindlustusprogramm
• Küberkindlustus
• Crime-kindlustus
• D&O-kindlustus
• Sõjarisk

Viited