# Riskistsenaariumid: lunavara, tarneahela rünnak, andmeleke, sisepettus ja geopoliitiline küberrünnak Aadress: https://kindlustusoigus.ee/riskijuhtimine/stsenaariumid/ Autor: Olavi-Jüri Luik, PhD, Partner, kindlustusõiguse valdkonna juht, vandeadvokaat (Advokaadibüroo WIDEN OÜ) Viimati uuendatud: 2026-11-09 > Viis praktikal põhinevat stsenaariumi, mis näitavad, kuidas üks intsident aktiveerib küber-, Crime- ja D&O-kindlustuse ning kus tekivad katteaugud. > **Lühidalt.** Kaasaegsed riskid ei realiseeru ühes dimensioonis, vaid sündmuste jadana, kus tehniline intsident, finantskahju ja juhtimisvastutus põimuvad. Allpool on viis rahvusvahelisel praktikal põhinevat ja Eesti oludes realistlikku stsenaariumi. Iga stsenaariumi juures on näidatud, milline leping millist kahjuosa katab ja kus võib tekkida auk.[^1] Stsenaariumid on üldistatud ega kirjelda ühegi konkreetse ettevõtte juhtumit. ## Stsenaarium 1. Lunavara, pettus ja juhatuse vastutus ### Sündmuste käik Keskmise suurusega tootmisettevõte langeb lunavara ohvriks. Ründajad krüpteerivad serverid ja ka võrku ühendatud varukoopiad; tootmine seiskub. Samal ajal saab finantsosakond e-kirju, mis näivad tulevat IT-osakonnalt ja paluvad teha kiire makse „andmete taastamise teenuse“ eest. Tegelikult on see eraldi pettus. Ettevõte teeb makse, kuid andmeid ei taastata. Selgub, et varundus ei toiminud ja taastamine võtab nädalaid. Tootmine seisab, kliendid esitavad lepingulisi nõudeid ja maine kannatab. Mõne kuu pärast esitavad osanikud või aktsionärid nõude juhatuse vastu, väites, et küberturbe meetmed olid ebapiisavad, varundus ei vastanud tavapärasele tasemele ja riskijuhtimine oli puudulik. ### Kindlustuse vaade | Kahjuosa | Esmane leping | Võimalik probleem | |---|---|---| | Forensika, süsteemide taastamine | Küberkindlustus | Kindlustusandja heaks kiidetud teenusepakkuja kasutamise nõue; varunduse kohta antud kinnitused taotluses | | Ärikatkestus | Küberkindlustus (ärikatkestuse laiendus) | Ooteaeg, hüvitamisperiood, alamlimiit; saamata jäänud tulu ainult kokkuleppel (VÕS § 476 lg 4)[^2] | | Petturile tehtud makse | Crime-kindlustus | Nõuab sotsiaalse manipulatsiooni või petturliku maksejuhise katet; küberkindlustus võib välistada | | Klientide lepingulised nõuded | Osaliselt küberkindlustus | Lepingu alusel võetud vastutuse välistus | | Nõue juhatuse vastu, kaitsekulud | D&O-kindlustus | Küberivälistus D&O-lepingus; varem teada olnud asjaolude välistus | ### Õppetund Üks intsident tekitab kolme liiki kahju. Kui Crime-leping ei kata petturlikku maksejuhist, küberleping ei kata finantskahju ja D&O-leping katab ainult vastutust, jääb makse ettevõtte kanda. Samal ajal on varunduse puudulikkus nii tehniline kui ka õiguslik probleem: kui kindlustustaotluses kinnitati testitud ja eraldatud varundust, võib kindlustusandja tugineda lepingueelse teatamiskohustuse rikkumisele (VÕS § 441, § 442) või hoolsuskohustuse rikkumisele (VÕS § 445, § 452 lg 2).[^3] ## Stsenaarium 2. Tarneahela rünnak ### Sündmuste käik Ettevõte kasutab rahvusvahelise tarkvarapakkuja pilvepõhist majandustarkvara. Teenusepakkuja süsteemi paigaldatakse pahatahtlik kood tarkvarauuenduse kaudu ja see levib kõigile klientidele. Ettevõtte süsteemid kompromiteeritakse, ründajad pääsevad ligi finantsandmetele ja kliendiinfole. Ettevõtte kontosid kasutatakse edasiste rünnakute jaoks partnerite vastu. Tagajärjed: süsteemide ajutine sulgemine ja taastamine, klientide andmete leke, partnerite nõuded, järelevalvemenetlus andmekaitse rikkumise tõttu. ### Kindlustuse vaade - **Küberkindlustus** katab tehnilised kulud ja võimaliku ärikatkestuse. Küsimus on, kas „arvutisüsteemi“ definitsioon hõlmab teenusepakkuja süsteeme ja kas ärikatkestuse kate rakendub ka siis, kui seiskus teenusepakkuja, mitte ettevõtte enda süsteem (*dependent* / *contingent business interruption*). - **Crime-risk** tekib, kui ründajad kasutavad ettevõtte süsteeme pettusteks ja tekitavad rahalist kahju. - **D&O-risk** realiseerub, kui investorid väidavad, et juhatus ei hinnanud tarneahela riske, kui järelevalveasutus hindab juhtkonna tegevust või kui kliendid esitavad nõudeid juhatuse vastu. - **Sõjariski välistus**: kui rünnak omistatakse riiklikule rühmitusele, võib kindlustusandja tugineda välistusele. See võib mõjutada nii küber- kui ka Crime-kindlustust (vt [sõjarisk](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/sojarisk)). ### Regress teenusepakkuja vastu Kui kindlustusandja hüvitab kahju, läheb nõue teenusepakkuja vastu hüvitatud ulatuses kindlustusandjale üle (VÕS § 492).[^4] Teenuslepingu vastutuse piirang võib muuta selle nõude väärtusetuks. Seetõttu tuleb kriitiliste teenuslepingute vastutuspiirangud ja kindlustuskohustused läbi rääkida koos kindlustusprogrammiga. ### Õppetund Ettevõte ei pea olema otsene sihtmärk, et kanda olulist kahju. Rahvusvahelises praktikas on tarneahela intsidentide mõju ulatunud sadadesse miljonitesse (vt [küberkaasused](https://kindlustusoigus.ee/riskijuhtimine/kaasused/kuberkindlustuse-kaasused), Clorox vs. Cognizant ja Netgain). ## Stsenaarium 3. Andmeleke ja investorinõue ### Sündmuste käik Finantsteenuseid pakkuvas ettevõttes lekivad klientide isiku- ja finantsandmed. Uurimisel selgub, et turvameetmed ei olnud ajakohased ja mitmeastmeline autentimine puudus. Ettevõte teavitab Andmekaitse Inspektsiooni ja kliente. Järgnevad järelevalvemenetlus ja võimalik trahv, klientide kahjunõuded, mainekahju ja klientide lahkumine. Investorid esitavad nõude juhatuse vastu, väites, et küberturbe riskid olid teada, juhatus ei investeerinud piisavalt turvameetmetesse ja avalikustatud teave riskide kohta oli puudulik. ### Kindlustuse vaade - **Küberkindlustus** katab tavaliselt andmelekke kulud: teavitamine, forensika, õigusabi, võimalik ärikatkestus ja teatud ulatuses klientide nõuded. Trahvide kindlustatavus sõltub lepingust ja kohaldatavast õigusest; paljud lepingud katavad trahve ainult ulatuses, milles need on seaduse järgi kindlustatavad. - **D&O-kindlustus** võib katta investorite nõude ja juhatuse kaitsekulud, kui nõue on esitatud kindlustusperioodil (või järelperioodil), puudutab kindlustatud isikut ja välistused (näiteks küberivälistus või varem teada olnud asjaolude välistus) seda ei välista; kaitsekulud võivad sõltuda kindlustusandja nõusolekust ja vähendavad sageli limiiti. Keskne küsimus on, kas juhatus täitis hoolsuskohustuse ja kas risk oli prognoositav. Juhatuse liige peab ise tõendama, et tegutses korraliku ettevõtja hoolsusega (ÄS § 187).[^5] - **Crime-kindlustus** selles stsenaariumis üldjuhul ei rakendu, kuna puudub pettusest tulenev otsene varaline kahju. See muutub asjakohaseks, kui lekkinud andmeid kasutatakse edasisteks pettusteks. **Avalikustamisrisk.** Kui ettevõte ei olnud oma küberriske piisavalt avalikustanud, võib see tugevdada investorite nõuet. Rahvusvahelises praktikas on andmelekkele järgnenud väärtpaberihagid (vt [D&O-kaasused](https://kindlustusoigus.ee/riskijuhtimine/kaasused/dno-kaasused), Equifax ja Yahoo). ### Teavitamise tähtajad Vastutav töötleja peab isikuandmetega seotud rikkumisest järelevalveasutust teavitama põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast rikkumisest teadasaamist, välja arvatud juhul, kui rikkumine tõenäoliselt ei ohusta füüsiliste isikute õigusi ja vabadusi (isikuandmete kaitse üldmääruse art 33 lg 1).[^6] Kui ettevõte kuulub küberturvalisuse seaduse kohaldamisalasse, tuleb olulise mõjuga intsidendist esitada Riigi Infosüsteemi Ametile esmane teade 24 tunni ja intsidenditeade 72 tunni jooksul (KüTS § 8).[^7] Kindlustusandjale tuleb teatada viivitamata ja vastutuskindlustuses nõudest ühe nädala jooksul (VÕS § 448, § 514).[^8] ## Stsenaarium 4. Sisepettus ja juhtimisvastutus ### Sündmuste käik Hulgimüügiettevõtte pearaamatupidaja, kes on töötanud ettevõttes 12 aastat, haldab tarnijaregistrit, teeb raamatupidamiskanded ja koostab maksefaile, mille finantsjuht kinnitab panga kaudu ilma alusdokumente vaatamata. Kolme aasta jooksul suunab ta fiktiivsetele tarnijatele kokku märkimisväärse summa. Pettus avastatakse audiitori kontrolli käigus. Uue omaniku esindaja nõukogus küsib, miks juhatus ei rakendanud rollide lahusust. ### Kindlustuse vaade - **Crime-kindlustus** (töötaja ebaausus) katab otseselt omastatud summad, kui kahju avastati kindlustusperioodi jooksul ja tekkis pärast tagasiulatuvat kuupäeva. Kui leping on avastamispõhine ja ettevõte vahetas vahepeal kindlustusandjat, tuleb kontrollida, kas varasemad kahjud on kaetud. - **Uurimiskulud** (forensiline raamatupidamine) on kaetud ainult siis, kui leping sisaldab vastavat laiendust. - **D&O-kindlustus** rakendub, kui ettevõte või osanikud esitavad nõude juhatuse liikmete vastu järelevalve puudulikkuse tõttu. Kontrolli kindlustatute omavaheliste nõuete välistust ja selle erandeid. - **Kahju tekitaja vastu** säilib nõue; pärast hüvitamist läheb see kindlustusandjale üle (VÕS § 492).[^4] ### Õppetund Pikaajaline sisepettus tähendab, et kahju jaguneb mitme kindlustusperioodi vahel. Käivitaja (avastamine või kahju tekkimine), tagasiulatuv kuupäev ja juhtumite koondamise klausel määravad, kui suur osa kahjust on kaetud. ## Stsenaarium 5. Geopoliitiline küberrünnak ### Sündmuste käik Energiasektorile teenuseid osutav ettevõte langeb hävitava pahavara ohvriks samal ajal, kui piirkonnas on kõrgendatud geopoliitiline pinge. Riigiasutused seostavad rünnakut avalikult välisriigi luureteenistusega. Ettevõtte süsteemid on kaks nädalat seisatud. ### Kindlustuse vaade - **Küberkindlustus**: kindlustusandja hindab, kas kohaldub riiklike küberoperatsioonide välistus. Määrav on välistuse sõnastus: kas see nõuab riigi enda tegevust, oluliste riiklike funktsioonide kahjustamist, ja kuidas omistamist tõendatakse (riigi ametlik omistamine, kindlustusandja hinnang, kohtu hinnang). - **Varakindlustus**: tõenäoliselt välistab küberkahju või nõuab füüsilist kahju. - **D&O-kindlustus**: kui investorid väidavad, et juhatus ei arvestanud teadaolevat geopoliitilist riski, võib D&O katta kaitsekulud, kuid see ei ole iseenesestmõistetav: määravad lepingu käivitaja, kindlustatud isik, välistused, kindlustusandja nõusolek kulude tegemiseks ja limiit; sõjategevuse välistus D&O-lepingus on tavaliselt kitsam, kuid selle sõnastus tuleb siiski läbi lugeda. ### Õppetund Balti regioonis on geopoliitiline risk praktiline. Sõjariski välistuse sõnastus tuleb läbi rääkida enne kahju ja ühtlustada kõigis lepingutes. Vt [sõjarisk](https://kindlustusoigus.ee/kindlustusliigid/kahjukindlustus/sojarisk) ja [Balti riikide intsidendid](https://kindlustusoigus.ee/riskijuhtimine/kaasused/balti-intsidendid). ## Mida stsenaariumid ühiselt näitavad 1. **Riskid ei ole lineaarsed.** Sündmus algab tehnilise intsidendina, liigub finantskahjuks ja lõpeb juhtimisvastutusega. 2. **Programm peab olema lõimitud.** Lepingute definitsioonid peavad olema kooskõlas, välistused ei tohi tekitada auke ja kriitilised riskid peavad olema kaetud piisavate limiitidega. 3. **Suurim risk on intsidendi mitmetahuline mõju.** Lunavara võib viia pettuse ja juhatuse vastutuseni, tarneahela rünnak võib mõjutada kogu organisatsiooni ja andmeleke võib eskaleeruda investorinõudeks. 4. **Juhatuse dokumenteeritud otsused on kaitse.** Kõigis viies stsenaariumis küsitakse tagantjärele, kas risk oli teada ja milliseid meetmeid võeti. Neid stsenaariume saab kasutada ka [simulatsioonide](https://kindlustusoigus.ee/riskijuhtimine/simulatsioonid) alusena. ## Seotud lehed - [Koostoime ja piirid](https://kindlustusoigus.ee/riskijuhtimine/kuber-crime-dno-koostoime) - [Katteaukude vältimine](https://kindlustusoigus.ee/riskijuhtimine/katteaukude-valtimine) - [Esimesed 24–72 tundi](https://kindlustusoigus.ee/riskijuhtimine/intsident-ja-kriisijuhtimine/esimesed-24-72-tundi) - [Simulatsioonid](https://kindlustusoigus.ee/riskijuhtimine/simulatsioonid) - [Kaasuste kogumik](https://kindlustusoigus.ee/riskijuhtimine/kaasused) ## Viited [^1]: O.-J. Luik. Ettevõtte juhtkonna riskiraamat. Käsikiri, seis 03.05.2026, ptk 29. [^2]: Võlaõigusseadus (VÕS) § 476 lg 4 (RT I, 20.06.2026, 18; jõust. 01.09.2026). – https://www.riigiteataja.ee/akt/V%C3%95S [^3]: VÕS § 441, § 442, § 445, § 452 lg 2 (viide 2); RKTKo 28.06.2024, 2-22-2313/65, p 13, 15–17. – https://www.riigikohus.ee/et/lahendid?asjaNr=2-22-2313/65 [^4]: VÕS § 492 (viide 2). [^5]: Äriseadustik (ÄS) § 187 (RT I, 06.07.2023, 131; jõust. 01.03.2024). – https://www.riigiteataja.ee/akt/%C3%84S [^6]: Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679, art 33 lg 1. – ELT L 119, 04.05.2016, lk 1–88. – https://eur-lex.europa.eu/legal-content/ET/TXT/HTML/?uri=CELEX:32016R0679 [^7]: Küberturvalisuse seadus (KüTS) § 8 lg 1, 4¹–4² (RT I, 06.10.2026, 2; jõust. 16.10.2026). – https://www.riigiteataja.ee/akt/K%C3%BCTS [^8]: VÕS § 448 lg 1, § 514 lg 1 (viide 2).