NIS2 и Закон о кибербезопасности: что это значит для страхования

Директива Европейского союза о кибербезопасности NIS2 (директива (ЕС) 2022/2555) транспонирована в Эстонии изменениями Закона о кибербезопасности (KüTS), вступившими в силу 1 января 2026 года (RT I, 30.12.2025, 4). Действующая в настоящее время редакция действует с 16 октября 2026 года.¹ Закон превращает кибербезопасность в вопрос управления: ответственность за меры безопасности возложена на уровень правления, об инцидентах необходимо сообщать в определенные сроки, а за нарушения предусмотрены значительные штрафы. Настоящая публикация анализирует, как эти обязанности соприкасаются с киберстрахованием и страхованием D&O.

К кому применяется закон

KüTS применяется к поставщикам услуг, которые делятся на особо важные и важные субъекты, а также к поставщикам цифровых услуг и учреждениям публичного сектора.¹ Сфера применения по сравнению с прежним регулированием существенно расширилась: помимо традиционной жизненно важной инфраструктуры (энергетика, транспорт, банковское дело, здравоохранение, водоснабжение) в нее входят и многие предприятия производства, пищевой промышленности, обращения с отходами, почтовых и цифровых услуг. Предприятию прежде всего следует установить, подпадает ли оно и под какую категорию. Закон предусматривает переходный период: у поставщика услуг, который отвечал признакам закона уже до вступления в силу обязанности уведомления (KüTS § 3¹ ч. 1), есть три года для приведения деятельности в соответствие с требованиями, однако обязанность уведомления он должен исполнить в течение трех месяцев; для поставщика жизненно важной услуги действует отдельный срок (KüTS § 28¹ ч. 1, 3 и 4).²

Ответственность члена правления (KüTS § 6¹)

Поставщик услуг должен назначить как минимум одного члена правления, который утверждает меры безопасности, следит за их внедрением и отвечает за это. Департамент государственных информационных систем может запросить контактные данные этого члена правления. Назначенный член правления должен регулярно проходить обучение, позволяющее ему понимать и оценивать риски и методы управления рисками. Если такой член не назначен, обязанности лежат на всех членах правления; требование о назначении не применяется, если правление состоит из одного члена, однако тогда обязанности по утверждению мер, наблюдению и обучению лежат на единственном члене правления.²

С точки зрения страхования это важно по двум причинам.

Во-первых, KüTS § 6¹ конкретизирует для члена правления обязанность проявлять прилежание (заботливость и осмотрительность). ÄS § 187 ч. 1 требует от члена правления прилежания добросовестного предпринимателя.³ Если закон возлагает на члена правления прямую обязанность утверждать меры безопасности и следить за их внедрением, ущерб, причиненный обществу нарушением этой обязанности (например, перерыв в деятельности, вызванный инцидентом, или требования третьих лиц), может быть основанием для требования об ответственности к члену правления, если будут установлены нарушение обязанности, ущерб и причинная связь. Является ли назначенный обществу публично-правовой штраф ущербом, подлежащим возмещению членом правления, и покрывается ли такое требование страхованием D&O, представляют собой отдельные вопросы. Поскольку согласно ÄS § 187 ч. 2 руководитель должен сам доказать, что соблюдал прилежание добросовестного предпринимателя, важно документировать утверждение мер безопасности, анализ рисков и обучение.

Во-вторых, это делает страхование D&O более необходимым. Требование к руководителю, связанное с киберинцидентом, является типичным требованием D&O. При заключении договора страхования стоит проверить, содержит ли полис D&O исключение киберриска, которое может исключить такие требования, и как оно согласовано с киберстрахованием предприятия (см. страхование D&O и ответственность руководителя).

Обязанности уведомления и обязанности уведомления по договору страхования

Согласно KüTS § 8 поставщик услуг должен представить в Департамент государственных информационных систем первичное сообщение об инциденте со значительным влиянием не позднее чем в течение 24 часов, а сообщение об инциденте в течение 72 часов с момента, когда ему стало известно об инциденте. По запросу департамента необходимо представить промежуточный отчет. Заключительный отчет необходимо представить в течение одного месяца после представления сообщения об инциденте; если к этому времени инцидент не устранен, отчет считается промежуточным, а новый заключительный отчет представляется в течение одного месяца после устранения инцидента.² О нарушении, связанном с персональными данными, необходимо дополнительно на основании ст. 33 общего регламента о защите персональных данных уведомить Инспекцию по защите данных без неоправданной задержки и по возможности в течение 72 часов после того, как стало известно о нарушении, за исключением случая, когда нарушение, вероятно, не создает угрозы правам и свободам физических лиц; обязанность уведомления лежит на ответственном обработчике.⁴

В договоре страхования, в свою очередь, есть обязанность страхователя уведомить о страховом случае (VÕS § 448), а в киберполисах часто короткий срок для уведомления линии помощи по инцидентам. Это три разные обязанности перед разными адресатами и с разными последствиями. На практике это означает, что план реагирования на инциденты должен одновременно включать:

• уведомление линии помощи страховщика (для запуска кризисных услуг и сохранения страховой защиты);
• уведомление RIA в сроки KüTS § 8;
• при необходимости уведомление Инспекции по защите данных и субъектов данных.

При нарушении обязанности уведомления по договору страхования страховщик не освобождается автоматически: согласно VÕS § 452 ч. 2 п. 3–4 страховщик не может ссылаться на освобождение, если обязанность, подлежащая исполнению после страхового случая, была нарушена не умышленно, а при грубой халатности (грубой небрежности), если нарушение не повлияло на установление страхового случая или на объем обязательства по исполнению.⁵ Тем не менее своевременное уведомление является лучшим способом избежать спора.

Штрафы и их страхуемость

За нарушения KüTS предусматривает штрафы, максимальный размер которых для особо важного субъекта составляет до 10 миллионов евро или 2% мирового годового оборота, а для важного субъекта до 7 миллионов евро или 1,4% оборота (KüTS § 18², § 18³).²

Можно ли застраховать такие штрафы? Киберполисы часто содержат оговорку, согласно которой регуляторные штрафы покрываются «в объеме, допускаемом применимым правом». В эстонском праве нет прямого положения, которое запрещало бы страхование публично-правового денежного наказания, однако цель наказания (индивидуальное воздействие и превенция) сильно говорит против такого страхования, особенно при умышленном нарушении. Ограничения страхования умышленно причиненного ущерба вытекают также из VÕS § 452 ч. 1 и из позиции Государственного суда о том, что отсутствие страховой защиты при умысле является общим принципом страхования.⁶ Поэтому страхователь не должен предполагать, что штраф по KüTS покрыт страхованием. Обычно покрываются расходы на производство: правовая помощь и технические эксперты в надзорном производстве.

Что NIS2 означает для цены и условий киберстрахования

Оценка риска. При заключении договора страховщики все подробнее спрашивают о мерах безопасности: многофакторная аутентификация, изолированные резервные копии, план реагирования на инциденты, обучение работников. Предприятие, соответствующее требованиям KüTS, представляет собой лучший риск и может получить более выгодный взнос. Ответы на анкету являются преддоговорной информацией: неверные ответы дают страховщику право на отступление от договора на основании VÕS § 441, если страхователь нарушил обязанность по уведомлению, и освобождение в пределах правила о причинности § 442 ч. 2.

Требования безопасности. В полисах есть требования безопасности, схожие с требованиями KüTS. Последствие их нарушения в эстонском праве пропорционально (см. обязанность проявлять прилежание и пропорциональность), однако бремя доказывания в части обязанности страхователя сотрудничать является реальным.

Цепочка поставок. NIS2 требует и оценки безопасности цепочки поставок. В киберполисе стоит проверить, покрыт ли перерыв в деятельности, вызванный инцидентом у поставщика услуг (dependent business interruption), и не исключен ли перерыв в работе облачной услуги.

Контрольный список для правления

1. Назначьте ответственного по KüTS § 6¹ члена правления и документируйте его решения и обучение.
2. Составьте план реагирования на инциденты, объединяющий уведомления RIA, AKI и страховщика.
3. Пересмотрите условия киберстрахования: требования безопасности, сроки уведомления, покрытие штрафов и расходов на производство.
4. Пересмотрите полис D&O: покрыты ли требования к руководителям, связанные с киберриском?
5. Оцените, соответствуют ли страховые суммы профилю риска после NIS2.

Пример: производственное предприятие и программа-вымогатель

Предположим, что предприятие пищевой промышленности среднего размера подпадает под действие KüTS в качестве важного субъекта. В пятницу в 23 часа обнаруживается, что система управления производством зашифрована. Что должно произойти в течение следующих 72 часов?

• Первые часы: звонок на линию помощи по киберстрахованию, привлечение партнера по форензике, изоляция систем и сохранение доказательств. Предварительное согласие страховщика на расходы часто является условием, поэтому стоит позвонить на линию помощи прежде, чем заказывать услуги ИТ-партнера.
• В течение 24 часов: первичное сообщение в Департамент государственных информационных систем на основании KüTS § 8.
• В течение 72 часов: сообщение об инциденте в RIA (если применяется KüTS), а если могла произойти утечка персональных данных, уведомление Инспекции по защите данных без неоправданной задержки и по возможности в течение 72 часов с момента, когда стало известно о нарушении; 72 часа являются верхним пределом, а не временем ожидания, и уведомлять не нужно, если нарушение, вероятно, не создает угрозы правам и свободам людей.
• Параллельно: решение правления о том, как действовать в случае вымогательства. Выплата выкупа является юридически и этически сложным вопросом, а риск нарушения санкций реален. Советы экспертов страховщика здесь бесценны.

Позднее будут спрашивать, утвердил ли ответственный член правления меры безопасности и соблюдались ли они. Если документы отсутствуют, позиция руководителя слаба как в надзорном производстве, так и при возможном требовании об ответственности.

Итоги

Редакция KüTS, транспонирующая NIS2, превращает кибербезопасность в личную ответственность правления. Страхование не заменяет обязанностей, вытекающих из закона, и, вероятно, не покрывает штрафы, однако киберстрахование помогает справиться с последствиями инцидента, а страхование D&O защищает руководителей от предъявленных к ним требований. Условия обоих полисов необходимо согласовать между собой и с обязанностями, вытекающими из закона.

Связанные страницы

• Киберстрахование
• Страхование D&O
• Киберстрахование и программа-вымогатель
• Управление рисками
• Основания отказа страховщика

Примечания