# NIS2 и Закон о кибербезопасности: что это значит для страхования Адрес: https://kindlustusoigus.ee/ru/blogi/2026-11-01-nis2-kuberturvalisuse-seadus-ja-kindlustus/ Автор: Олави-Юри Луйк (Olavi-Jüri Luik), PhD, Партнер, руководитель направления страхового права, присяжный адвокат (Advokaadibüroo WIDEN OÜ) Опубликовано: 2026-11-01 Последнее обновление: 2026-11-12 > KüTS 2026: ответственность члена правления, уведомление в течение 24 и 72 часов, штрафы и их влияние на киберстрахование и страхование D&O. Директива Европейского союза о кибербезопасности NIS2 (директива (ЕС) 2022/2555) транспонирована в Эстонии изменениями [Закона о кибербезопасности](https://www.riigiteataja.ee/akt/K%C3%BCTS) (KüTS), вступившими в силу 1 января 2026 года (RT I, 30.12.2025, 4). Действующая в настоящее время редакция действует с 16 октября 2026 года.[^1] Закон превращает кибербезопасность в вопрос управления: ответственность за меры безопасности возложена на уровень правления, об инцидентах необходимо сообщать в определенные сроки, а за нарушения предусмотрены значительные штрафы. Настоящая публикация анализирует, как эти обязанности соприкасаются с киберстрахованием и страхованием D&O. ## К кому применяется закон KüTS применяется к поставщикам услуг, которые делятся на особо важные и важные субъекты, а также к поставщикам цифровых услуг и учреждениям публичного сектора.[^1] Сфера применения по сравнению с прежним регулированием существенно расширилась: помимо традиционной жизненно важной инфраструктуры (энергетика, транспорт, банковское дело, здравоохранение, водоснабжение) в нее входят и многие предприятия производства, пищевой промышленности, обращения с отходами, почтовых и цифровых услуг. Предприятию прежде всего следует установить, подпадает ли оно и под какую категорию. Закон предусматривает переходный период: у поставщика услуг, который отвечал признакам закона уже до вступления в силу обязанности уведомления (KüTS § 3¹ ч. 1), есть три года для приведения деятельности в соответствие с требованиями, однако обязанность уведомления он должен исполнить в течение трех месяцев; для поставщика жизненно важной услуги действует отдельный срок (KüTS § 28¹ ч. 1, 3 и 4).[^2] ## Ответственность члена правления (KüTS § 6¹) Поставщик услуг должен назначить как минимум одного члена правления, который утверждает меры безопасности, следит за их внедрением и отвечает за это. Департамент государственных информационных систем может запросить контактные данные этого члена правления. Назначенный член правления должен регулярно проходить обучение, позволяющее ему понимать и оценивать риски и методы управления рисками. Если такой член не назначен, обязанности лежат на всех членах правления; требование о назначении не применяется, если правление состоит из одного члена, однако тогда обязанности по утверждению мер, наблюдению и обучению лежат на единственном члене правления.[^2] С точки зрения страхования это важно по двум причинам. **Во-первых, KüTS § 6¹ конкретизирует для члена правления обязанность проявлять прилежание (заботливость и осмотрительность).** ÄS § 187 ч. 1 требует от члена правления прилежания добросовестного предпринимателя.[^3] Если закон возлагает на члена правления прямую обязанность утверждать меры безопасности и следить за их внедрением, ущерб, причиненный обществу нарушением этой обязанности (например, перерыв в деятельности, вызванный инцидентом, или требования третьих лиц), может быть основанием для требования об ответственности к члену правления, если будут установлены нарушение обязанности, ущерб и причинная связь. Является ли назначенный обществу публично-правовой штраф ущербом, подлежащим возмещению членом правления, и покрывается ли такое требование страхованием D&O, представляют собой отдельные вопросы. Поскольку согласно ÄS § 187 ч. 2 руководитель должен сам доказать, что соблюдал прилежание добросовестного предпринимателя, важно документировать утверждение мер безопасности, анализ рисков и обучение. **Во-вторых, это делает страхование D&O более необходимым.** Требование к руководителю, связанное с киберинцидентом, является типичным требованием D&O. При заключении договора страхования стоит проверить, содержит ли полис D&O исключение киберриска, которое может исключить такие требования, и как оно согласовано с киберстрахованием предприятия (см. [страхование D&O и ответственность руководителя](https://kindlustusoigus.ee/ru/blogi/2026-09-29-dno-kindlustus-juhi-vastutus/)). ## Обязанности уведомления и обязанности уведомления по договору страхования Согласно KüTS § 8 поставщик услуг должен представить в Департамент государственных информационных систем первичное сообщение об инциденте со значительным влиянием не позднее чем в течение 24 часов, а сообщение об инциденте в течение 72 часов с момента, когда ему стало известно об инциденте. По запросу департамента необходимо представить промежуточный отчет. Заключительный отчет необходимо представить в течение одного месяца после представления сообщения об инциденте; если к этому времени инцидент не устранен, отчет считается промежуточным, а новый заключительный отчет представляется в течение одного месяца после устранения инцидента.[^2] О нарушении, связанном с персональными данными, необходимо дополнительно на основании ст. 33 [общего регламента о защите персональных данных](https://eur-lex.europa.eu/legal-content/ET/TXT/HTML/?uri=CELEX:32016R0679) уведомить Инспекцию по защите данных без неоправданной задержки и по возможности в течение 72 часов после того, как стало известно о нарушении, за исключением случая, когда нарушение, вероятно, не создает угрозы правам и свободам физических лиц; обязанность уведомления лежит на ответственном обработчике.[^4] В договоре страхования, в свою очередь, есть обязанность страхователя уведомить о страховом случае (VÕS § 448), а в киберполисах часто короткий срок для уведомления линии помощи по инцидентам. Это три разные обязанности перед разными адресатами и с разными последствиями. На практике это означает, что план реагирования на инциденты должен одновременно включать: - уведомление линии помощи страховщика (для запуска кризисных услуг и сохранения страховой защиты); - уведомление RIA в сроки KüTS § 8; - при необходимости уведомление Инспекции по защите данных и субъектов данных. При нарушении обязанности уведомления по договору страхования страховщик не освобождается автоматически: согласно VÕS § 452 ч. 2 п. 3–4 страховщик не может ссылаться на освобождение, если обязанность, подлежащая исполнению после страхового случая, была нарушена не умышленно, а при грубой халатности (грубой небрежности), если нарушение не повлияло на установление страхового случая или на объем обязательства по исполнению.[^5] Тем не менее своевременное уведомление является лучшим способом избежать спора. ## Штрафы и их страхуемость За нарушения KüTS предусматривает штрафы, максимальный размер которых для особо важного субъекта составляет до 10 миллионов евро или 2% мирового годового оборота, а для важного субъекта до 7 миллионов евро или 1,4% оборота (KüTS § 18², § 18³).[^2] Можно ли застраховать такие штрафы? Киберполисы часто содержат оговорку, согласно которой регуляторные штрафы покрываются «в объеме, допускаемом применимым правом». В эстонском праве нет прямого положения, которое запрещало бы страхование публично-правового денежного наказания, однако цель наказания (индивидуальное воздействие и превенция) сильно говорит против такого страхования, особенно при умышленном нарушении. Ограничения страхования умышленно причиненного ущерба вытекают также из VÕS § 452 ч. 1 и из позиции Государственного суда о том, что отсутствие страховой защиты при умысле является общим принципом страхования.[^6] Поэтому страхователь не должен предполагать, что штраф по KüTS покрыт страхованием. Обычно покрываются расходы на производство: правовая помощь и технические эксперты в надзорном производстве. ## Что NIS2 означает для цены и условий киберстрахования **Оценка риска.** При заключении договора страховщики все подробнее спрашивают о мерах безопасности: многофакторная аутентификация, изолированные резервные копии, план реагирования на инциденты, обучение работников. Предприятие, соответствующее требованиям KüTS, представляет собой лучший риск и может получить более выгодный взнос. Ответы на анкету являются преддоговорной информацией: неверные ответы дают страховщику право на отступление от договора на основании VÕS § 441, если страхователь нарушил обязанность по уведомлению, и освобождение в пределах правила о причинности § 442 ч. 2. **Требования безопасности.** В полисах есть требования безопасности, схожие с требованиями KüTS. Последствие их нарушения в эстонском праве пропорционально (см. [обязанность проявлять прилежание и пропорциональность](https://kindlustusoigus.ee/ru/blogi/2026-11-01-hoolsuskohustus-ja-proportsionaalsus-riigikohtu-praktikas/)), однако бремя доказывания в части обязанности страхователя сотрудничать является реальным. **Цепочка поставок.** NIS2 требует и оценки безопасности цепочки поставок. В киберполисе стоит проверить, покрыт ли перерыв в деятельности, вызванный инцидентом у поставщика услуг (*dependent business interruption*), и не исключен ли перерыв в работе облачной услуги. ## Контрольный список для правления 1. Назначьте ответственного по KüTS § 6¹ члена правления и документируйте его решения и обучение. 2. Составьте план реагирования на инциденты, объединяющий уведомления RIA, AKI и страховщика. 3. Пересмотрите условия киберстрахования: требования безопасности, сроки уведомления, покрытие штрафов и расходов на производство. 4. Пересмотрите полис D&O: покрыты ли требования к руководителям, связанные с киберриском? 5. Оцените, соответствуют ли страховые суммы профилю риска после NIS2. ## Пример: производственное предприятие и программа-вымогатель Предположим, что предприятие пищевой промышленности среднего размера подпадает под действие KüTS в качестве важного субъекта. В пятницу в 23 часа обнаруживается, что система управления производством зашифрована. Что должно произойти в течение следующих 72 часов? - **Первые часы:** звонок на линию помощи по киберстрахованию, привлечение партнера по форензике, изоляция систем и сохранение доказательств. Предварительное согласие страховщика на расходы часто является условием, поэтому стоит позвонить на линию помощи прежде, чем заказывать услуги ИТ-партнера. - **В течение 24 часов:** первичное сообщение в Департамент государственных информационных систем на основании KüTS § 8. - **В течение 72 часов:** сообщение об инциденте в RIA (если применяется KüTS), а если могла произойти утечка персональных данных, уведомление Инспекции по защите данных без неоправданной задержки и по возможности в течение 72 часов с момента, когда стало известно о нарушении; 72 часа являются верхним пределом, а не временем ожидания, и уведомлять не нужно, если нарушение, вероятно, не создает угрозы правам и свободам людей. - **Параллельно:** решение правления о том, как действовать в случае вымогательства. Выплата выкупа является юридически и этически сложным вопросом, а риск нарушения санкций реален. Советы экспертов страховщика здесь бесценны. Позднее будут спрашивать, утвердил ли ответственный член правления меры безопасности и соблюдались ли они. Если документы отсутствуют, позиция руководителя слаба как в надзорном производстве, так и при возможном требовании об ответственности. ## Итоги Редакция KüTS, транспонирующая NIS2, превращает кибербезопасность в личную ответственность правления. Страхование не заменяет обязанностей, вытекающих из закона, и, вероятно, не покрывает штрафы, однако киберстрахование помогает справиться с последствиями инцидента, а страхование D&O защищает руководителей от предъявленных к ним требований. Условия обоих полисов необходимо согласовать между собой и с обязанностями, вытекающими из закона. ## Связанные страницы - [Киберстрахование](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/) - [Страхование D&O](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/do-kindlustus/) - [Киберстрахование и программа-вымогатель](https://kindlustusoigus.ee/ru/blogi/2026-11-03-kuberkindlustus-lunavara/) - [Управление рисками](https://kindlustusoigus.ee/ru/riskijuhtimine/) - [Основания отказа страховщика](https://kindlustusoigus.ee/ru/keeldumise-alused/) ## Примечания [^1]: Küberturvalisuse seadus [Закон о кибербезопасности] (KüTS) (RT I, 06.10.2026, 2; в силе с 16.10.2026); изменения по транспонированию NIS2 RT I, 30.12.2025, 4 (в силе с 01.01.2026). [^2]: KüTS § 6¹ ч. 1–4, § 8 ч. 1, 4¹–4³ и 7, § 18², § 18³, § 28¹. [^3]: Äriseadustik [Коммерческий кодекс] (ÄS) § 187 ч. 1–2 (RT I, 06.07.2023, 131). [^4]: Määrus (EL) 2016/679 (isikuandmete kaitse üldmäärus) [Регламент (ЕС) 2016/679 (общий регламент о защите персональных данных)], ст. 33. – ELT L 119, 04.05.2016, с. 1. [^5]: VÕS § 448, § 452 ч. 2 (RT I, 20.06.2026, 18; в силе с 01.09.2026). [^6]: VÕS § 452 ч. 1; RKTKo 15.10.2025, 2-21-16822/84, п. 15.