Когда одним кликом исчезают деньги и оборот: киберстрахование

Утренний телефонный звонок: ИТ-система предприятия заблокирована. На экране сообщение о том, что файлы зашифрованы, а за их восстановление требуют шестизначный выкуп. Резервные копии находились в той же сети и тоже зашифрованы. Производство останавливается, обслуживать клиентов невозможно, и каждый час увеличивает ущерб. Это не киносценарий, а ситуация, которая неоднократно происходила на эстонских предприятиях. В 2026 году вопрос уже не в том, произойдет ли кибератака, а в том, когда она произойдет и готово ли к ней предприятие.

Что такое киберстрахование

Киберстрахование является комплексным продуктом страхования от убытков, который защищает предприятие от имущественного ущерба, вытекающего из сбоя информационных систем, данных или цифровой деятельности. В отличие от страхования crime, сосредоточенного на умышленном мошенничестве и присвоении, и страхования D&O, покрывающего личную ответственность руководителей, в центре киберстрахования находится технический инцидент: взлом, программа-вымогатель, атака типа «отказ в обслуживании» или утечка данных и ее последствия.

Современное киберстрахование действует как механизм комплексного кризисного управления. Страховая защита обычно делится на три части:

• собственный ущерб предприятия: восстановление систем и данных, упущенная выгода от перерыва в деятельности, расходы, связанные с вымогательством;
• требования третьих лиц: требования клиентов, партнеров и субъектов данных в связи с утечкой данных или прерыванием услуги;
• расходы на услуги при инциденте: ИТ-форензика, юридическая помощь, кризисная коммуникация, уведомление надзорных органов и субъектов данных.

Фактическую защиту всегда определяет формулировка конкретного договора. В эстонском праве важна и VÕS § 476 ч. 4: страхование от убытков охватывает упущенную выгоду лишь в том случае, если об этом договорено отдельно.¹ Поэтому в киберстраховании страховая защита от перерыва в деятельности является основной частью договора, а не само собой разумеющимся дополнением.

Два международных дела, изменивших рынок

Распространившаяся в 2017 году вредоносная программа NotPetya была не обычной программой-вымогателем, а атакой, безвозвратно уничтожавшей данные. Фармацевтическое предприятие Merck понесло в результате атаки ущерб в размере около 1,4 миллиарда долларов США. Поскольку отдельного киберстрахования не было, Merck предъявило требование на основании своего страхования имущества. Страховщики отказали в возмещении (в выплате страхового возмещения), сославшись на исключение военного риска, поскольку атаку связывали с государственной деятельностью России против Украины. Суды Нью-Джерси решили дело в пользу Merck: формулировка исключения была рассчитана на обычные военные действия и не охватывала кибератаку против предприятия частного сектора. Если страховщик хотел исключить кибервойну, ему следовало изменить формулировку. Позднее спор завершился соглашением.

В том же году жертвой NotPetya стал и производитель продуктов питания Mondelēz, потребовавший от своего страховщика около 100 миллионов долларов. Этот спор завершился в 2022 году внесудебным соглашением.

Вывод обоих дел для рынка был одинаков: классические договоры страхования имущества и ответственности не являются надежным запасным решением для киберриска. После этих споров страховщики переформулировали исключения военного риска и государственной кибератаки (на международном уровне распространены оговорки рынка Lloyd's о государственных кибератаках), поэтому сегодня нельзя рассчитывать на то, что страхование имущества покроет киберущерб. О широком толковании исключения военного риска см. также публикацию о военном риске и дронах.

Опыт Эстонии

Эстонские СМИ в последние годы неоднократно освещали случаи, когда атака программы-вымогателя оборачивалась для предприятия многомиллионным ущербом. В одном случае жертвами атаки стали предприятия металлопромышленности Харьюмаа; в ходе атаки злоумышленники, заранее составившие карту системы, зашифровали как локальные резервные копии, так и находившиеся в облаке. Производство было частично остановлено на месяц, а упущенная выгода выразилась семизначной суммой. В другом случае издательское предприятие из-за повторных атак за пять лет потеряло почти миллион евро. Департамент государственных информационных систем подтвердил, что ущерб эстонских предприятий от киберпреступности достигает миллионов евро в год, причем это лишь сумма заявленных случаев.

Почему киберстрахование необходимо

Ущерб не ограничивается выкупом. Выкуп часто составляет лишь небольшую часть совокупного ущерба. Наибольшую часть образует перерыв в деятельности, к которому добавляются расходы на восстановление, форензику, юридическую помощь и кризисную коммуникацию.

Классического страхования недостаточно. Исключения военного риска, требование физического ущерба и неясность статуса данных как имущества делают страхование имущества и ответственности в отношении киберриска непредсказуемым.

Злоумышленники не выбирают жертву по размеру. Малые и средние предприятия часто более уязвимы, поскольку у них нет ИТ-возможностей крупного предприятия. В то же время они могут служить входом в системы более крупных партнеров: за утечкой данных американской торговой сети Target в 2013 году стоял доступ, полученный через небольшого поставщика услуг.

Сеть страховщика представляет ценность в кризисе. Важной частью киберстрахования являются круглосуточная (24/7) линия помощи при инцидентах, эксперты по форензике, переговорщики и юристы. Решения, принятые в первые часы, определяют размер ущерба.

Регуляторное давление растет. О нарушении, связанном с персональными данными, согласно ст. 33 общего регламента о защите персональных данных (GDPR) необходимо уведомить надзорный орган без неоправданной задержки и по возможности в течение 72 часов после того, как стало известно о нарушении, за исключением случаев, когда нарушение, вероятно, не создает угрозы правам и свободам физических лиц; если угроза, вероятно, высока, без неоправданной задержки необходимо уведомить и субъектов данных (ст. 34).² Ст. 83 GDPR предусматривает штрафы, которые при более тяжких нарушениях достигают десятков миллионов евро или определенного процента от общемирового оборота.² При этом успешная атака сама по себе не означает, что предприятие нарушило закон: оценивается, соответствовали ли технические и организационные меры рискам. Кроме того, с 2026 года действует Закон о кибербезопасности в редакции, транспонирующей NIS2, который возлагает на субъектов, входящих в сферу его применения, обязанность сообщать об инцидентах и ответственность члена правления за меры безопасности (см. NIS2 и киберстрахование).³

Ответственность многоуровневая. Субъекты данных могут на основании ст. 82 GDPR требовать возмещения имущественного и неимущественного вреда, а клиенты и партнеры могут требовать возмещения экономического ущерба. Если при организации кибербезопасности не было проявлено требуемое прилежание, может возникнуть вопрос об ответственности члена правления (ÄS § 187). Здесь важно взаимодействие со страхованием D&O. Ко всему этому добавляется репутационный риск, который длится дольше технического инцидента.

Что проверить в договоре страхования

Ценность страхования заключается не в наличии полиса, а в его формулировке. Проверьте как минимум следующее:

1. Исключение военного риска и государственной атаки. Сформулировано ли оно достаточно узко, чтобы обычная киберпреступность оставалась покрытой? Кто должен доказывать атрибуцию атаки государству и какими доказательствами?
2. Страховая защита от перерыва в деятельности. Период ожидания (часто 8–12 часов), период возмещения и покрывается ли также остановка системы поставщика услуг (dependent business interruption).
3. Требования третьих лиц и регуляторные производства. Покрываются ли также штрафы, если это допускается применимым правом, и расходы на производство?
4. Требования безопасности. Многофакторная аутентификация, изолированность резервных копий, обновление программного обеспечения. В эстонском праве при нарушении требования безопасности страховщик, как правило, освобождается от обязанности исполнения лишь в той мере, в какой нарушение повлияло на ущерб (см. обязанность проявлять прилежание и пропорциональность), однако условия и стоимость спора все же имеют значение.
5. Преддоговорная анкета. Ответы о мерах безопасности являются частью преддоговорной информации. Неверные ответы могут дать страховщику право на отступление от договора (VÕS § 441) или, в случае обмана, право на аннулирование.
6. Доступность кризисных услуг. Доступны ли линия помощи и эксперты сразу и требует ли их привлечение предварительного согласия?

Общая линия: кибер, D&O и crime

Киберинцидент часто является вопросом не только киберстрахования. Если злоумышленник использует доступ для того, чтобы направить платеж на неверный счет, речь идет скорее о риске страхования crime (социальная инженерия, платежное мошенничество). Если после инцидента предъявляется требование к члену правления, применяется страхование D&O. Между тремя полисами могут возникать как пересечения, так и пробелы. Признак хорошей страховой программы состоит в том, что полисы согласованы между собой: ясно, какой полис является первичным, как действует собственная ответственность и не исключает ли один полис риск, который не покрывает и другой.

Итоги

Киберстрахование не является ни роскошью, ни привилегией технологических предприятий. Это такая же естественная часть ответственного предпринимательства, как страхование от огня или страхование ответственности. Международные и эстонские случаи дают один и тот же сигнал: атака не спрашивает разрешения и не делает различий между крупными и малыми предприятиями. Киберстрахование возмещает ущерб, но также дает необходимую в кризисе сеть экспертов. На эстонском рынке такую страховую защиту в значительной мере предлагают трансграничные страховщики и брокеры, поэтому стоит сравнить условия и перед заключением договора отдать их на проверку.

Автор: Олави-Юри Луйк (Olavi-Jüri Luik). Правовое положение по состоянию на ноябрь 2026 года.

Связанные страницы

• Киберстрахование
• Страхование от перерыва в деятельности
• Страхование crime
• NIS2, Закон о кибербезопасности и страхование
• Военный и геополитический риск

Примечания