# Когда одним кликом исчезают деньги и оборот: киберстрахование Адрес: https://kindlustusoigus.ee/ru/blogi/2026-11-03-kuberkindlustus-lunavara/ Автор: Олави-Юри Луйк (Olavi-Jüri Luik), PhD, Партнер, руководитель направления страхового права, присяжный адвокат (Advokaadibüroo WIDEN OÜ) Опубликовано: 2026-11-03 Последнее обновление: 2026-11-12 > Вымогатели, перерыв в деятельности, утечка данных: что покрывает киберстрахование, почему его не заменить страхованием имущества, что проверить в договоре. Утренний телефонный звонок: ИТ-система предприятия заблокирована. На экране сообщение о том, что файлы зашифрованы, а за их восстановление требуют шестизначный выкуп. Резервные копии находились в той же сети и тоже зашифрованы. Производство останавливается, обслуживать клиентов невозможно, и каждый час увеличивает ущерб. Это не киносценарий, а ситуация, которая неоднократно происходила на эстонских предприятиях. В 2026 году вопрос уже не в том, произойдет ли кибератака, а в том, когда она произойдет и готово ли к ней предприятие. ## Что такое киберстрахование Киберстрахование является комплексным продуктом страхования от убытков, который защищает предприятие от имущественного ущерба, вытекающего из сбоя информационных систем, данных или цифровой деятельности. В отличие от страхования crime, сосредоточенного на умышленном мошенничестве и присвоении, и страхования D&O, покрывающего личную ответственность руководителей, в центре киберстрахования находится технический инцидент: взлом, программа-вымогатель, атака типа «отказ в обслуживании» или утечка данных и ее последствия. Современное киберстрахование действует как механизм комплексного кризисного управления. Страховая защита обычно делится на три части: - **собственный ущерб предприятия:** восстановление систем и данных, упущенная выгода от перерыва в деятельности, расходы, связанные с вымогательством; - **требования третьих лиц:** требования клиентов, партнеров и субъектов данных в связи с утечкой данных или прерыванием услуги; - **расходы на услуги при инциденте:** ИТ-форензика, юридическая помощь, кризисная коммуникация, уведомление надзорных органов и субъектов данных. Фактическую защиту всегда определяет формулировка конкретного договора. В эстонском праве важна и VÕS § 476 ч. 4: страхование от убытков охватывает упущенную выгоду лишь в том случае, если об этом договорено отдельно.[^1] Поэтому в киберстраховании страховая защита от перерыва в деятельности является основной частью договора, а не само собой разумеющимся дополнением. ## Два международных дела, изменивших рынок Распространившаяся в 2017 году вредоносная программа NotPetya была не обычной программой-вымогателем, а атакой, безвозвратно уничтожавшей данные. Фармацевтическое предприятие Merck понесло в результате атаки ущерб в размере около 1,4 миллиарда долларов США. Поскольку отдельного киберстрахования не было, Merck предъявило требование на основании своего страхования имущества. Страховщики отказали в возмещении (в выплате страхового возмещения), сославшись на исключение военного риска, поскольку атаку связывали с государственной деятельностью России против Украины. Суды Нью-Джерси решили дело в пользу Merck: формулировка исключения была рассчитана на обычные военные действия и не охватывала кибератаку против предприятия частного сектора. Если страховщик хотел исключить кибервойну, ему следовало изменить формулировку. Позднее спор завершился соглашением. В том же году жертвой NotPetya стал и производитель продуктов питания Mondelēz, потребовавший от своего страховщика около 100 миллионов долларов. Этот спор завершился в 2022 году внесудебным соглашением. Вывод обоих дел для рынка был одинаков: классические договоры страхования имущества и ответственности не являются надежным запасным решением для киберриска. После этих споров страховщики переформулировали исключения военного риска и государственной кибератаки (на международном уровне распространены оговорки рынка Lloyd's о государственных кибератаках), поэтому сегодня нельзя рассчитывать на то, что страхование имущества покроет киберущерб. О широком толковании исключения военного риска см. также [публикацию о военном риске и дронах](https://kindlustusoigus.ee/ru/blogi/2026-11-02-sojariski-kindlustus-droonid/). ## Опыт Эстонии Эстонские СМИ в последние годы неоднократно освещали случаи, когда атака программы-вымогателя оборачивалась для предприятия многомиллионным ущербом. В одном случае жертвами атаки стали предприятия металлопромышленности Харьюмаа; в ходе атаки злоумышленники, заранее составившие карту системы, зашифровали как локальные резервные копии, так и находившиеся в облаке. Производство было частично остановлено на месяц, а упущенная выгода выразилась семизначной суммой. В другом случае издательское предприятие из-за повторных атак за пять лет потеряло почти миллион евро. [Департамент государственных информационных систем](https://www.ria.ee) подтвердил, что ущерб эстонских предприятий от киберпреступности достигает миллионов евро в год, причем это лишь сумма заявленных случаев. ## Почему киберстрахование необходимо **Ущерб не ограничивается выкупом.** Выкуп часто составляет лишь небольшую часть совокупного ущерба. Наибольшую часть образует перерыв в деятельности, к которому добавляются расходы на восстановление, форензику, юридическую помощь и кризисную коммуникацию. **Классического страхования недостаточно.** Исключения военного риска, требование физического ущерба и неясность статуса данных как имущества делают страхование имущества и ответственности в отношении киберриска непредсказуемым. **Злоумышленники не выбирают жертву по размеру.** Малые и средние предприятия часто более уязвимы, поскольку у них нет ИТ-возможностей крупного предприятия. В то же время они могут служить входом в системы более крупных партнеров: за утечкой данных американской торговой сети Target в 2013 году стоял доступ, полученный через небольшого поставщика услуг. **Сеть страховщика представляет ценность в кризисе.** Важной частью киберстрахования являются круглосуточная (24/7) линия помощи при инцидентах, эксперты по форензике, переговорщики и юристы. Решения, принятые в первые часы, определяют размер ущерба. **Регуляторное давление растет.** О нарушении, связанном с персональными данными, согласно ст. 33 [общего регламента о защите персональных данных](https://eur-lex.europa.eu/legal-content/ET/TXT/HTML/?uri=CELEX:32016R0679) (GDPR) необходимо уведомить надзорный орган без неоправданной задержки и по возможности в течение 72 часов после того, как стало известно о нарушении, за исключением случаев, когда нарушение, вероятно, не создает угрозы правам и свободам физических лиц; если угроза, вероятно, высока, без неоправданной задержки необходимо уведомить и субъектов данных (ст. 34).[^2] Ст. 83 GDPR предусматривает штрафы, которые при более тяжких нарушениях достигают десятков миллионов евро или определенного процента от общемирового оборота.[^2] При этом успешная атака сама по себе не означает, что предприятие нарушило закон: оценивается, соответствовали ли технические и организационные меры рискам. Кроме того, с 2026 года действует [Закон о кибербезопасности](https://www.riigiteataja.ee/akt/K%C3%BCTS) в редакции, транспонирующей NIS2, который возлагает на субъектов, входящих в сферу его применения, обязанность сообщать об инцидентах и ответственность члена правления за меры безопасности (см. [NIS2 и киберстрахование](https://kindlustusoigus.ee/ru/blogi/2026-11-01-nis2-kuberturvalisuse-seadus-ja-kindlustus/)).[^3] **Ответственность многоуровневая.** Субъекты данных могут на основании ст. 82 GDPR требовать возмещения имущественного и неимущественного вреда, а клиенты и партнеры могут требовать возмещения экономического ущерба. Если при организации кибербезопасности не было проявлено требуемое прилежание, может возникнуть вопрос об ответственности члена правления (ÄS § 187). Здесь важно взаимодействие со [страхованием D&O](https://kindlustusoigus.ee/ru/blogi/2026-09-29-dno-kindlustus-juhi-vastutus/). Ко всему этому добавляется репутационный риск, который длится дольше технического инцидента. ## Что проверить в договоре страхования Ценность страхования заключается не в наличии полиса, а в его формулировке. Проверьте как минимум следующее: 1. **Исключение военного риска и государственной атаки.** Сформулировано ли оно достаточно узко, чтобы обычная киберпреступность оставалась покрытой? Кто должен доказывать атрибуцию атаки государству и какими доказательствами? 2. **Страховая защита от перерыва в деятельности.** Период ожидания (часто 8–12 часов), период возмещения и покрывается ли также остановка системы поставщика услуг (*dependent business interruption*). 3. **Требования третьих лиц и регуляторные производства.** Покрываются ли также штрафы, если это допускается применимым правом, и расходы на производство? 4. **Требования безопасности.** Многофакторная аутентификация, изолированность резервных копий, обновление программного обеспечения. В эстонском праве при нарушении требования безопасности страховщик, как правило, освобождается от обязанности исполнения лишь в той мере, в какой нарушение повлияло на ущерб (см. [обязанность проявлять прилежание и пропорциональность](https://kindlustusoigus.ee/ru/blogi/2026-11-01-hoolsuskohustus-ja-proportsionaalsus-riigikohtu-praktikas/)), однако условия и стоимость спора все же имеют значение. 5. **Преддоговорная анкета.** Ответы о мерах безопасности являются частью преддоговорной информации. Неверные ответы могут дать страховщику право на отступление от договора (VÕS § 441) или, в случае обмана, право на аннулирование. 6. **Доступность кризисных услуг.** Доступны ли линия помощи и эксперты сразу и требует ли их привлечение предварительного согласия? ## Общая линия: кибер, D&O и crime Киберинцидент часто является вопросом не только киберстрахования. Если злоумышленник использует доступ для того, чтобы направить платеж на неверный счет, речь идет скорее о риске страхования crime (социальная инженерия, платежное мошенничество). Если после инцидента предъявляется требование к члену правления, применяется страхование D&O. Между тремя полисами могут возникать как пересечения, так и пробелы. Признак хорошей страховой программы состоит в том, что полисы согласованы между собой: ясно, какой полис является первичным, как действует собственная ответственность и не исключает ли один полис риск, который не покрывает и другой. ## Итоги Киберстрахование не является ни роскошью, ни привилегией технологических предприятий. Это такая же естественная часть ответственного предпринимательства, как страхование от огня или страхование ответственности. Международные и эстонские случаи дают один и тот же сигнал: атака не спрашивает разрешения и не делает различий между крупными и малыми предприятиями. Киберстрахование возмещает ущерб, но также дает необходимую в кризисе сеть экспертов. На эстонском рынке такую страховую защиту в значительной мере предлагают трансграничные страховщики и брокеры, поэтому стоит сравнить условия и перед заключением договора отдать их на проверку. *Автор: Олави-Юри Луйк (Olavi-Jüri Luik). Правовое положение по состоянию на ноябрь 2026 года.* ## Связанные страницы - [Киберстрахование](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/) - [Страхование от перерыва в деятельности](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/arikatkestuskindlustus/) - [Страхование crime](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/crime-kindlustus/) - [NIS2, Закон о кибербезопасности и страхование](https://kindlustusoigus.ee/ru/blogi/2026-11-01-nis2-kuberturvalisuse-seadus-ja-kindlustus/) - [Военный и геополитический риск](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/sojarisk/) ## Примечания [^1]: VÕS § 476 ч. 4 (RT I, 20.06.2026, 18; в силе с 01.09.2026). [^2]: Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679 (isikuandmete kaitse üldmäärus) [Регламент (ЕС) 2016/679 Европейского парламента и Совета (общий регламент о защите персональных данных)], ст. 33, ст. 82, ст. 83. – ELT L 119, 04.05.2016, с. 1. [^3]: Küberturvalisuse seadus [Закон о кибербезопасности] (KüTS) § 6¹, § 8 (RT I, 06.10.2026, 2; в силе с 16.10.2026).