# Новые риски D&O: кибер, ESG, санкции и искусственный интеллект

Адрес: https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/do-kindlustus/uued-riskid-juhatusele/
Автор: Олави-Юри Луйк (Olavi-Jüri Luik), PhD, Партнер, руководитель направления страхового права, присяжный адвокат (Advokaadibüroo WIDEN OÜ)
Последнее обновление: 2026-11-06

> Как Закон о кибербезопасности, раскрытие ESG, санкции и использование искусственного интеллекта меняют ответственность правления и защиту D&O.

> **Коротко.** Ответственность правления распространяется на новые сферы не потому, что меняется стандарт прилежания, а потому, что меняется то, чего ожидают от надлежащего предпринимателя. Закон о кибербезопасности с 2026 года возлагает на конкретного члена правления обязанность утверждать меры безопасности и следить за их применением. Информация ESG, соблюдение санкций и использование искусственного интеллекта являются сферами, в которых деятельность руководителя все больше оценивают как надзорные органы, так и инвесторы. Исключения договора D&O (санкции, кибер, окружающая среда, штрафы) могут сузить страховую защиту именно в этих сферах.

## 1. Кибербезопасность как личная обязанность правления

### 1.1. Требования закона

Директива NIS2 транспонирована в эстонское право изменениями Закона о кибербезопасности, вступившими в силу 1 января 2026 года.[^1] Поставщик услуг, подпадающий под сферу действия закона, должен назначить как минимум одного члена правления, который утверждает меры по снижению рисков кибербезопасности, следит за их применением и отвечает за это. Ответственный член правления должен регулярно проходить обучение, чтобы приобрести достаточные знания и навыки для выявления рисков и оценки управления ими. Если ответственный член правления не назначен, обязанности распространяются на всех членов правления. На поставщика услуг с одним членом правления обязанность назначить ответственного члена не распространяется; обязанности по утверждению мер, наблюдению и обучению остаются на единственном члене правления.[^2]

За нарушение обязанности существенному субъекту, являющемуся юридическим лицом, может быть назначен денежный штраф до 10 миллионов евро или до 2 процентов общемирового годового совокупного оборота за предыдущий хозяйственный год, а важному субъекту до 7 миллионов евро или до 1,4 процента, в зависимости от того, какая сумма больше.[^3] Штраф назначается обществу, однако ущерб общества может стать требованием к члену правления на основании ÄS § 187.[^4]

### 1.2. Что это означает для страхования D&O

После киберинцидента в отношении правления возникает риск трех видов:

1. **Надзорное производство**, в котором Департамент государственных информационных систем оценивает, были ли меры безопасности и уведомление об инциденте надлежащими. Расходы на участие и представительство членов правления покрываются в договоре D&O как расходы на расследование, нередко в пределах сублимита.
2. **Регрессное требование общества**, если общество (через новое руководство или управляющего в деле о банкротстве) требует от руководителя возмещения штрафа, расходов на восстановление или ущерба от перерыва в деятельности.
3. **Требования третьих лиц**, прежде всего требования инвесторов биржевого общества, если влияние инцидента или состояние безопасности описывались публике вводящим в заблуждение образом.

Следует обратить внимание на киберисключение в договоре D&O. Некоторые страховщики включили в условия D&O широкие исключения для требований, вытекающих из киберинцидента, полагая, что они относятся к киберстрахованию. Однако киберстрахование покрывает расходы и ответственность общества, а не личную ответственность руководителя перед обществом. Если договор D&O полностью исключает требования, вытекающие из киберинцидента, ответственность члена правления остается без страховой защиты. См. [киберстрахование и NIS2](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/nis2-ja-kuberturvalisuse-seadus/).

### 1.3. Защита данных

Общий регламент о защите персональных данных предусматривает для общества штраф до 10 миллионов евро или 2 процентов, а за более тяжкие нарушения до 20 миллионов евро или 4 процентов общемирового годового оборота.[^5] И здесь адресатом штрафа является общество, однако ответственность руководителя перед обществом может возникнуть, если правление ненадлежащим образом организовало защиту данных.

## 2. Ответственность, связанная с ESG и устойчивым развитием

Риски ESG доходят до правления тремя путями:

- **Раскрытие информации.** Если общество публикует неправильную или вводящую в заблуждение информацию об устойчивом развитии (например, гринвошинг), инвесторы и контрагенты могут на эту информацию полагаться. Обязанность по раскрытию информации в праве ЕС в последние годы существенно расширилась (например, директива об отчетности в области устойчивого развития [(ЕС) 2022/2464](https://eur-lex.europa.eu/legal-content/ET/TXT/?uri=CELEX:32022L2464)), однако объем обязанностей и график менялись, и их необходимо проверять в отношении каждого общества отдельно.
- **Обязательства в цепочке поставок.** Если общество использует поставщиков, нарушающих трудовые или экологические требования, правлению может вменяться отсутствие оценки рисков.
- **Стратегические решения.** Вопрос о том, достаточно ли правление учитывало климатический риск, дошел до суда. В Великобритании в 2023 году было отказано в разрешении на производный иск экологической организации к членам правления нефтяной компании, поскольку, по оценке суда, не было представлено дела *prima facie* и правление обладает широкой свободой усмотрения при принятии стратегических решений (см. [дела](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/do-kindlustus/kaasused/)).[^6]

С точки зрения страхования D&O проблема требований ESG состоит в том, что они могут подпасть под экологическое исключение (если требование связано с загрязнением) или под исключение штрафов (если речь идет о надзорной санкции). Требование о гринвошинге, основанное на вводящей в заблуждение информации, обычно покрывается так же, как иное требование о раскрытии информации, пока умышленный обман окончательно не установлен.

## 3. Международные санкции

### 3.1. Риск руководителя

Регламенты ЕС о санкциях запрещают прямо или косвенно предоставлять денежные средства и экономические ресурсы субъекту санкций или в его пользу.[^7] Согласно Закону о международных санкциях сделка, нарушающая санкцию, является ничтожной.[^8] Нарушение санкций может повлечь ущерб для общества (ничтожные сделки, замороженное имущество, штрафы, требования контрагентов) и ответственность члена правления, если правление не организовало контроль санкционных рисков.

### 3.2. Санкционная оговорка в договоре D&O

Почти все договоры D&O содержат санкционную оговорку, согласно которой страховщик не обязан предоставлять страховую защиту или выплачивать возмещение, если это подвергло бы страховщика риску нарушения санкции. Такая оговорка не является обычным исключением в том смысле, что она оценивает не поведение застрахованного лица, а препятствует исполнению страховщиком. Если руководитель находится под санкциями или требование связано с лицом, находящимся под санкциями, выплата расходов на защиту может оказаться невозможной, даже если сам руководитель ничего неправильного не совершил. Члену правления, действующему на восточных рынках или общество которого имеет собственников с санкционным риском, следует проанализировать формулировку оговорки до вступления в должность. См. также [санкции и страхование](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/sojarisk/sanktsioonid-ja-kindlustus/).

## 4. Использование искусственного интеллекта в управлении

Использование искусственного интеллекта в деятельности общества ставит перед правлением три вопроса.

1. **Делегирование принятия решений.** Если правление полагается на анализ, основанный на искусственном интеллекте, ответственным за решение остается правление. Прилежание надлежащего предпринимателя требует, чтобы правление понимало ограничения инструмента и проверяло результаты. Использование искусственного интеллекта не меняет бремени доказывания: руководитель по-прежнему должен доказывать свое прилежание.
2. **Соответствие регулированию.** Регламент ЕС об искусственном интеллекте ([(ЕС) 2024/1689](https://eur-lex.europa.eu/legal-content/ET/TXT/?uri=CELEX:32024R1689)) устанавливает обязанности для пользователей и поставщиков систем высокого риска. Штрафы за нарушение обязанностей назначаются обществу, однако, как и в случае кибербезопасности, ущерб общества может стать требованием к правлению.
3. **Раскрытие информации.** Если общество описывает инвесторам свои возможности в области искусственного интеллекта преувеличенно (так называемый *AI washing*), это по примеру практики США может привести к требованиям, связанным с ценными бумагами.

Действующие условия договоров D&O в большинстве случаев не рассматривают искусственный интеллект отдельно. Это означает, что требования, связанные с искусственным интеллектом, покрываются как обычные требования об управленческой ответственности, но могут попасть под кибер- или технологическое исключение. Позиция автора: риски искусственного интеллекта не требуют отдельного вида страхования, однако их необходимо обсудить со страховщиком при возобновлении договора D&O и проверить исключения.

Требования регламента об искусственном интеллекте к системам высокого риска после изменения 2026 года применяются к системам по приложению III с 2 декабря 2027 года, а к системам, интегрированным в продукты по приложению I, с 2 августа 2028 года; общее применение регламента началось 2 августа 2026 года.[^9] Распределение рисков искусственного интеллекта между разными договорами страхования рассматривается на странице [Страхование рисков искусственного интеллекта](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/tehisaru-riskide-kindlustus/).

## 5. Недостаточное управление рисками как самостоятельное основание требования

Общая черта всех названных выше рисков состоит в том, что правлению вменяется не отдельное решение, а отсутствие системы управления рисками. Если в обществе нет обзора критических систем, поставщиков, санкционных рисков и обязанностей по соблюдению требований, члену правления трудно доказать прилежание надлежащего предпринимателя. Следовательно, программа комплаенса и ее документирование являются одновременно средством предотвращения ответственности и доказательством в последующем страховом споре.

## 6. Контрольные вопросы при возобновлении договора D&O

1. Содержит ли договор киберисключение и оставляет ли оно под страховой защитой ответственность руководителей перед обществом и инвесторами?
2. Покрываются ли расходы на надзорное производство по KüTS и GDPR и каков сублимит?
3. Оставляет ли экологическое исключение под страховой защитой требования о раскрытии ESG и расходы на защиту?
4. Как сформулирована санкционная оговорка и ограничивает ли она выплату расходов на защиту?
5. Ограничены ли каким-либо образом требования, связанные с технологиями или искусственным интеллектом?

## Часто задаваемые вопросы

### Освобождает ли назначение ответственного члена правления других членов правления?

Согласно KüTS ответственный член правления исполняет обязанности, указанные в законе. Это не меняет общего правила ÄS, согласно которому члены правления отвечают перед обществом солидарно, если они нарушили свои обязанности. Другие члены правления по-прежнему должны организовывать управление обществом с прилежанием надлежащего предпринимателя и реагировать, если им становится известно, что ответственный член не выполняет свои задачи.

### Покрывается ли раскрытие информации ESG страхованием D&O?

Требования, вытекающие из предположительно неправильной или вводящей в заблуждение информации, обычно покрываются так же, как иные требования о раскрытии информации. Следует обратить внимание на экологическое исключение и исключение штрафов, а также на то, предъявлено ли требование к обществу (защита C) или к руководителям (защита A и B).

### Может ли использование искусственного интеллекта быть нарушением обязанности проявлять прилежание?

Само по себе нет. Нарушение может состоять в том, как искусственный интеллект использовался: правление полагалось на непроверенный результат, не оценивало риски или не организовало соответствие применимым требованиям. Точно так же нарушение может состоять и в том, что правление не использовало имеющийся инструмент, который уменьшил бы риск. Основой оценки остается прилежание надлежащего предпринимателя.

### Может ли санкционная оговорка препятствовать выплате расходов на защиту?

Да, если выплата расходов на защиту подвергла бы страховщика риску нарушения санкции, например если сам руководитель является субъектом санкций. Если руководитель не находится под санкциями и требование касается лишь предполагаемого нарушения санкций, санкции обычно не препятствуют выплате расходов на защиту.

## Связанные страницы

- [Ответственность членов правления и совета в эстонском праве](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/do-kindlustus/juhatuse-ja-noukogu-liikme-vastutus/)
- [NIS2 и Закон о кибербезопасности](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/nis2-ja-kuberturvalisuse-seadus/)
- [Санкции и страхование](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/sojarisk/sanktsioonid-ja-kindlustus/)
- [Типичные исключения и споры](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/do-kindlustus/valistused-ja-vaidlused/)
- [Дела по D&O](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/do-kindlustus/kaasused/)
- [Страхование рисков искусственного интеллекта](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/tehisaru-riskide-kindlustus/)

## Примечания

[^1]: Küberturvalisuse seaduse muutmise seadus [Закон о внесении изменений в Закон о кибербезопасности] (RT I, 30.12.2025, 4; в силе с 01.01.2026). – https://www.riigiteataja.ee/akt/K%C3%BCTS
[^2]: KüTS § 6¹ ч. 1-4 (RT I, 06.10.2026, 2; в силе с 16.10.2026). – https://www.riigiteataja.ee/akt/K%C3%BCTS
[^3]: KüTS § 18² ч. 2, § 18³ ч. 2 (сноска 2).
[^4]: ÄS § 187 ч. 2 (RT I, 06.07.2023, 131; в силе с 01.03.2024). – https://www.riigiteataja.ee/akt/%C3%84S
[^5]: Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679 [Регламент (ЕС) 2016/679 Европейского парламента и Совета], ст. 83 ч. 4-5. – ELT L 119, 04.05.2016, с. 1. – https://eur-lex.europa.eu/legal-content/ET/TXT/HTML/?uri=CELEX:32016R0679
[^6]: ClientEarth v Shell plc, High Court of Justice (England and Wales), Chancery Division, 2023. Вторичный источник: Debevoise & Plimpton. ClientEarth v Shell plc: High Court Rejects Climate-Related Derivative Claim, 09.2023. – https://www.debevoise.com/insights/publications/2023/09/clientearth-v-shell-plc-high-court-rejects-climate
[^7]: Nõukogu määrus (EL) nr 269/2014 [Регламент Совета (ЕС) № 269/2014], ст. 2 ч. 1-2. – ELT L 78, 17.03.2014, с. 6. – https://eur-lex.europa.eu/legal-content/ET/TXT/HTML/?uri=CELEX:32014R0269
[^8]: RSanS § 7 (RT I, 17.05.2025, 4; в силе с 01.07.2026). – https://www.riigiteataja.ee/akt/RSanS
[^9]: Euroopa Parlamendi ja nõukogu määrus (EL) 2026/1744, 08.07.2026, millega muudetakse määrust (EL) 2024/1689 [Регламент (ЕС) 2026/1744 Европейского парламента и Совета от 08.07.2026 о внесении изменений в регламент (ЕС) 2024/1689] (в силе с 27.07.2026). – https://eur-lex.europa.eu/eli/reg/2026/1744/oj