Киберстрахование: защита, пределы и связь с NIS2

Коротко. Киберстрахование возмещает ущерб, возникший в результате нарушения работы информационных систем, данных и цифровой деятельности: расходы на реагирование на инцидент и ИТ-форензику, восстановление данных и систем, перерыв в деятельности, требования третьих лиц, расходы на уведомление и на регуляторные производства. Классическое страхование имущества и ответственности не является надежным резервным решением для киберриска. С 2026 года Закон о кибербезопасности (транспонирование NIS2) возлагает на общества, подпадающие под сферу действия закона, ответственность на уровне члена правления за меры безопасности и обязанность уведомлять Департамент государственных информационных систем об инциденте со значительным воздействием в течение 24 часов.¹ Киберстрахование не заменяет эту обязанность, но помогает справиться с последствиями инцидента. Больше всего спорят об исключении военного риска, требовании «физического ущерба», границе между прямым и косвенным ущербом и о требованиях безопасности.

Углубленные страницы

Эта страница представляет собой обзор киберстрахования. Подробное рассмотрение со ссылками на нормы и судебную практику распределено по подстраницам:

• Что покрывает киберстрахование: собственный ущерб и ответственность: страховая защита первой стороны и третьих лиц: реагирование на инцидент, восстановление данных, перерыв в деятельности, ответственность, регуляторные расходы и кибервымогательство.
• NIS2 и Закон о кибербезопасности: обязанности и страхование: изменения Закона о кибербезопасности по NIS2 в 2026 году: ответственный член правления, уведомления в течение 24 и 72 часов, штрафы и связь с киберстрахованием и страхованием D&O.
• Утечка данных, GDPR и ответственность: что покрывает киберстрахование: нарушение, связанное с персональными данными: уведомление в течение 72 часов, требование субъекта данных на основании ст. 82, штрафы, ответственность уполномоченного обработчика и страховая защита.
• Атака программы-вымогателя и уплата выкупа: право и страхование: допустима ли уплата выкупа в Эстонии, санкционный риск, согласие страховщика, защита от кибервымогательства и решения правления при атаке программы-вымогателя.
• Киберинцидент: реагирование, поставщики услуг и страховое требование: как действовать при киберинциденте: уведомление страховщика, панельные поставщики услуг, сохранение доказательств, доказывание ущерба и предъявление страхового требования.
• Исключения и споры в киберстраховании: война, инфраструктура, требования безопасности: типичные споры в киберстраховании: исключение войны и государственной кибероперации, исключение инфраструктуры, требования безопасности, преддоговорная информация, прямой и косвенный ущерб.
• Дела по киберстрахованию: NotPetya, Merck, Mondelez и цепочка поставок: публичные дела по киберстрахованию (Merck, Mondelez, Clorox v Cognizant, G&G Oil), изложенные своими словами, и уроки из них для эстонского предпринимателя.

1. Что такое киберстрахование

Киберстрахование является сводным продуктом страхования от убытков, объединяющим несколько видов по Закону о страховой деятельности: иное страхование имущества (данные и системы), страхование финансовых убытков (перерыв в деятельности, дополнительные расходы) и страхование гражданской ответственности (требования третьих лиц).² Продукт возник в ответ на ситуацию, в которой основным имуществом предприятия являются не машины и не недвижимость, а данные, информационные системы и их доступность.

Традиционное страхование имущества, как правило, предполагает физическое повреждение вещи. Однако шифрование, удаление данных или утрата доступа к ним не являются повреждением вещи в его классическом значении. Киберстрахование восполняет этот пробел.

Киберриск является не только техническим риском. Это управленческий риск, поскольку:

1. он связан с бизнес-моделью: если доход зависит от доступности систем, каждый перерыв означает прямой финансовый ущерб;
2. он связан с финансовыми потоками: значительная часть инцидентов не уничтожает системы, а перенаправляет деньги на неправильный счет (см. страхование crime);
3. у него сильное правовое измерение: общий регламент о защите персональных данных (GDPR) и KüTS возлагают на руководство прямые обязанности;
4. он распространяется через цепочку поставок: предприятие может понести ущерб и тогда, когда атаке подвергся его поставщик услуг.

2. Что покрывает киберстрахование

2.1. Собственный ущерб предприятия (first-party)

• Реагирование на инцидент. ИТ-форензика, установление масштаба атаки и вектора проникновения, остановка атаки, сохранение журналов и доказательств. Эти расходы возникают в первые часы и неизбежны.
• Восстановление данных и систем. Восстановление резервных копий, повторная установка программного обеспечения, реконструкция данных. Некоторые условия покрывают и замену оборудования, если повреждено встроенное программное обеспечение (bricking).
• Перерыв в деятельности. Упущенная выгода и дополнительные расходы в период, когда системы не работают. Согласно VÕS § 476 ч. 4 страхование от убытков охватывает упущенную выгоду только в том случае, если об этом согласовано отдельно.³ В киберстраховании такое соглашение есть, однако оно содержит период ожидания (например, 8-12 часов) и период возмещения. В качестве расширения можно покрыть и перерыв, возникший из-за остановки системы поставщика услуг (dependent business interruption).
• Вымогательство. Переговоры со злоумышленником и по некоторым условиям выкуп, если он законен. Уплата выкупа не должна нарушать международные санкции; условия исключают платеж лицу, находящемуся под санкциями.
• Кризисная коммуникация и смягчение репутационного ущерба.
• Расходы на уведомление. Уведомление субъектов данных и надзорных органов, колл-центр, кредитный мониторинг.

2.2. Требования третьих лиц (third-party)

При утечке данных или перерыве в оказании услуги требования могут предъявить субъекты данных, клиенты, контрагенты и компании платежных карт. Как страхование ответственности киберстрахование покрывает как возмещение, так и расходы на юридическую помощь (VÕS § 510, § 511).⁴ Требования могут быть договорными или деликтными и возникать одновременно в нескольких странах.

2.3. Регуляторные производства

Киберстрахование обычно покрывает расходы на надзорное производство (юридическая помощь, представительство перед Инспекцией по защите данных или Департаментом государственных информационных систем), а по некоторым условиям и штрафы, если они страхуемы по применимому праву. Согласно GDPR ответственный обработчик должен уведомить надзорный орган о нарушении, связанном с персональными данными, без неоправданной задержки и по возможности в течение 72 часов после того, как ему стало известно о нарушении, за исключением случая, когда нарушение, вероятно, не создает риска для прав и свобод физических лиц.⁵ Страхуемость штрафов в Эстонии спорна (см. страхование D&O, п. 3.4).

3. Основные сценарии рисков

Атака программы-вымогателя. Злоумышленник шифрует системы и требует выкуп; нередко он похищает данные и угрожает их опубликовать (double extortion). Ущерб складывается из расходов на восстановление, перерыва в деятельности, нарушений договоров перед клиентами и возможной ответственности по GDPR. В эстонских СМИ описано несколько случаев, когда производство или работа эстонского промышленного и издательского предприятия останавливались на недели, а ущерб достигал семизначной суммы. Эти случаи подтверждают, что выкуп нередко составляет меньшую часть общего ущерба.

Утечка данных. Утечка может возникнуть вследствие внешней атаки, неправильно настроенного облачного сервиса, утраченного устройства или действий работника. Системы могут не останавливаться, но последствия долгосрочны: уведомление, надзор, требования о возмещении вреда, репутационный ущерб. Если выясняется, что меры безопасности были недостаточными, требование может дойти до правления.

Атака типа «отказ в обслуживании» (DDoS). Данные не похищаются, но услуга становится недоступной. В электронной торговле, финансовых и цифровых услугах дорог даже короткий перерыв. DDoS используется и для сокрытия иной атаки.

Атака на цепочку поставок. Атаке подвергается производитель программного обеспечения или поставщик ИТ-услуг, через которого получают доступ к системам сотен клиентов. Клиент сам ничего «неправильно не сделал», но несет ущерб и нередко отвечает перед своими клиентами. Ответственность распределяется между несколькими договорами и сторонами.

Компрометация деловой переписки и мошеннические платежи. Если злоумышленник использует захваченную учетную запись электронной почты, чтобы перенаправить платеж на неправильный счет, речь идет о границе между киберстрахованием и страхованием crime. Многие кибердоговоры покрывают расходы, связанные с компрометацией системы, но не утраченные деньги, или покрывают их в пределах небольшого сублимита.

4. Киберстрахование и NIS2 в эстонском праве

4.1. Транспонирование

Директива NIS2 ((ЕС) 2022/2555) транспонирована в эстонское право изменениями Закона о кибербезопасности, вступившими в силу 1 января 2026 года.⁶ Закон делит поставщиков услуг на существенные и важные субъекты. Поставщику услуг, ранее подпадавшему под действие закона, предоставлен переходный период для приведения своей деятельности в соответствие с требованиями.⁷ Подпадает ли конкретное общество под сферу действия закона, необходимо оценивать по сфере деятельности и размеру; этот анализ невозможно заменить веб-текстом.

4.2. Ответственность правления

Поставщик услуг должен назначить как минимум одного члена правления, который утверждает меры безопасности, следит за их применением и отвечает за это. Он должен регулярно проходить обучение, чтобы понимать риски и способы управления ими. Если ответственный член правления не назначен, обязанности распространяются на всех членов правления. Обязанность назначить ответственного члена правления не применяется к поставщику услуг с одним членом правления; обязанности по утверждению мер безопасности, контролю за их применением и обучению в этом случае лежат на единственном члене правления.¹

Следовательно, при киберинциденте оценивается и то, были ли риски оценены и снижены, были ли меры безопасности адекватными, существовал ли и действовал ли план реагирования и был ли правление информировано. Это создает прямую связь со страхованием D&O.

4.3. Уведомление

Поставщик услуг должен представить Департаменту государственных информационных систем первичное уведомление незамедлительно, но не позднее чем в течение 24 часов с момента, когда ему стало известно о киберинциденте со значительным воздействием. Не позднее чем в течение 72 часов необходимо представить уведомление об инциденте, уточняющее данные первичного уведомления; поставщик доверительных услуг должен представить его в течение 24 часов. По ходатайству департамента до окончательного отчета необходимо представить промежуточный отчет о ходе разрешения инцидента. Окончательный отчет необходимо представить в течение одного месяца с момента представления уведомления об инциденте; если к этому времени инцидент не разрешен, представленный окончательный отчет рассматривается как промежуточный, а новый окончательный отчет необходимо представить в течение одного месяца с момента разрешения инцидента. Следовательно, срок окончательного отчета не зависит от того, разрешен ли инцидент. Если системой управляет или размещает ее другое лицо, поставщик услуг отвечает за то, чтобы другое лицо уведомило его в течение 24 часов.⁸ Значительное воздействие инцидент имеет, в частности, тогда, когда услугу невозможно продолжить в пределах допустимого максимального времени перерыва, когда нарушена услуга другого поставщика услуг или когда возникает значительный ущерб.⁸

4.4. Санкции

За нарушение мер безопасности и обязанности по уведомлению существенному субъекту, являющемуся юридическим лицом, может быть назначен денежный штраф до 10 миллионов евро или до 2 процентов общемирового совокупного оборота за предыдущий хозяйственный год, важному субъекту до 7 миллионов евро или до 1,4 процента, в зависимости от того, какая сумма больше.⁹

4.5. Соответствие требованиям и страхование выполняют разные задачи

NIS2 требует подхода, основанного на рисках, а не абсолютной безопасности. Полностью соответствующее требованиям предприятие также может стать жертвой атаки. Страхование не освобождает предприятие от регуляторных обязанностей и не уменьшает ответственность правления. Напротив: страховщики при заключении договора все подробнее спрашивают о резервном копировании, многофакторной аутентификации, управлении доступом, журналировании, управлении поставщиками и плане реагирования. Худший уровень безопасности означает более дорогое, более узкое или вовсе недоступное страхование.

Эстонский стандарт информационной безопасности (E-ITS) дает полезную рамку контроля и тем предприятиям, к которым он формально не применяется. С точки зрения страхового спора важно, чтобы предприятие могло доказать свой фактический уровень безопасности до инцидента: анализ рисков, применяемые меры, управление правами пользователей и поставщиками, порядок обработки инцидентов. Без документации страховщик может утверждать, что преддоговорная информация была неправильной или что требования безопасности были нарушены.

4.6. Регламент о киберустойчивости

Производители продуктов с цифровыми элементами с 11 сентября 2026 года обязаны сообщать об активно эксплуатируемой уязвимости и о серьезном инциденте; регламент применяется в полном объеме с 11 декабря 2027 года.¹⁷ Для страхователя, являющегося производителем программного обеспечения или оборудования, это означает новый регуляторный риск, а во взаимодействии с новой директивой об ответственности за продукцию более широкую ответственность производителя. См. Регламенты ЕС и Страхование рисков искусственного интеллекта.

5. Типичные исключения и споры

5.1. Исключение военного риска

Исключение военного риска является самой спорной оговоркой киберстрахования. В киберпространстве граница между военными действиями, операцией, поддерживаемой государством, и преступностью размыта. Страховщик должен доказать, что инцидент подпадает под исключение, а атрибуция атаки государству (attribution) нередко носит вероятностный характер.

В спорах после вредоносной программы NotPetya (2017) страховщики отказывали в возмещении (в выплате страхового возмещения) по договору страхования имущества, ссылаясь на традиционное исключение военного риска. Апелляционный суд штата Нью-Джерси в 2023 году указал, что классическое исключение враждебных и военных действий не охватывает кибератаку на коммерческое общество, не связанную с вооруженным конфликтом в его обычном значении.¹⁰ Другой крупный спор, вытекавший из той же атаки, завершился в 2022 году компромиссом. Рынок отреагировал быстро: Lloyd’s потребовал с 31 марта 2023 года, чтобы самостоятельные договоры киберстрахования содержали исключение кибератак, поддерживаемых государством, соответствующее минимальным требованиям, установленным рыночным органом.¹¹ Следовательно, в современных условиях исключения военного риска и государственной кибероперации значительно шире и точнее, чем в 2017 году. Подробнее см. военный риск.

5.2. Требование физического ущерба и «молчаливый» киберриск

Если страхование имущества требует «физического ущерба», возникает вопрос, является ли шифрование данных повреждением вещи или лишь утратой возможности ее использования. Киберстрахование определяет ущерб шире, однако результат зависит от формулировки. С другой стороны, многие договоры страхования имущества, ответственности, crime и D&O ранее содержали киберриск «по умолчанию» (silent cyber). Рынок уменьшил этот риск с помощью прямых киберисключений. Для предприятия это означает, что старый договор страхования имущества, вероятно, уже не является резервным решением для киберриска.

5.3. Прямой и косвенный ущерб

Каждое звено цепи (простой, утрата дохода, договорный штраф клиенту, репутационный ущерб) необходимо связать с конкретным компонентом страховой защиты. Договорные штрафы и возмещения, выплачиваемые клиентам, нередко не являются частью перерыва в деятельности, а могут относиться к защите ответственности или быть исключены.

5.4. Требования безопасности и преддоговорная информация

В кибердоговорах нередко содержатся требования к изолированности резервных копий, многофакторной аутентификации, обновлениям программного обеспечения и установке исправлений уязвимостей. Согласно VÕS § 452 ч. 2 страховщик не может ссылаться на освобождение из-за нарушения обязанности, подлежащей исполнению до страхового случая, если нарушение не было виновным со стороны страхователя или если оно не повлияло на возникновение или размер ущерба; в отношении обязанности, предназначенной для уменьшения риска, он не может ссылаться на освобождение, если нарушение не повлияло на наступление страхового случая или на обязательство по исполнению.¹² Требование причинной связи является важнейшей защитой страхователя. В отношении крупного предприятия эта защита в силу VÕS § 427 ч. 3 может быть исключена договором.¹³ Неправильные ответы на преддоговорную анкету могут дать страховщику право отступить от договора согласно VÕS §§ 440-442.¹⁴

5.5. Умысел и деяние работника

Если инцидент вызвал работник, его умысел нельзя автоматически вменить страхователю. В киберстраховании злонамеренный работник (rogue employee) обычно покрывается, за исключением случая, когда речь идет о руководстве. Исключение умысла должно быть направлено на умысел самого страхователя (руководства) и на причинение страхового случая.

5.6. Использование поставщиков услуг

Многие договоры требуют, чтобы при реагировании на инцидент использовались одобренные страховщиком партнеры по форензике, юридическим услугам и PR. Если предприятие действует на свой страх, часть расходов может остаться невозмещенной. Поэтому список партнеров должен быть включен в план реагирования на инциденты еще до инцидента.

6. При инциденте

Первые часы определяют как размер ущерба, так и страховую защиту. О страховом случае необходимо сообщить незамедлительно (VÕS § 448 ч. 1).¹⁵ Ущерб необходимо по возможности предотвратить и уменьшить, следуя указаниям страховщика, а в поврежденных системах нельзя вносить изменения, затрудняющие установление причины или размера ущерба, за исключением изменений, необходимых для уменьшения ущерба.¹⁶ Подробный план действий: Первые 72 часа после происшествия.

При киберинциденте страхово-правовое и ИТ-правовое консультирование тесно связаны: сроки уведомления, защита персональных данных и согласия страховщика должны решаться одновременно. Специалисты WIDEN по ИТ, интеллектуальной собственности и защите данных отмечены в рейтингах Chambers & Partners и The Legal 500 (сообщение WIDEN от 10.08.2026). Адвокаты WIDEN консультировали Эстонскую Республику при транспонировании директивы NIS2 (сообщение от 18.09.2025). У WIDEN есть круглосуточная линия юридической помощи при кибератаках и утечках данных, условия которой описаны в сообщении WIDEN от 11.06.2025.

7. Выбор киберстрахования: вопросы

1. Охватывает ли страховая защита перерыв в деятельности, в том числе остановку системы поставщика услуг? Каковы период ожидания и период возмещения?
2. Покрывается ли мошеннический платеж (социальная инженерия, компрометация деловой переписки) и с каким сублимитом? Как это стыкуется с договором crime?
3. Как сформулировано исключение военного риска и государственной кибероперации? Кто должен доказывать атрибуцию и по какому стандарту?
4. Покрываются ли регуляторные производства (Инспекция по защите данных, RIA)? Покрываются ли штрафы в допускаемом законом объеме?
5. Какие требования безопасности содержатся в договоре? Соответствуют ли они фактической ИТ-среде и связано ли их нарушение с требованием причинной связи?
6. Проверены ли технически и задокументированы ли ответы на преддоговорную анкету?
7. Включен ли список партнеров страховщика в план реагирования на инциденты?
8. Исключает ли договор D&O требования к правлению, вытекающие из киберинцидента?

Связанные страницы

• Страхование crime
• Страхование D&O
• Страхование от перерыва в деятельности
• Военный риск и геополитический риск
• Управление рисками: взаимодействие киберстрахования, crime и D&O
• Киберстрахование частного лица
• Страхование рисков искусственного интеллекта

Примечания