# Киберинцидент: реагирование, поставщики услуг и требование

Адрес: https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/intsident-ja-teenusepakkujad/
Автор: Олави-Юри Луйк (Olavi-Jüri Luik), PhD, Партнер, руководитель направления страхового права, присяжный адвокат (Advokaadibüroo WIDEN OÜ)
Последнее обновление: 2026-11-07

> При киберинциденте: уведомление страховщика, панельные поставщики услуг, сохранение доказательств, доказывание ущерба и страховое требование.

> **Коротко.** Ценность киберстрахования выясняется в первые часы. Страховщика необходимо уведомить незамедлительно, ущерб необходимо предотвращать и уменьшать, следуя указаниям страховщика, а в затронутых системах нельзя вносить изменения, затрудняющие установление причины и размера ущерба, за исключением изменений, необходимых для уменьшения ущерба. Использование панельных поставщиков услуг нередко является условием страховой защиты или более низкой собственной ответственности. Успех страхового требования зависит от того, может ли предприятие расчетно доказать ущерб и показать свой уровень безопасности до инцидента.

## 1. Первые часы

### 1.1. Уведомление страховщика

Страхователь должен сообщить страховщику о страховом случае незамедлительно после того, как ему стало о нем известно.[^1] В кибердоговорах для этого обычно предусмотрена круглосуточная линия инцидентов. Последствия неуведомления ограничены законом: страховщик может уменьшить исполнение в объеме причиненного ему ущерба и полностью освобождается от обязательства по исполнению только при умышленном нарушении; эти правила являются полуимперативными в целях защиты страхователя.[^2][^3] В договоре о крупных рисках эта защита может быть исключена соглашением.[^3]

Практическая рекомендация проста: уведомите страховщика до того, как будете уверены, что речь идет о страховом случае. Впоследствии уведомление можно уточнить; запоздалое уведомление исправить трудно.

### 1.2. Предотвращение и уменьшение ущерба

Страхователь должен по возможности предотвращать и уменьшать ущерб и следовать указаниям страховщика. После страхового случая он не вправе до осмотра страховщиком изменять состояние поврежденного имущества способом, затрудняющим установление причины или размера ущерба, за исключением изменений, необходимых для уменьшения ущерба.[^4] При киберинциденте это означает, что изоляция и восстановление систем допустимы и необходимы, однако до перезаписи данных необходимо сохранить журналы, дампы памяти и образы дисков, позволяющие установить вектор проникновения и масштаб ущерба.

## 2. Панельные поставщики услуг

Киберстраховщики обычно предлагают сеть заранее отобранных поставщиков услуг:

- **координатор инцидента или юридический консультант** (*breach coach*), который координирует реагирование и оценивает обязанности по уведомлению;
- **ИТ-форензика** для расследования атаки и сохранения доказательств;
- **служба восстановления** для очистки и восстановления систем;
- **переговорщик по вымогательству** при атаке программы-вымогателя;
- **кризисная коммуникация**;
- **колл-центр и служба уведомлений** для уведомления субъектов данных;
- **бухгалтер по урегулированию убытков** (*forensic accountant*) для расчета ущерба от перерыва в деятельности.

Использование панели может быть условием страховой защиты или влиять на собственную ответственность и цены. Если у предприятия есть свой ИТ-партнер, уже при заключении договора необходимо договориться о том, покрываются ли его расходы и на каких условиях. Для эстонского предприятия важно и то, есть ли у панельного поставщика услуг местные возможности и знание эстонского языка для общения с надзорными органами и клиентами.

### 2.1. Конфиденциальность

Отчет форензики может содержать выводы, неблагоприятные как в надзорном производстве, так и по требованиям третьих лиц (например, известная неустраненная уязвимость). В эстонском праве нет привилегии подготовки к судебному спору по американскому образцу. Экспертиза, заказанная через адвоката, может в определенном объеме подпадать под защиту профессиональной тайны адвоката, но ее пределы спорны. Аналитический вывод: структуру отчета (фактическая часть и выводы отдельно) и круг его распространения необходимо продумать с самого начала.

## 3. Поставщик услуг как источник риска

Значительная часть инцидентов начинается у поставщика услуг: вредоносная программа, распространяющаяся через обновление программного обеспечения, компрометация средства удаленного администрирования, сброс паролей службой поддержки в результате социальной инженерии. В международной практике стало публичным дело, в котором производитель предъявил своему поставщику ИТ-услуг иск примерно на 380 миллионов долларов США, утверждая, что служба поддержки поставщика по просьбе злоумышленника сбрасывала пароли и многофакторную аутентификацию без надлежащей идентификации личности.[^5] Дело иллюстрирует три вопроса:

1. **Ответственность по договору об оказании услуг.** Ограничена ли ответственность поставщика услуг и действительно ли ограничение? Есть ли в договоре требования безопасности и право на аудит?
2. **Взаимодействие страхования.** Киберстрахование предприятия возмещает ущерб предприятия, а страховщик приобретает на основании VÕS § 492 требование к поставщику услуг.[^6] Собственное страхование ответственности поставщика услуг (*technology errors & omissions*) может быть источником регресса.
3. **Ответственность правления.** Выбирало ли правление поставщика услуг и контролировало ли его с прилежанием надлежащего предпринимателя? KüTS обязывает поставщика услуг учитывать и риски цепочки поставок (см. [NIS2](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/nis2-ja-kuberturvalisuse-seadus/)).

## 4. Составление страхового требования

### 4.1. Виды ущерба и доказательства

| Вид ущерба | Доказательства |
|---|---|
| Расходы на реагирование на инцидент | счета, учет рабочего времени, договоры об оказании услуг |
| Восстановление данных и систем | план восстановления, счета, учет времени внутренней работы |
| Перерыв в деятельности | данные о продажах и производстве до и после инцидента, бюджет, сезонность, постоянные расходы |
| Дополнительные расходы | сверхурочные, временные решения, расходы на аренду |
| Требования третьих лиц | требования, переписка, договоры, проекты компромиссов |
| Надзорное производство | процессуальные документы, счета за юридическую помощь |

### 4.2. Расчет перерыва в деятельности

Ущерб от перерыва в деятельности обычно является самой крупной и самой спорной частью требования. Ущерб рассчитывается путем сравнения с тем, что произошло бы без инцидента. Страховщик проверяет, было ли снижение обусловлено инцидентом или иной причиной (рыночная ситуация, сезонность), отложились ли продажи или пропали безвозвратно и уменьшило ли застрахованное лицо ущерб. Расчет должен основываться на данных, а не на оценке, а его допущения необходимо четко описать.

### 4.3. Установление размера ущерба и расходы

Установление размера ущерба является договорной обязанностью страховщика, и страховщик несет связанные с этим расходы.[^7] Государственный суд указал, что расходы на установление размера ущерба являются расходами на исполнение собственного обязательства страховщика, которые он не может взыскать с причинителя вреда через переход требования.[^8] Собственные расходы застрахованного лица на подготовку требования (например, эксперт-бухгалтер) покрываются только в том случае, если это предусмотрено договором (*claims preparation costs*).

### 4.4. Подлежащее взысканию возмещение

Обязанность выплатить страховое возмещение становится подлежащей исполнению, когда страховщик завершил действия, необходимые для установления страхового случая и размера возмещения.[^9] При длительном перерыве в деятельности стоит договориться о промежуточных выплатах.

## 5. Типичные ошибки

1. Страховщика уведомляют лишь тогда, когда размер ущерба ясен.
2. Свой ИТ-партнер начинает восстановление без сохранения доказательств.
3. Со злоумышленником общаются без страховщика и специалиста.
4. Надзорному органу, клиентам и страховщику предоставляется разная информация.
5. Ущерб от перерыва в деятельности представляется в виде оценки без сравнительных данных.
6. Из договора с поставщиком услуг неизвестно, ограничено ли регрессное требование.

## Хронология: первые 72 часа

| Время | Действие | Правовое основание или причина |
|---|---|---|
| 0-2 ч | изоляция систем, сохранение доказательств, назначение координатора инцидента | обязанность предотвращать и уменьшать ущерб |
| 0-4 ч | уведомление страховщика через линию инцидентов, привлечение панельных поставщиков услуг | обязанность по уведомлению; условия страховой защиты |
| 4-24 ч | оценка инцидента со значительным воздействием, первичное уведомление RIA (в сфере действия KüTS) | KüTS § 8 |
| 24-72 ч | оценка нарушения, связанного с персональными данными, и уведомление AKI; уведомление об инциденте RIA | ст. 33 GDPR; KüTS § 8 |
| 24-72 ч | кризисная коммуникация для клиентов и партнеров в соответствии с информацией, предоставленной надзорному органу | ограничение репутационного риска и риска ответственности |
| после 72 ч | восстановление, сбор данных о перерыве в деятельности, подготовка требования | доказывание ущерба |

Хронология обобщена; конкретные сроки зависят от договора и статуса предприятия. Общий план действий для всех случаев ущерба приведен в [руководстве на первые 72 часа](https://kindlustusoigus.ee/ru/juhend-72-tundi/).

## Сотрудничество страховщика и застрахованного лица

Страховщик не является второстепенным участником в управлении инцидентом. Через панельных поставщиков услуг он быстро получает информацию, которая влияет и на его оценку страховой защиты. Для застрахованного лица важно, чтобы общение со страховщиком было задокументировано и чтобы данные страховщиком указания были письменными. Если указание страховщика (например, не платить выкуп или использовать конкретное решение по восстановлению) увеличивает ущерб, письменное указание впоследствии является доказательством того, что застрахованное лицо соблюдало договор.

## Связанные страницы

- [Первые 72 часа после происшествия](https://kindlustusoigus.ee/ru/juhend-72-tundi/)
- [Что покрывает киберстрахование](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/mida-kuberkindlustus-katab/)
- [Атака программы-вымогателя и выкуп](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/lunavara-ja-lunaraha/)
- [Исключения и споры в киберстраховании](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/valistused-ja-vaidlused/)
- [Страховые споры](https://kindlustusoigus.ee/ru/kindlustusvaidlused/)

## Примечания

[^1]: VÕS § 448 ч. 1 (RT I, 20.06.2026, 18; в силе с 01.09.2026). – https://www.riigiteataja.ee/akt/V%C3%95S
[^2]: VÕS § 449 (сноска 1).
[^3]: VÕS § 427 ч. 1 и 3 (сноска 1).
[^4]: VÕS § 488 ч. 1-3 (сноска 1).
[^5]: Вторичный источник: The Register. $380M lawsuit claims intruder got Clorox's passwords from Cognizant simply by asking, 23.07.2025. – https://www.theregister.com/2025/07/23/lawsuit_clorox_vs_cognizant/
[^6]: VÕS § 492 ч. 1 (сноска 1).
[^7]: VÕS § 489 ч. 1 (сноска 1).
[^8]: RKTKm 10.04.2019, 2-17-13363, п. 21-25. – https://rikos.rik.ee/LahendiOtsingEriVaade?asjaNr=2-17-13363
[^9]: VÕS § 450 ч. 1 (сноска 1).