Что покрывает киберстрахование: свой ущерб и ответственность

Коротко. Киберстрахование является сводным продуктом, объединяющим страхование имущества (данные и системы), страхование финансовых убытков (перерыв в деятельности, дополнительные расходы) и страхование ответственности (требования третьих лиц и надзорные производства). В отличие от классического страхования имущества оно не предполагает физического повреждения вещи. Каждый компонент страховой защиты представляет собой отдельное описание страхового случая со своим сублимитом, периодом ожидания и собственной ответственностью. Киберстрахование обычно не покрывает в полном объеме деньги, утраченные в результате мошенничества; это сфера страхования crime.

1. Место киберстрахования в системе видов страхования

В классификации Закона о страховой деятельности киберстрахование распределяется между несколькими видами страхования от убытков: иное страхование имущества, страхование гражданской ответственности и страхование финансовых убытков.¹ Значение классификации не только надзорное. Согласно VÕS § 427 ч. 3 в договоре о крупных рисках можно отступать от полуимперативных положений, предусмотренных для защиты страхователя, если страхователь отвечает как минимум двум из трех критериев размера (общая сумма баланса свыше 6,6 миллиона евро, чистый оборот свыше 13,6 миллиона евро, среднее число работников за хозяйственный год не менее 250).² Поэтому правовая защита страхователя по одному и тому же кибердоговору зависит от размера общества.

Особенность киберстрахования состоит в том, что ущерб не является физическим. Шифрование, удаление данных или недоступность системы не являются гибелью или повреждением вещи в смысле классического страхования имущества. Киберстрахование определяет ущерб само: «информационные активы», «компьютерная система», «киберинцидент», «нарушение безопасности» и «сбой системы» являются определенными в договоре понятиями, содержание которых определяет объем страховой защиты.

2. Собственный ущерб предприятия (first-party)

2.1. Расходы на реагирование на инцидент

Первые часы после инцидента определяют размер ущерба. Киберстрахование обычно покрывает:

• расходы на ИТ-форензику и анализ инцидента (установление масштаба атаки, вектора проникновения и затронутых систем);
• расходы на юридическое консультирование (breach coach) при оценке обязанностей по уведомлению и ответственности;
• расходы на кризисную коммуникацию и связи с общественностью;
• расходы на уведомление третьих лиц и на колл-центр;
• расходы на услугу кредитного мониторинга или защиты идентичности для субъектов данных.

Нередко эти расходы покрываются без собственной ответственности или с низкой собственной ответственностью, если застрахованное лицо использует панельных поставщиков услуг страховщика (см. реагирование на инцидент и поставщики услуг).

2.2. Восстановление данных и систем

Страховая защита охватывает восстановление данных из резервных копий, повторную установку программного обеспечения, реконструкцию данных, а в некоторых случаях и замену оборудования, если оно стало непригодным в результате атаки (bricking). Многие условия не покрывают улучшение системы (betterment): если при восстановлении устанавливается более новая и безопасная система, возмещаются лишь расходы на восстановление положения, равноценного прежнему.

2.3. Перерыв в деятельности

Согласно VÕS § 476 ч. 4 страхование от убытков охватывает упущенную выгоду только в том случае, если об этом согласовано отдельно.³ В кибердоговоре такое соглашение есть, однако его содержание необходимо читать точно:

• период ожидания (waiting period), обычно от 8 до 24 часов, ущерб, возникший в течение которого, не возмещается;
• период возмещения (indemnity period), ущерб, возникший в течение которого, возмещается;
• основа расчета ущерба: неполученная чистая прибыль плюс продолжающиеся постоянные расходы или иная методика;
• дополнительные расходы (increased cost of working) на продолжение деятельности (сверхурочные, временные системы, ручная работа).

В качестве расширения покрывается и перерыв, возникший из-за остановки системы поставщика услуг (dependent business interruption), нередко с сублимитом и при условии, что поставщик услуг назван в договоре или отвечает определенным признакам. Сбой системы, не вызванный атакой (system failure), покрывается только в том случае, если об этом согласовано отдельно.

2.4. Кибервымогательство

Защита от вымогательства охватывает расходы на переговоры и посредничество, а при определенных условиях и выкуп. Правовые пределы уплаты выкупа рассмотрены на отдельной странице: атака программы-вымогателя и выкуп.

2.5. Утрата денежных средств

Некоторые кибердоговоры содержат расширение с ограниченным сублимитом на ущерб от мошеннических платежей (funds transfer fraud, social engineering) или от телекоммуникационного мошенничества (telephone hacking). Если основным риском предприятия является платежное мошенничество, это расширение не заменяет страхование crime (см. взаимодействие с киберстрахованием).

3. Требования третьих лиц (third-party)

3.1. Ответственность за утечку данных и нарушение безопасности

Если данные утекают или вредоносная программа распространяется через систему в системы партнеров, требования могут предъявить субъекты данных, клиенты, контрагенты и компании платежных карт. Как страхование ответственности киберстрахование покрывает как возмещение, так и расходы на юридическую помощь.⁴ Требования могут быть договорными (нарушение доступности или конфиденциальности услуги) или внедоговорными (возмещение материального или нематериального ущерба на основании ст. 82 GDPR).⁵

Следует обратить внимание на исключение договорной ответственности: многие условия покрывают договорную ответственность лишь в том объеме, в каком она существовала бы и без договора. Если предприятие приняло на себя по договору договорную неустойку или расширенную обязанность по возмещению, это может не покрываться.

3.2. Ответственность за медиаконтент

Расширение покрывает требования, вытекающие из контента, опубликованного на веб-сайте или в социальных сетях (нарушение авторского права, клевета, нарушение неприкосновенности частной жизни), при условии, что контент связан с деятельностью застрахованного лица.

3.3. Требования индустрии платежных карт

Если предприятие обрабатывает данные платежных карт, карточные организации могут требовать договорные неустойки и расходы на оценку за нарушение требований безопасности (PCI DSS). Они обычно покрываются в пределах отдельного сублимита.

4. Регуляторные производства

Киберстрахование обычно покрывает расходы на надзорное производство (юридическая помощь, представительство перед Инспекцией по защите данных или Департаментом государственных информационных систем), а по некоторым условиям и штрафы, если они страхуемы по применимому праву. Ответственный обработчик должен уведомить надзорный орган о нарушении, связанном с персональными данными, без неоправданной задержки и по возможности в течение 72 часов после того, как ему стало известно о нарушении, за исключением случая, когда нарушение, вероятно, не создает риска для прав и свобод физических лиц.⁶ Поставщики услуг, подпадающие под сферу действия Закона о кибербезопасности, должны представить Департаменту государственных информационных систем первичное уведомление об инциденте со значительным воздействием не позднее чем в течение 24 часов.⁷ См. NIS2 и Закон о кибербезопасности.

Страхуемость штрафов в Эстонии спорна. Застрахованному лицу не следует предполагать, что административный штраф или штраф по GDPR покрыт, даже если условие допускает это в пределах применимого права (см. что покрывает страхование D&O).

5. Что киберстрахование обычно не покрывает

• физическое повреждение вещи и телесное повреждение (они относятся к страхованию имущества и ответственности);
• общий сбой инфраструктуры (электричество, интернет, телекоммуникации);
• военные действия и поддерживаемые государством кибероперации при определенных условиях (см. исключения и споры);
• известные уязвимости, не устраненные в течение требуемого договором времени (часть условий);
• уменьшение стоимости интеллектуальной собственности и будущую упущенную выгоду после окончания периода возмещения;
• улучшение систем.

6. Как читать структуру кибердоговора

Кибердоговор представляет собой документ, состоящий из модулей. Каждый модуль содержит описание страхового случая, сублимит и собственную ответственность, к которым добавляются общие определения и исключения. Застрахованному лицу следует составить таблицу, в которую внесены лимит, собственная ответственность и период ожидания каждого модуля, и сравнить ее со своими наиболее вероятными сценариями: атака программы-вымогателя, утечка данных, перерыв у поставщика услуг и мошеннический платеж.

Часто задаваемые вопросы

Является ли киберстрахование в Эстонии обязательным?

Нет. Закон о кибербезопасности обязывает определенных поставщиков услуг применять меры безопасности и уведомлять об инцидентах, но не требует страхования. Потребность в страховании вытекает из риска предприятия, требований контрагентов и решения правления.

Нужно ли небольшому предприятию киберстрахование?

У небольшого предприятия обычно меньше ресурсов для урегулирования инцидента. Услуги первой стороны в киберстраховании (форензика, юридическая помощь, восстановление) могут быть для небольшого предприятия ценнее, чем для крупного, у которого есть своя команда. Важно, чтобы сублимиты и периоды ожидания договора соответствовали фактической деятельности предприятия.

Как киберстрахование соотносится с ответственностью поставщика ИТ-услуг?

Ответственность поставщика услуг ограничена договором и зависит от доказывания нарушения. Киберстрахование возмещает ущерб застрахованного лица без доказывания нарушения, а страховщик впоследствии может предъявить регрессное требование к поставщику услуг.

Покрывает ли киберстрахование ошибку работника?

Большинство договоров покрывают и инциденты, вызванные халатностью работника (например, открытие фишингового письма). Умышленное деяние работника может регулироваться отдельно.

Связанные страницы

• Киберстрахование (обзор)
• NIS2 и Закон о кибербезопасности
• GDPR, утечка данных и ответственность
• Исключения и споры в киберстраховании
• Страхование crime (обзор)

Примечания