NIS2 и Закон о кибербезопасности: обязанности и страхование

Коротко. Директива NIS2 ((ЕС) 2022/2555) транспонирована в эстонское право изменениями Закона о кибербезопасности (KüTS), вступившими в силу 1 января 2026 года. Закон требует, чтобы поставщик услуг, подпадающий под сферу его действия, назначил члена правления, ответственного за меры безопасности, уведомлял Департамент государственных информационных систем об инциденте со значительным воздействием в течение 24 часов и представлял уведомление об инциденте в течение 72 часов. За нарушение обществу может быть назначен штраф, исчисляемый от оборота. Киберстрахование не заменяет требований закона, однако страховщики используют те же меры безопасности как условие страхуемости. Следовательно, документирование соответствия требованиям является одновременно вопросом надзора, ответственности и страхования.

1. Транспонирование и действующий текст

Изменения Закона о кибербезопасности по NIS2 опубликованы в Riigi Teataja 30 декабря 2025 года и вступили в силу 1 января 2026 года.¹ Действующий полный текст закона опубликован в RT I, 06.10.2026, 2 и вступил в силу 16 октября 2026 года.² Закон использует деление NIS2 на существенные и важные субъекты, которое влияет прежде всего на интенсивность надзора и на максимальный размер штрафов. Подпадает ли конкретное общество под сферу действия закона, зависит от сферы деятельности и размера; такую оценку нельзя сделать на основе общего веб-текста. Для поставщика услуг, ранее подпадавшего под действие закона, предусмотрен трехлетний переходный период для приведения деятельности в соответствие с требованиями; однако обязанность по уведомлению (KüTS § 3¹ ч. 1) он должен исполнить в течение трех месяцев, а для поставщика жизненно важной услуги действует отдельный срок.³

2. Ответственность правления

2.1. Ответственный член правления

Поставщик услуг должен назначить как минимум одного члена правления, который утверждает меры по снижению рисков кибербезопасности, следит за их применением и отвечает за это. Ответственный член правления должен регулярно проходить обучение, чтобы приобрести достаточные знания и навыки для выявления рисков и для оценки практик управления рисками и их воздействия. Если ответственный член правления не назначен, обязанности применяются ко всем членам правления. Обязанность назначить ответственного члена правления не применяется к поставщику услуг, в правлении которого один член; обязанности по утверждению мер, наблюдению за их применением и обучению в таком случае остаются на единственном члене правления.⁴

2.2. Что это означает для гражданской ответственности

KüTS не устанавливает отдельного основания гражданской ответственности члена правления перед обществом. Ответственность члена правления по-прежнему вытекает из ÄS § 187 или § 315 (прилежание надлежащего предпринимателя).⁵ Однако KüTS конкретизирует, что означает прилежание надлежащего предпринимателя в сфере кибербезопасности: утверждение мер, наблюдение за их применением и развитие компетентности самого члена правления. Если обществу на основании KüTS назначается штраф или общество несет ущерб от инцидента и выясняется, что ответственный член правления не исполнял эти обязанности, у общества может возникнуть требование о возмещении ущерба к члену правления. Одного лишь нарушения обязанности по KüTS для обоснования требования недостаточно: необходимо установить нарушение обязанности членом правления, ущерб, возникший у общества, и причинную связь между нарушением и ущербом. Согласно ÄS § 187 ч. 2 член правления освобождается от ответственности, если докажет, что исполнял свои обязанности с прилежанием надлежащего предпринимателя: следовательно, соблюдение прилежания надлежащего предпринимателя доказывает член правления. Вопрос о доказывании ущерба, возникшего у общества, и причинной связи стоит отдельно от этого. Отдельными вопросами являются и то, можно ли вообще рассматривать назначенный обществу публично-правовой штраф как ущерб, подлежащий возмещению членом правления, и покрывается ли такое требование страхованием D&O и в каком объеме. Их необходимо оценивать на основе конкретного случая и условий договора страхования. Поэтому выполнение требований KüTS является и вопросом риска D&O (см. новые риски для правления).

3. Уведомление об инциденте

3.1. Сроки

Поставщик услуг должен представить Департаменту государственных информационных систем первичное уведомление о киберинциденте со значительным воздействием незамедлительно, но не позднее чем в течение 24 часов с момента, когда ему стало известно об инциденте. Не позднее чем в течение 72 часов необходимо представить уведомление об инциденте, уточняющее данные первичного уведомления; поставщик доверительных услуг должен представить его в течение 24 часов. По ходатайству департамента до окончательного отчета необходимо представить промежуточный отчет о ходе разрешения инцидента. Окончательный отчет необходимо представить в течение одного месяца с момента представления уведомления об инциденте; если к этому времени инцидент не разрешен, представленный окончательный отчет рассматривается как промежуточный, а новый окончательный отчет необходимо представить в течение одного месяца с момента разрешения инцидента. Следовательно, срок окончательного отчета не зависит от того, разрешен ли инцидент. Если системой поставщика услуг управляет или размещает ее другое лицо, поставщик услуг отвечает за то, чтобы другое лицо уведомило его об инциденте.⁶

3.2. Инцидент со значительным воздействием

Закон перечисляет обстоятельства, при которых инцидент имеет значительное воздействие, в том числе ситуацию, когда услугу невозможно оказывать в пределах допустимого максимального времени перерыва, когда нарушена услуга другого поставщика услуг или когда возникает значительный ущерб.⁶ Квалификацию инцидента необходимо провести быстро и, как правило, на основе неполной информации. Роль панельного юридического консультанта киберстрахования (breach coach) состоит именно в поддержке этого решения.

3.3. Параллельные уведомления

Один и тот же инцидент может потребовать нескольких уведомлений:

• Департаменту государственных информационных систем на основании KüTS (24 ч / 72 ч);
• Инспекции по защите данных при нарушении, связанном с персональными данными, на основании ст. 33 GDPR (по возможности в течение 72 ч);⁷
• субъектам данных на основании ст. 34 GDPR, если нарушение, вероятно, создает высокий риск для их прав и свобод;⁷
• страховщику (на основании договора и VÕS § 448 незамедлительно);⁸
• полиции путем сообщения о преступлении;
• в финансовом секторе также Финансовой инспекции на основании специального закона.

Содержание уведомлений должно быть согласовано между собой. Неточная или впоследствии измененная информация, предоставленная надзорному органу, может позднее стать доказательством как в надзорном производстве, так и в страховом споре.

4. Санкции

За нарушение мер безопасности и обязанности по уведомлению существенному субъекту, являющемуся юридическим лицом, может быть назначен денежный штраф до 10 миллионов евро или до 2 процентов общемирового годового совокупного оборота за предыдущий хозяйственный год, а важному субъекту до 7 миллионов евро или до 1,4 процента, в зависимости от того, какая сумма больше.⁹ Страхуемость штрафа спорна (см. что покрывает киберстрахование). Расходы на защиту в надзорном производстве в киберстраховании обычно покрываются.

5. Соответствие требованиям и страхование выполняют разные задачи

KüTS возлагает на предприятие обязанность предотвращать риски и управлять ими. Киберстрахование смягчает финансовые последствия реализации риска. Однако эти два аспекта тесно связаны между собой:

1. Условия страхуемости. Страховщики спрашивают в преддоговорной анкете о многофакторной аутентификации, изолированности резервных копий, защите конечных устройств, управлении привилегированными учетными записями и плане реагирования на инциденты. Это те же меры, которых требует и управление рисками по KüTS.
2. Преддоговорная информация. Если ответы на анкету не соответствуют действительности, страховщик может на основании VÕS §§ 440-442 отступить от договора или при обмане аннулировать его.¹⁰ Поэтому анкету следует заполнять вместе с ИТ-руководителем, а ответы документировать.
3. Требования безопасности в договоре. Если договор устанавливает меры безопасности в качестве обязанности страхователя, страховщик согласно VÕS § 452 ч. 2 не может ссылаться на освобождение, если нарушение не было виновным или не повлияло на наступление страхового случая или на объем исполнения страховщиком.¹¹ Требование причинной связи является важнейшей защитой страхователя; в договоре о крупных рисках оно может быть исключено договором.¹²

6. Документирование

В страховом споре предприятие должно быть в состоянии показать, каким был его фактический уровень кибербезопасности до инцидента. Практически это означает:

• актуальный анализ рисков и решение правления о его утверждении;
• описание мер безопасности (технических и организационных), соответствующее, например, стандарту информационной безопасности E-ITS, который ведет Департамент государственных информационных систем (https://eits.ria.ee);
• порядок обработки инцидентов и протоколы учений;
• требования безопасности к поставщикам и поставщикам услуг и контроль их выполнения;
• доказательства обучения члена правления.

Та же документация защищает члена правления и в споре D&O, поскольку согласно ÄS § 187 он должен сам доказывать свое прилежание.⁵

7. Контрольные вопросы

1. Подпадает ли общество под сферу действия KüTS и является ли оно существенным или важным субъектом?
2. Назначен ли ответственный член правления, прошел ли он обучение и задокументировано ли это?
3. Содержит ли план реагирования на инциденты порядок уведомления RIA, AKI, страховщика и полиции и сроки?
4. Соответствуют ли ответы на анкету по киберстрахованию действительности?
5. Покрывает ли договор D&O расходы членов правления в надзорном производстве по KüTS?

Часто задаваемые вопросы

Покрывается ли штраф по KüTS киберстрахованием?

Покрытие штрафа зависит от условий и от страхуемости по применимому праву. В эстонском праве страхуемость административного штрафа спорна. Расходы на юридическую помощь в надзорном производстве обычно покрываются.

Гарантирует ли выполнение требований KüTS страховую защиту?

Нет. Требования закона и требования безопасности договора страхования могут различаться. Страховщик может требовать мер, которые закон к конкретному обществу не применяет (например, многофакторную аутентификацию для всех учетных записей), и наоборот. Оба набора требований необходимо картировать отдельно.

Что происходит, если об инциденте сообщено RIA позднее чем в течение 24 часов?

Запоздалое уведомление является нарушением обязанности по KüTS, за которое может быть назначен штраф. По договору страхования срок уведомления является отдельным вопросом; уведомление страховщика не освобождает от последствий опоздания, и наоборот. Единый порядок соблюдения сроков уведомлений в плане реагирования на инциденты помогает избежать обоих рисков.

Должно ли быть доказано обучение члена правления?

Закон требует регулярного обучения. Поскольку член правления в случае спора должен сам доказывать свое прилежание, содержание, время и участников обучения стоит документировать.

Связанные страницы

• Что покрывает киберстрахование
• Реагирование на инцидент и поставщики услуг
• Новые риски D&O для правления
• GDPR, утечка данных и ответственность
• Первые 72 часа после происшествия

Примечания