# Исключения киберстрахования: война, инфраструктура, безопасность Адрес: https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/valistused-ja-vaidlused/ Автор: Олави-Юри Луйк (Olavi-Jüri Luik), PhD, Партнер, руководитель направления страхового права, присяжный адвокат (Advokaadibüroo WIDEN OÜ) Последнее обновление: 2026-11-11 > Споры в киберстраховании: исключение войны и государственной кибероперации, исключение инфраструктуры, требования безопасности, анкета, косвенный ущерб. > **Коротко.** Споры по киберстрахованию обычно касаются не того, была ли атака, а того, как квалифицировать событие по договору. Основными спорными вопросами являются исключение войны и государственной кибероперации, исключение инфраструктуры, нарушение требований безопасности, ответы на преддоговорную анкету и граница между прямым и косвенным ущербом. В эстонском праве важнейшей защитой страхователя является требование причинной связи: страховщик может ссылаться на нарушение требования безопасности только в том случае, если нарушение было виновным и повлияло на страховой случай. Государственный суд разграничивает исключение и обязанность проявлять прилежание (заботливость и осмотрительность) по содержанию, а не по названию. ## 1. Как толкуются исключения Кибердоговоры являются типовыми условиями. Типовое условие толкуется так, как его понимало бы разумное лицо, сходное с другой стороной; при сомнении условие толкуется в ущерб лицу, его использующему.[^1] Страховщик должен доказать предпосылки применения исключения. Государственный суд подчеркнул, что до проверки действительности типового условия необходимо установить, разграничивает ли условие страховой случай (исключение) или возлагает на страхователя обязанность поведения (обязанность проявлять прилежание). Критерием является то, зависит ли выполнение условия от действий страхователя. Нарушение обязанности проявлять прилежание, как правило, не должно полностью исключать возмещение; страховщик освобождается лишь в той мере, в какой нарушение увеличило вероятность страхового риска и повлияло на страховой случай.[^2] В кибердоговоре это разграничение весьма практично. Условие «ущерб не возмещается, если в системе не было многофакторной аутентификации» по существу является обязанностью проявлять прилежание, хотя оно сформулировано как исключение. ## 2. Исключение войны и государственной кибероперации ### 2.1. Развитие Традиционное исключение военного риска ссылается на войну, военные действия, вторжение и мятеж. В спорах, возникших после вредоносной программы NotPetya (2017), страховщики имущества отказывали в возмещении (в выплате страхового возмещения), ссылаясь на такое исключение. Апелляционный суд штата Нью-Джерси в США в 2023 году указал, что классическое исключение враждебных и военных действий не охватывает кибератаку на коммерческое общество, не связанную с вооруженным конфликтом в его обычном значении.[^3] Рынок отреагировал: Lloyd's Market Association в конце 2021 года опубликовала четыре типовые оговорки об исключении войны и кибероперации для кибердоговоров (LMA 5564-5567)[^4], а Lloyd's требует с 31 марта 2023 года, чтобы самостоятельные кибердоговоры содержали исключение кибератак, поддерживаемых государством, соответствующее минимальным требованиям рыночного органа.[^5] ### 2.2. Структура новых оговорок Новые оговорки различаются между собой, однако обычно содержат следующие элементы: - **исключение войны** (вооруженный конфликт между государствами); - **исключение кибероперации**: операция, совершенная государством или от его имени, целью которой является нарушение работы, уничтожение информационных систем другого государства или манипулирование ими; - **влияние на функционирование государства**: исключение применяется, если операция оказывает существенное вредное воздействие на безопасность государства или на жизненно важные услуги; - **атрибуция**: правило о том, как устанавливается, что операция приписывается государству (например, официальная атрибуция правительством государства или обоснованный вывод страховщика на основе имеющихся доказательств); - **изъятие для стороннего субъекта**: страховая защита сохраняется для застрахованного лица, системы которого находятся за пределами затронутого государства (*bystander*). ### 2.3. Проблемы для эстонского предпринимателя Эстония находится в регионе геополитически повышенного риска. Если оговорка исключает операцию, оказывающую существенное воздействие на «государство», возникает вопрос, влечет ли направленная против Эстонии киберкампания, затрагивающая и частный сектор, отсутствие страховой защиты для всех эстонских застрахованных лиц. Правило атрибуции также важно: если достаточно «разумного вывода» страховщика, бремя доказывания по существу смещается в ущерб застрахованному лицу. Подробнее см. [кибератака как военные действия](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/sojarisk/kuberrunnak-kui-sojategevus/). ## 3. Исключение инфраструктуры Кибердоговоры обычно исключают ущерб, вытекающий из перерыва в электро-, газо-, водоснабжении, интернет- или телекоммуникационных услугах, если он не находится под контролем застрахованного лица. Цель исключения состоит в том, чтобы избежать системного ущерба, затрагивающего одновременно всех застрахованных. Споры возникают, если перерыв вызвал поставщик облачных услуг: является ли он «инфраструктурой» или «поставщиком услуг», перерыв у которого покрывается расширением на зависимый перерыв в деятельности? Ответ зависит от определения. При заключении договора стоит назвать критических поставщиков услуг и выяснить, к какой категории они относятся. ## 4. Физический ущерб и «молчаливый» киберриск Если договор страхования имущества прямо не рассматривает киберриск, ущерб, вытекающий из кибератаки, может оказаться под страховой защитой «по умолчанию» (*silent cyber*). Страховщики уменьшили этот риск с помощью киберисключений и кибероговорок в договорах страхования имущества, ответственности и перерыва в деятельности. В результате возникают два пробела: 1. кибератака причиняет физический ущерб (например, манипулирование системой управления производственным оборудованием), но договор страхования имущества исключает кибератаку, а кибердоговор исключает физический ущерб; 2. кибератака причиняет телесное повреждение (например, медицинское устройство), но договор страхования ответственности исключает кибератаку. Эти пробелы необходимо картировать на уровне страховой программы (см. [страховая программа](https://kindlustusoigus.ee/ru/kindlustusprogramm/)). ## 5. Требования безопасности и преддоговорная информация ### 5.1. Требования безопасности В кибердоговорах нередко содержатся требования к многофакторной аутентификации, изолированности резервных копий, установке обновлений программного обеспечения и защите конечных устройств. Согласно VÕS § 452 ч. 2 страховщик не может ссылаться на соглашение, согласно которому он освобождается при нарушении обязанности, подлежащей исполнению до страхового случая, если нарушение не было виновным со стороны страхователя или не повлияло на наступление страхового случая или на объем исполнения страховщиком.[^6] Положение является полуимперативным.[^7] В договоре о крупных рисках эта защита может быть исключена договором.[^7] Оценка причинной связи требует технического анализа. Если злоумышленник проник с украденным паролем в учетную запись, у которой не было многофакторной аутентификации, связь, вероятно, имеется. Если злоумышленник использовал уязвимость нулевого дня, которую многофакторная аутентификация не предотвратила бы, связи нет. Следовательно, отчет форензики является главным доказательством и в страховом споре. ### 5.2. Преддоговорная анкета Страхователь при заключении договора должен сообщить все известные ему обстоятельства, имеющие существенное значение для решения о принятии страхового риска, и ответить на вопросы страховщика. При нарушении обязанности страховщик может отступить от договора в течение одного месяца с момента, когда ему стало известно о нарушении; после страхового случая страховщик не освобождается, если несообщенное обстоятельство не повлияло на наступление страхового случая и на объем исполнения. При обмане страховщик может аннулировать договор.[^8] Ответы на анкету по кибердоговору («есть ли многофакторная аутентификация на всех точках удаленного доступа?») нередко обобщены. Если ответ «да» не соответствовал действительности в отношении одной системы, через которую произошла атака, спор возникает легко. ## 6. Прямой и косвенный ущерб Защита первой стороны в кибердоговоре охватывает перерыв в деятельности, но обычно исключает будущую прибыль после окончания периода возмещения, клиентов, утраченных из-за репутационного ущерба, и снижение стоимости интеллектуальной собственности. Споры возникают о том, является ли прекращение клиентом договора из-за инцидента частью перерыва в деятельности или исключенным репутационным ущербом. Разграничение ущерба зависит от общего принципа страхования от убытков, согласно которому возмещается ущерб, находящийся в причинной связи со страховым случаем, а упущенная выгода охватывается только при отдельном соглашении.[^9] ## 7. Умысел и деяние работника Страховщик освобождается, если страхователь умышленно вызвал страховой случай.[^10] Причиной киберинцидента обычно является третье лицо. Исключение составляет умышленное деяние работника (*rogue employee*). Если работник является застрахованным лицом или приравнивается к нему, страховщик может утверждать, что его умысел следует вменить страхователю.[^11] Рекомендация автора по выбору продукта: хороший кибердоговор покрывает ущерб, вытекающий из умышленного деяния работника, и ограничивает исключение случаями, когда деяние совершил член правления, собственник или иное названное в полисе руководящее лицо. Это не правило, вытекающее из закона: вменяется ли страхователю осведомленность и поведение и чьи именно, зависит от VÕS § 465, TsÜS § 132 и условий полиса и не всегда ограничивается членом правления или собственником. Денежный ущерб от мошенничества работника относится к страхованию crime (см. [мошенничество работника](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/crime-kindlustus/tootaja-pettus/)). ## 8. Иные исключения, которые следует проверить - известные обстоятельства и прежние инциденты; - известные, но неустраненные уязвимости (например, если исправление было доступно дольше определенного числа дней); - договорная ответственность и договорные неустойки; - конфискация и действия правительства; - изменение стоимости криптовалюты; - телесное повреждение и ущерб имуществу; - улучшение систем. ## Как застрахованное лицо может предотвратить спор 1. Заполните преддоговорную анкету вместе с ИТ-руководителем и задокументируйте, в отношении каких систем даются ответы. 2. Если какая-либо мера безопасности применена не во всех системах, четко укажите это в анкете; лучше согласовать исключение, чем спорить потом. 3. Храните доказательства применения мер безопасности (конфигурации, аудиторские отчеты, журналы устранения уязвимостей). 4. Согласуйте содержание военной оговорки и исключения инфраструктуры до заключения договора, а не после инцидента. 5. При инциденте попросите четко описать в отчете форензики вектор проникновения и то, предотвратила ли бы конкретная мера безопасности атаку; это главное доказательство в споре о причинной связи. ## Связанные страницы - [Что покрывает киберстрахование](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/mida-kuberkindlustus-katab/) - [Кибератака как военные действия](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/sojarisk/kuberrunnak-kui-sojategevus/) - [Исключения военного риска и оговорки LMA](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/sojarisk/sojariski-valistused-ja-lma-klauslid/) - [Дела по киберстрахованию](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/kaasused/) - [Основания отказа](https://kindlustusoigus.ee/ru/keeldumise-alused/) ## Примечания [^1]: VÕS § 39 (RT I, 20.06.2026, 18; в силе с 01.09.2026). – https://www.riigiteataja.ee/akt/V%C3%95S [^2]: RKTKo 28.06.2024, 2-22-2313/65, п. 12-17. – https://rikos.rik.ee/LahendiOtsingEriVaade?asjaNr=2-22-2313/65 [^3]: Merck & Co. v. ACE American Insurance Co., New Jersey Superior Court, Appellate Division, 01.05.2023. Вторичный источник: Simpson Thacher & Bartlett. New Jersey Appellate Court Affirms That War Exclusion Does Not Bar Coverage for Malware Claims. – Insurance Law Alert, 31.05.2023. – https://www.stblaw.com/about-us/publications/view/2023/05/31/new-jersey-appellate-court-affirms-that-war-exclusion-does-not-bar-coverage-for-malware-claims-%28insurance-law-alert%29 [^4]: Вторичный источник: Bradley Arant Boult Cummings. Four New Cyber War Exclusions from Lloyd's Market Association, 01.2022. – https://www.bradley.com/insights/publications/2022/01/four-new-cyber-war-exclusions-from-lloyds-market-association [^5]: Lloyd's. Market Bulletin Y5381: State backed cyber-attack exclusions, 17.08.2022. – https://assets.lloyds.com/media/e9a4058c-4c25-48d6-99d3-0c466987e099/Y5381%20Market%20Bulletin%20-%20Cyber-attack%20exclusions.pdf [^6]: VÕS § 452 ч. 2 п. 1 и 2 (сноска 1). [^7]: VÕS § 427 ч. 1 и 3 (сноска 1). [^8]: VÕS §§ 440-442 (сноска 1). [^9]: VÕS § 476 ч. 1 и 4 (сноска 1). [^10]: VÕS § 452 ч. 1 (сноска 1). [^11]: VÕS § 465 ч. 1 (сноска 1).