Кризисная коммуникация: клиенты, надзор, СМИ, страхование

Коротко. Кризисная коммуникация является не просто вопросом репутации, а правовой и стратегической деятельностью. Неправильная или запоздалая коммуникация может увеличить ущерб, породить дополнительные требования и ухудшить положение предприятия перед надзорным органом и страховщиком. Во всех направлениях действует один и тот же принцип: информация должна быть точной, своевременной и согласованной с правовой стратегией предприятия.¹

1. Клиенты

Клиенты в кризисе часто являются наиболее непосредственно затронутой стороной. Их доверие определяет долгосрочную устойчивость предприятия, а часто и то, перерастет ли кризис в судебный спор.

Центральный вопрос состоит в том, что и когда раскрывать. Слишком ранняя и неточная информация создает путаницу, а промедление ведет к потере доверия и к дополнительным требованиям.

При утечке данных может возникнуть вытекающая из закона обязанность уведомить субъектов данных о характере нарушения, вероятных последствиях и принятых мерах, а также дать указания о дальнейших действиях (общий регламент о защите персональных данных, ст. 34 п. 1–2 и п. 86 преамбулы).

Пример. Предприятие обнаруживает утечку данных клиентов, но решает подождать, пока не станет ясен ее масштаб. За это время клиенты получают информацию из других источников и реагируют негативно. Позднее они утверждают, что предприятие нарушило обязанность по уведомлению и увеличило их ущерб, поскольку они не смогли своевременно заблокировать карты или сменить пароли.

Коммуникация с клиентами должна быть:

• ясной и понятной;
• честной, а не спекулятивной;
• согласованной с правовой оценкой.

Каждый эпизод коммуникации позднее может стать доказательством. Поэтому нужно избегать предположений («атака пришла из России»), преждевременного признания ответственности («это была наша ошибка») и противоречивых сообщений для разных целевых групп.

2. Надзорные органы

Общение с надзорными органами во многих случаях является вытекающей из закона обязанностью, а не добровольным выбором.

• Инспекция по защите данных: ответственный обработчик должен уведомить о нарушении, связанном с персональными данными, без неоправданной задержки и, по возможности, в течение 72 часов после того, как ему стало известно о нарушении, за исключением случая, когда нарушение вряд ли создаст риск для прав и свобод физических лиц; более позднее уведомление нужно обосновать, а уполномоченный обработчик уведомляет ответственного обработчика без неоправданной задержки (общий регламент о защите персональных данных, ст. 33 п. 1).² Уведомление содержит описание нарушения, вид и количество данных, вероятные последствия, а также принятые или запланированные меры.
• Департамент государственных информационных систем: в сфере применения Закона о кибербезопасности при киберинциденте со значительным воздействием (или если такое воздействие можно разумно предполагать) первичное уведомление незамедлительно, но не позднее 24 часов, и уведомление об инциденте в течение 72 часов, по запросу RIA промежуточный отчет, а в течение одного месяца с момента представления уведомления об инциденте итоговый отчет; если к этому времени инцидент не разрешен, отчет считается промежуточным, а новый итоговый отчет представляется в течение одного месяца после разрешения инцидента (KüTS § 8 ч. 4³ и 7).³
• Финансовая инспекция: у предприятий финансового сектора есть собственные обязанности по уведомлению; у страховщиков есть обязанность уведомлять об инцидентах (KindlTS § 105¹).⁴
• Полиция: сообщение о преступлении при мошенничестве и киберпреступлении.

Надзорный орган оценивает, насколько быстро предприятие отреагировало, были ли меры адекватными и исполнило ли правление свои обязанности. Уведомление не является формальностью.

Пример. Предприятие представляет надзорному органу неполную информацию, которая позднее оказывается ложной. Это может повлечь более строгую санкцию, поскольку наряду с нарушением оценивается и качество сотрудничества и коммуникации. За нарушение Закона о кибербезопасности штраф в отношении особо важного субъекта может достигать 10 миллионов евро или 2% мирового годового оборота (KüTS § 18²).³

Общение с надзорным органом влияет и на риск D&O (оценивается деятельность правления), и на страховую защиту (если договор покрывает расходы на регуляторные производства, он может требовать уведомления страховщика до представления ответов). Общение должно быть точным, проверенным, своевременным и согласованным с юристом.

3. СМИ

Коммуникация со СМИ неизбежна, если инцидент затрагивает широкую общественность. СМИ формируют общественное мнение, которое влияет на поведение клиентов, доверие инвесторов и внимание надзорных органов.

Основной риск состоит в потере контроля над нарративом. Если предприятие не общается, информационный вакуум заполняют другие: клиенты, работники, конкуренты или сами атакующие (группировки, использующие программы-вымогатели, часто публикуют утекшие данные на своих сайтах).

Пример. Киберинцидент становится публичным до того, как предприятие готово отреагировать. Освещение носит спекулятивный и негативный характер. Последующая коммуникация не может восстановить доверие.

Хорошая коммуникация со СМИ предполагает:

• единое и ясное сообщение;
• назначенного представителя (другие работники не комментируют);
• сотрудничество со специалистом по PR, знакомым с кризисными ситуациями.

Нужно найти баланс между прозрачностью и правовой защитой. Чрезмерная открытость может привести к раскрытию информации, которая позднее будет использована против предприятия; чрезмерная немногословность вызывает подозрения и углубляет кризис.

4. Коммуникация и страхование

Коммуникация напрямую влияет на страховую защиту.

• Признание ответственности. Договоры страхования ответственности обычно запрещают признавать или удовлетворять требование третьего лица без согласия страховщика. Точное влияние такого условия зависит от договора и закона (соглашение об освобождении страховщика от обязанности исполнения ничтожно, если неудовлетворение или непризнание требования с учетом интересов потерпевшего лица явно противоречило бы принципу добросовестности; VÕS § 515 ч. 2), однако публичное признание вины в любом случае затрудняет как защиту со стороны страховщика, так и положение предприятия. О требовании третьего лица страховщика по страхованию ответственности нужно уведомить в течение одной недели (VÕS § 514 ч. 1).⁵
• Соглашения. Компромисс с третьим лицом, причинившим ущерб, или отказ от требования к причинителю вреда без согласия страховщика может ущемить регрессное требование страховщика и дать ему основание освободиться от обязанности исполнения в той мере, в какой он мог бы получить возмещение (VÕS § 492 ч. 2).⁵
• Покрытие расходов. Киберстрахование часто покрывает расходы на кризисную коммуникацию и услуги PR, если поставщик услуг согласован со страховщиком. Профессиональная коммуникация, таким образом, является и частью страховой защиты.
• Единый нарратив для страховщиков. Противоречивые описания для разных страховщиков или для страховщика и СМИ дают основания для подозрений и споров.

5. Типичные ошибки

• промедление с уведомлением;
• противоречивые сообщения для разных сторон;
• спекулятивная или неточная информация о происхождении и масштабе атаки;
• преждевременное признание ответственности;
• непривлечение юриста или страховщика;
• отсутствие указаний для работников (публикации в социальных сетях).

Эти ошибки могут привести к большему репутационному ущербу, более строгим санкциям и оспариванию страхового требования. Правильно управляемая коммуникация может ограничить ущерб и сохранить доверие.

6. Структура сообщений

Первое публичное сообщение (holding statement) должно быть подготовлено до кризиса и адаптироваться за несколько минут. Его элементы:

1. Что известно: «[дата] мы обнаружили инцидент, затрагивающий [системы/услуги]». Только проверенные факты.
2. Что мы делаем: «Мы изолировали затронутые системы, привлекли внешних экспертов и уведомили соответствующие органы».
3. Что это означает для клиента: какие услуги не работают, что клиенту следует сделать (например, сменить пароль, быть внимательным к фишинговым письмам).
4. Когда мы предоставим новую информацию: конкретное время следующего сообщения.
5. Контакт: один канал для вопросов.

Чего в сообщении быть не должно: предположений об атакующем, утверждений, что «данные не утекли», если это не проверено, признания вины, обещаний возместить ущерб.

7. Работники и внутренняя информация

Работники в кризисе являются одновременно целевой группой коммуникации и риском. Им нужны:

• краткая инструкция о том, что говорить вовне (или указание направлять все вопросы представителю);
• информация о том, как продолжается работа (замещающие процессы, контакты);
• предупреждение о возможных последующих атаках (мошенники используют кризис).

Биржевому предприятию нужно дополнительно оценить, является ли инцидент инсайдерской информацией, подлежащей раскрытию; это решение нужно принимать вместе с юристом.

8. Коммуникация со страховщиком

Страховщик является отдельной целевой группой. Рекомендуется:

• назначить одно контактное лицо, которое общается со всеми страховщиками;
• направлять всем страховщикам одинаковое описание фактов;
• согласовывать со страховщиком публичные сообщения и письма третьим лицам, если этого требует договор или если они могут повлиять на вопрос ответственности;
• документировать все договоренности и указания письменно.

Если специалист страховщика по урегулированию убытков дает устное указание, его стоит подтвердить электронным письмом.

9. Контрольный перечень для кризисной коммуникации

Связанные страницы

• Первые 24–72 часа
• Стратегия страхового требования
• Симуляции
• Киберстрахование

Примечания