# Кризисная коммуникация: клиенты, надзор, СМИ, страхование

Адрес: https://kindlustusoigus.ee/ru/riskijuhtimine/intsident-ja-kriisijuhtimine/kommunikatsioon/
Автор: Олави-Юри Луйк (Olavi-Jüri Luik), PhD, Партнер, руководитель направления страхового права, присяжный адвокат (Advokaadibüroo WIDEN OÜ)
Последнее обновление: 2026-11-12

> Как общаться во время инцидента с клиентами, надзорными органами и СМИ, не ухудшая положение в вопросах ответственности, штрафа и страховой защиты.

> **Коротко.** Кризисная коммуникация является не просто вопросом репутации, а правовой и стратегической деятельностью. Неправильная или запоздалая коммуникация может увеличить ущерб, породить дополнительные требования и ухудшить положение предприятия перед надзорным органом и страховщиком. Во всех направлениях действует один и тот же принцип: информация должна быть точной, своевременной и согласованной с правовой стратегией предприятия.[^1]

## 1. Клиенты

Клиенты в кризисе часто являются наиболее непосредственно затронутой стороной. Их доверие определяет долгосрочную устойчивость предприятия, а часто и то, перерастет ли кризис в судебный спор.

Центральный вопрос состоит в том, **что и когда раскрывать**. Слишком ранняя и неточная информация создает путаницу, а промедление ведет к потере доверия и к дополнительным требованиям.

При утечке данных может возникнуть вытекающая из закона обязанность уведомить субъектов данных о характере нарушения, вероятных последствиях и принятых мерах, а также дать указания о дальнейших действиях ([общий регламент о защите персональных данных, ст. 34 п. 1–2 и п. 86 преамбулы](https://eur-lex.europa.eu/legal-content/ET/TXT/HTML/?uri=CELEX:32016R0679)).

**Пример.** Предприятие обнаруживает утечку данных клиентов, но решает подождать, пока не станет ясен ее масштаб. За это время клиенты получают информацию из других источников и реагируют негативно. Позднее они утверждают, что предприятие нарушило обязанность по уведомлению и увеличило их ущерб, поскольку они не смогли своевременно заблокировать карты или сменить пароли.

Коммуникация с клиентами должна быть:

- ясной и понятной;
- честной, а не спекулятивной;
- согласованной с правовой оценкой.

Каждый эпизод коммуникации позднее может стать доказательством. Поэтому нужно избегать предположений («атака пришла из России»), преждевременного признания ответственности («это была наша ошибка») и противоречивых сообщений для разных целевых групп.

## 2. Надзорные органы

Общение с надзорными органами во многих случаях является вытекающей из закона обязанностью, а не добровольным выбором.

- **Инспекция по защите данных**: ответственный обработчик должен уведомить о нарушении, связанном с персональными данными, без неоправданной задержки и, по возможности, в течение 72 часов после того, как ему стало известно о нарушении, за исключением случая, когда нарушение вряд ли создаст риск для прав и свобод физических лиц; более позднее уведомление нужно обосновать, а уполномоченный обработчик уведомляет ответственного обработчика без неоправданной задержки (общий регламент о защите персональных данных, ст. 33 п. 1).[^2] Уведомление содержит описание нарушения, вид и количество данных, вероятные последствия, а также принятые или запланированные меры.
- **Департамент государственных информационных систем**: в сфере применения Закона о кибербезопасности при киберинциденте со значительным воздействием (или если такое воздействие можно разумно предполагать) первичное уведомление незамедлительно, но не позднее 24 часов, и уведомление об инциденте в течение 72 часов, по запросу RIA промежуточный отчет, а в течение одного месяца с момента представления уведомления об инциденте итоговый отчет; если к этому времени инцидент не разрешен, отчет считается промежуточным, а новый итоговый отчет представляется в течение одного месяца после разрешения инцидента (KüTS § 8 ч. 4³ и 7).[^3]
- **Финансовая инспекция**: у предприятий финансового сектора есть собственные обязанности по уведомлению; у страховщиков есть обязанность уведомлять об инцидентах (KindlTS § 105¹).[^4]
- **Полиция**: сообщение о преступлении при мошенничестве и киберпреступлении.

Надзорный орган оценивает, насколько быстро предприятие отреагировало, были ли меры адекватными и исполнило ли правление свои обязанности. Уведомление не является формальностью.

**Пример.** Предприятие представляет надзорному органу неполную информацию, которая позднее оказывается ложной. Это может повлечь более строгую санкцию, поскольку наряду с нарушением оценивается и качество сотрудничества и коммуникации. За нарушение Закона о кибербезопасности штраф в отношении особо важного субъекта может достигать 10 миллионов евро или 2% мирового годового оборота (KüTS § 18²).[^3]

Общение с надзорным органом влияет и на риск D&O (оценивается деятельность правления), и на страховую защиту (если договор покрывает расходы на регуляторные производства, он может требовать уведомления страховщика до представления ответов). Общение должно быть точным, проверенным, своевременным и согласованным с юристом.

## 3. СМИ

Коммуникация со СМИ неизбежна, если инцидент затрагивает широкую общественность. СМИ формируют общественное мнение, которое влияет на поведение клиентов, доверие инвесторов и внимание надзорных органов.

Основной риск состоит в **потере контроля над нарративом**. Если предприятие не общается, информационный вакуум заполняют другие: клиенты, работники, конкуренты или сами атакующие (группировки, использующие программы-вымогатели, часто публикуют утекшие данные на своих сайтах).

**Пример.** Киберинцидент становится публичным до того, как предприятие готово отреагировать. Освещение носит спекулятивный и негативный характер. Последующая коммуникация не может восстановить доверие.

Хорошая коммуникация со СМИ предполагает:

- единое и ясное сообщение;
- назначенного представителя (другие работники не комментируют);
- сотрудничество со специалистом по PR, знакомым с кризисными ситуациями.

Нужно найти баланс между прозрачностью и правовой защитой. Чрезмерная открытость может привести к раскрытию информации, которая позднее будет использована против предприятия; чрезмерная немногословность вызывает подозрения и углубляет кризис.

## 4. Коммуникация и страхование

Коммуникация напрямую влияет на страховую защиту.

- **Признание ответственности.** Договоры страхования ответственности обычно запрещают признавать или удовлетворять требование третьего лица без согласия страховщика. Точное влияние такого условия зависит от договора и закона (соглашение об освобождении страховщика от обязанности исполнения ничтожно, если неудовлетворение или непризнание требования с учетом интересов потерпевшего лица явно противоречило бы принципу добросовестности; VÕS § 515 ч. 2), однако публичное признание вины в любом случае затрудняет как защиту со стороны страховщика, так и положение предприятия. О требовании третьего лица страховщика по страхованию ответственности нужно уведомить в течение одной недели (VÕS § 514 ч. 1).[^5]
- **Соглашения.** Компромисс с третьим лицом, причинившим ущерб, или отказ от требования к причинителю вреда без согласия страховщика может ущемить регрессное требование страховщика и дать ему основание освободиться от обязанности исполнения в той мере, в какой он мог бы получить возмещение (VÕS § 492 ч. 2).[^5]
- **Покрытие расходов.** Киберстрахование часто покрывает расходы на кризисную коммуникацию и услуги PR, если поставщик услуг согласован со страховщиком. Профессиональная коммуникация, таким образом, является и частью страховой защиты.
- **Единый нарратив для страховщиков.** Противоречивые описания для разных страховщиков или для страховщика и СМИ дают основания для подозрений и споров.

## 5. Типичные ошибки

- промедление с уведомлением;
- противоречивые сообщения для разных сторон;
- спекулятивная или неточная информация о происхождении и масштабе атаки;
- преждевременное признание ответственности;
- непривлечение юриста или страховщика;
- отсутствие указаний для работников (публикации в социальных сетях).

Эти ошибки могут привести к большему репутационному ущербу, более строгим санкциям и оспариванию страхового требования. Правильно управляемая коммуникация может ограничить ущерб и сохранить доверие.

## 6. Структура сообщений

Первое публичное сообщение (*holding statement*) должно быть подготовлено до кризиса и адаптироваться за несколько минут. Его элементы:

1. **Что известно**: «[дата] мы обнаружили инцидент, затрагивающий [системы/услуги]». Только проверенные факты.
2. **Что мы делаем**: «Мы изолировали затронутые системы, привлекли внешних экспертов и уведомили соответствующие органы».
3. **Что это означает для клиента**: какие услуги не работают, что клиенту следует сделать (например, сменить пароль, быть внимательным к фишинговым письмам).
4. **Когда мы предоставим новую информацию**: конкретное время следующего сообщения.
5. **Контакт**: один канал для вопросов.

Чего в сообщении быть не должно: предположений об атакующем, утверждений, что «данные не утекли», если это не проверено, признания вины, обещаний возместить ущерб.

## 7. Работники и внутренняя информация

Работники в кризисе являются одновременно целевой группой коммуникации и риском. Им нужны:

- краткая инструкция о том, что говорить вовне (или указание направлять все вопросы представителю);
- информация о том, как продолжается работа (замещающие процессы, контакты);
- предупреждение о возможных последующих атаках (мошенники используют кризис).

Биржевому предприятию нужно дополнительно оценить, является ли инцидент инсайдерской информацией, подлежащей раскрытию; это решение нужно принимать вместе с юристом.

## 8. Коммуникация со страховщиком

Страховщик является отдельной целевой группой. Рекомендуется:

- назначить одно контактное лицо, которое общается со всеми страховщиками;
- направлять всем страховщикам одинаковое описание фактов;
- согласовывать со страховщиком публичные сообщения и письма третьим лицам, если этого требует договор или если они могут повлиять на вопрос ответственности;
- документировать все договоренности и указания письменно.

Если специалист страховщика по урегулированию убытков дает устное указание, его стоит подтвердить электронным письмом.

## 9. Контрольный перечень для кризисной коммуникации

| Шаг | Вопрос | Ответственный |
|---|---|---|
| 1 | Назначен ли представитель и знают ли другие работники, что они не комментируют? | Правление |
| 2 | Проверено ли первое сообщение юристом? | Коммуникация, юрист |
| 3 | Сделаны ли в срок законные уведомления (AKI, RIA, Финансовая инспекция)? | Юрист |
| 4 | Уведомлены ли клиенты ясно и с указаниями? | Коммуникация |
| 5 | Уведомлен ли страховщик и при необходимости согласованы ли с ним публичные сообщения? | Юрист, финансовый директор |
| 6 | Известно ли время следующего сообщения и соблюдается ли оно? | Коммуникация |
| 7 | Заархивированы ли все исходящие сообщения? | Коммуникация |

## Связанные страницы

- [Первые 24–72 часа](https://kindlustusoigus.ee/ru/riskijuhtimine/intsident-ja-kriisijuhtimine/esimesed-24-72-tundi/)
- [Стратегия страхового требования](https://kindlustusoigus.ee/ru/riskijuhtimine/intsident-ja-kriisijuhtimine/kindlustusnoude-strateegia/)
- [Симуляции](https://kindlustusoigus.ee/ru/riskijuhtimine/simulatsioonid/)
- [Киберстрахование](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/)

## Примечания

[^1]: O.-J. Luik. Ettevõtte juhtkonna riskiraamat [Книга рисков для руководства предприятия]. Рукопись, состояние на 03.05.2026, гл. 33.
[^2]: Регламент (ЕС) 2016/679 Европейского парламента и Совета, ст. 33 п. 1. – ELT L 119, 04.05.2016, с. 1–88. – https://eur-lex.europa.eu/legal-content/ET/TXT/HTML/?uri=CELEX:32016R0679
[^3]: Küberturvalisuse seadus [Закон о кибербезопасности] (KüTS) § 8, § 18² (RT I, 06.10.2026, 2; в силе с 16.10.2026). – https://www.riigiteataja.ee/akt/K%C3%BCTS
[^4]: Kindlustustegevuse seadus [Закон о страховой деятельности] (KindlTS) § 105¹ (RT I, 11.07.2026, 140; в силе с 21.07.2026). – https://www.riigiteataja.ee/akt/KindlTS
[^5]: Võlaõigusseadus [Обязательственно-правовой закон] (VÕS) § 492 ч. 1–2, § 514 ч. 1 (RT I, 20.06.2026, 18; в силе с 01.09.2026). – https://www.riigiteataja.ee/akt/V%C3%95S