# Ландшафт рисков: кибер, мошенничество и ответственность правления

Адрес: https://kindlustusoigus.ee/ru/riskijuhtimine/kaasaegne-riskimaastik/
Автор: Олави-Юри Луйк (Olavi-Jüri Luik), PhD, Партнер, руководитель направления страхового права, присяжный адвокат (Advokaadibüroo WIDEN OÜ)
Последнее обновление: 2026-11-11

> Почему страхования имущества и ответственности уже недостаточно: цифровая зависимость, социальная инженерия, NIS2 и ответственность правления.

> **Коротко.** За десять лет картина рисков предприятия изменилась принципиально. Ущерб уже не является преимущественно физическим: он состоит в недоступности данных, платежах на неверный счет и последующих требованиях. Один инцидент может одновременно привести в действие киберриск, риск crime и риск D&O. Классическое страхование имущества и ответственности не рассчитано на такую ситуацию, а страховая программа, составленная из отдельно купленных договоров, часто оставляет непокрытой именно самую дорогую часть ущерба.[^1]

## 1. Почему традиционного страхования уже недостаточно

Страхование имущества и ответственности сложилось в то время, когда риски были разграничены четче. Страхование имущества было сосредоточено на гибели или повреждении вещи (пожар, ущерб от воды, кража), а страхование ответственности на классических случаях ответственности, например причинении вреда здоровью третьего лица или ущерба его имуществу. Описание страхового случая и связанные с ним исключения отражают эту логику до сих пор.

Типичный сегодняшний ущерб выглядит иначе.

- **Ущерб не является физическим.** Удаление данных, шифрование систем или утрата доступа могут не квалифицироваться как «гибель или повреждение вещи» в смысле страхования имущества. В международной судебной практике этот вопрос решался то в пользу страхователя, то в пользу страховщика; результат каждый раз определяла формулировка договора (см. [дела по киберстрахованию](https://kindlustusoigus.ee/ru/riskijuhtimine/kaasused/kuberkindlustuse-kaasused/)).
- **Мошенничество не является технической неисправностью.** Если работник сам вводит платежное поручение, потому что его убедили, что банковский счет поставщика изменился, сам платеж не является «взломом» платежной системы предприятия, даже если схема началась с компрометации учетной записи электронной почты. От формулировки страховой защиты от компьютерного мошенничества зависит, покрывается ли такой ущерб.
- **Ущерб многослоен.** Из одного события могут возникнуть перерыв в деятельности, договорные требования, надзорное производство, штраф и репутационный ущерб. Каждый слой может подпадать под другой договор страхования или остаться непокрытым.
- **Риск движется по цепочке поставок.** Атака на поставщика ИТ-услуг может причинить ущерб клиенту, который не был целью атаки и собственные системы которого были в порядке.

На практике это означает четыре простые истины: страхование имущества, как правило, не покрывает киберущерб, общее страхование ответственности, как правило, не покрывает утечку данных, страхование crime не покрывает автоматически все схемы социальной инженерии (*social engineering*), а страхование D&O не покрывает собственный технический или прямой денежный ущерб предприятия. Если страховая программа не выстроена сознательно, ущерб остается непокрытым не потому, что страхования не было, а потому, что оно было неправильно структурировано.

Эстонское право договора страхования предоставляет страхователю существенную защиту: закон исходит из того, что страховщик несет расходы, вытекающие из страхового случая, а ограничения страховой защиты должны быть ясными.[^2] Государственный суд неоднократно подчеркивал, что скрытое в типовом условии ограничение может не стать частью договора и что неясное типовое условие толкуется против его составителя.[^3] Эта защита помогает в споре, но не заменяет наличия страховой защиты: если сам страховой случай определен узко и ясно, толкование не создает страховой защиты, которой в договоре нет.

## 2. Цифровизация и зависимость от ИТ

Почти все основные функции предприятия (бухгалтерия, расчеты, коммуникация с клиентами, управление цепочкой поставок, планирование производства) работают в цифровой среде. Даже кратковременный простой может означать значительный перерыв в деятельности. Кроме того, предприятие зависит не только от собственных систем, но и от поставщиков облачных услуг, программных платформ и поставщиков управляемых ИТ-услуг. Таким образом, риск может реализоваться вне непосредственного контроля предприятия.

С точки зрения страхования здесь важны два вывода.

Во-первых, классическое **страхование от перерыва в деятельности** в большинстве случаев связано с физическим ущербом имуществу: перерыв должен вытекать из гибели или повреждения застрахованного имущества. Простой ИТ-системы без физического ущерба остается вне такой страховой защиты, если договор не предусматривает иного. По эстонскому праву упущенная выгода в страховании от убытков возмещается только по отдельному соглашению (VÕS § 476 ч. 4), поэтому страховую защиту от перерыва в деятельности всегда нужно четко согласовывать.[^4]

Во-вторых, **перерыв в цепочке поставок** (*contingent business interruption*) является самостоятельной страховой защитой, о которой нужно договариваться отдельно: покрываются ли только названные поставщики услуг или все поставщики ИТ-услуг, покрываются ли облачные услуги и каков период ожидания (*waiting period*) до начала действия страховой защиты.

## 3. Эволюция мошенничества: социальная инженерия и мошенничество со счетами

Мошенничество сместилось от технических атак к манипулированию поведением людей. Две наиболее распространенные схемы следующие.

- **Мошенничество со счетами** (*invoice fraud*, *payment diversion*): злоумышленник следит за перепиской предприятия или поставщика и в нужный момент присылает сообщение об изменении банковского счета. Департамент государственных информационных систем описывает схему именно так: поддельный счет отличается от настоящего главным образом данными банковского счета, а преступники часто предварительно взламывают электронную почту партнера или предприятия.[^5]
- **Мошенничество от имени руководителя** (*CEO fraud*, *fake president*): финансовому работнику от имени руководителя направляется срочное и конфиденциальное распоряжение сделать перевод для «стратегической сделки».

В конце обеих схем платежное поручение вводит и подтверждает собственный работник предприятия. Это не означает, что в систему не проникают: мошенничество со счетами часто начинается с компрометации учетной записи электронной почты предприятия или партнера, как отмечает и RIA, и заканчивается лишь авторизованным платежом. Именно поэтому в страховании возникают споры. Страховщик по киберстрахованию может утверждать, что речь шла не об атаке на систему, а о человеческой ошибке; страховщик по страхованию crime может утверждать, что речь шла не о «прямом» ущербе или что ущерб возник не от использования компьютера, а от решения работника. Судебная практика США и Канады по этому вопросу расходится (см. [судебные дела по страхованию crime](https://kindlustusoigus.ee/ru/riskijuhtimine/kaasused/crime-kohtukaasused/)). С точки зрения уголовного права такие деяния являются мошенничеством или компьютерным мошенничеством (KarS § 209, § 213), однако страховой случай определяется договором страхования, а не уголовно-правовой квалификацией.[^6]

## 4. Рост управленческих рисков: NIS2, защита персональных данных и инвесторы

Регуляторная среда сделала кибербезопасность и управление рисками вопросом правления.

**Закон о кибербезопасности.** Директива NIS2 транспонирована в Эстонии изменениями Закона о кибербезопасности, вступившими в силу 01.01.2026.[^7] Субъект, подпадающий под действие закона, должен назначить члена правления, ответственного за кибербезопасность, который проходит соответствующее обучение; если этого не сделано, ответственность несут все члены правления (KüTS § 6¹). Об инциденте со значительным воздействием Департаменту государственных информационных систем нужно представить первичное уведомление не позднее чем через 24 часа, а уведомление об инциденте не позднее чем через 72 часа (KüTS § 8). За нарушение со стороны особо важного субъекта штраф может достигать 10 миллионов евро или 2% мирового годового оборота, а для важного субъекта 7 миллионов евро или 1,4% (KüTS § 18², § 18³).[^8]

**Защита персональных данных.** О нарушении, связанном с персональными данными, нужно уведомить Инспекцию по защите данных без неоправданной задержки и по возможности в течение 72 часов, за исключением случая, когда нарушение вряд ли создает угрозу правам и свободам физических лиц (ст. 33 п. 1 общего регламента о защите данных); обработчик уведомляет контролера без неоправданной задержки (ст. 33 п. 2).[^9]

**Право обществ.** Член правления должен исполнять обязанности с прилежанием надлежащего предпринимателя и отвечает за ущерб, причиненный нарушением обязанностей; чтобы освободиться от ответственности, он должен доказать, что действовал с прилежанием (ÄS § 187, § 315).[^10] При оценке задним числом вопрос состоит в том, был ли риск предвидимым и приняло ли правление разумные меры. Недостатки кибербезопасности рассматриваются уже не просто как техническая проблема, а как возможное нарушение обязанности проявлять прилежание (заботливость и осмотрительность).

**Инвесторы и кредиторы.** Если предприятие раскрывало информацию о своих рисках, после инцидента инвесторы могут утверждать, что информация была неполной или вводящей в заблуждение. В международной практике за утечкой данных неоднократно следовали иски по ценным бумагам и производные иски против руководителей (см. [дела по D&O](https://kindlustusoigus.ee/ru/riskijuhtimine/kaasused/dno-kaasused/)).

## 5. Цепочка рисков: как одно событие движется между тремя видами страхования

Типичная цепочка событий может быть следующей:

1. злоумышленник захватывает учетную запись электронной почты финансового работника (киберриск);
2. через эту учетную запись партнеру или собственной бухгалтерии предприятия направляется поддельное платежное поручение, и деньги переводятся на счет злоумышленника (риск crime);
3. в ходе расследования выясняется, что из учетной записи утекли и данные клиентов; нужно уведомить надзорный орган и клиентов (киберриск, регуляторный риск);
4. клиенты и партнеры предъявляют требования, деятельность предприятия нарушена (риск ответственности и перерыва в деятельности);
5. участники или акционеры, а позднее, возможно, управляющий в деле о банкротстве спрашивают, почему не было многофакторной аутентификации и контроля платежей (риск D&O).

В такой ситуации одновременно могут применяться киберстрахование (форензика, восстановление, уведомление, ответственность за утечку данных), страхование crime (мошенническое платежное поручение) и страхование D&O (требование к руководителям). Одновременно возникают вопросы, составляющие суть страховых споров: какой договор покрывает какую часть ущерба, был ли ущерб прямым или косвенным, прерывает ли действие работника причинную связь, исполнило ли правление обязанность проявлять прилежание и приводит ли возможная государственная подоплека атаки в действие исключение военного риска (см. [военный риск](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/sojarisk/)).

Взаимосвязь трех видов страхования подробно описана на странице [взаимодействие киберстрахования, страхования crime и D&O](https://kindlustusoigus.ee/ru/riskijuhtimine/kuber-crime-dno-koostoime/), а цепочку иллюстрируют [сценарии на основе практики](https://kindlustusoigus.ee/ru/riskijuhtimine/stsenaariumid/).

## 6. Многослойный ущерб и три вопроса правлению

Многослойный ущерб полезно продумать через три измерения информационной безопасности, поскольку это делает технический риск понятным для правления и помогает позднее распределить ущерб по видам страхования:

- **доступность**: доступны ли системы и данные в нужное время (программа-вымогатель, отказ в обслуживании, простой облачной услуги; главным образом киберстрахование и перерыв в деятельности);
- **целостность**: являются ли данные и платежные поручения правильными и неизмененными (мошеннический платеж, поддельный счет, манипулирование главной книгой; главным образом страхование crime);
- **конфиденциальность**: имеют ли доступ к данным только уполномоченные лица (утечка данных, кража данных инсайдером; киберстрахование и ответственность перед третьими лицами).

За всеми тремя измерениями стоит вопрос о том, было ли управление организовано с должным прилежанием. Это слой D&O, который часто активируется лишь спустя месяцы или годы.

## 7. Что это означает для предприятия

1. **При покупке страхования нужно смотреть по сценариям, а не по видам договоров.** По каждому существенному сценарию нужно спросить, какой договор его покрывает, с каким лимитом и сублимитом и какие исключения могут применяться.
2. **Управление рисками и страхование являются одной системой.** Страховщики все больше оценивают фактический уровень безопасности и внутренний контроль предприятия. Если представленная в заявлении информация не соответствует действительности, страховщик на установленных законом условиях может отступить от договора (VÕS § 441, § 442).[^11]
3. **Документирование является защитой.** Обоснования решений правления, анализов рисков и выбора страхования впоследствии являются главным доказательством того, что правление действовало с прилежанием.
4. **Готовность к кризису является частью страховой защиты.** Своевременное уведомление, уменьшение ущерба и сохранение доказательств являются обязанностями, вытекающими из закона и договора (VÕS § 448, § 488).[^12]

## Связанные страницы

- [Выявление и оценка потребности в страховании](https://kindlustusoigus.ee/ru/riskijuhtimine/kindlustusvajaduse-kaardistamine/)
- [Интегрированная страховая программа](https://kindlustusoigus.ee/ru/riskijuhtimine/integreeritud-kindlustusprogramm/)
- [Взаимодействие киберстрахования, страхования crime и D&O](https://kindlustusoigus.ee/ru/riskijuhtimine/kuber-crime-dno-koostoime/)
- [Киберстрахование](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/)
- [Страхование crime](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/crime-kindlustus/)
- [Страхование D&O](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/do-kindlustus/)

## Примечания

[^1]: O.-J. Luik. Ettevõtte juhtkonna riskiraamat [Книга рисков для руководства предприятия]. Рукопись, состояние на 03.05.2026, гл. 1–2.
[^2]: RKTKo 06.02.2013, 3-2-1-178-12, п. 16–18. – https://www.riigikohus.ee/et/lahendid?asjaNr=3-2-1-178-12
[^3]: Võlaõigusseadus [Обязательственно-правовой закон] (VÕS) § 37 ч. 3, § 39 (RT I, 20.06.2026, 18; в силе с 01.09.2026). – https://www.riigiteataja.ee/akt/V%C3%95S; RKTKo 11.06.2007, 3-2-1-64-07, п. 9–13. – https://www.riigikohus.ee/et/lahendid?asjaNr=3-2-1-64-07
[^4]: VÕS § 476 ч. 4 (сноска 3).
[^5]: Riigi Infosüsteemi Amet [Департамент государственных информационных систем]. Arvepettused [Мошенничество со счетами]. – https://www.itvaatlik.ee/levinud-pettused/ettevotete-vastased-pettused/arvepettused/
[^6]: Karistusseadustik [Пенитенциарный кодекс] (KarS) § 209, § 213 (RT I, 09.07.2026, 28; в силе с 01.10.2026). – https://www.riigiteataja.ee/akt/KarS
[^7]: Küberturvalisuse seadus [Закон о кибербезопасности] (KüTS) (RT I, 06.10.2026, 2; в силе с 16.10.2026); изменения по транспонированию NIS2: RT I, 30.12.2025, 4 (в силе с 01.01.2026). – https://www.riigiteataja.ee/akt/K%C3%BCTS
[^8]: KüTS § 6¹ ч. 1–4, § 8 ч. 1, 4¹–4², § 18², § 18³ (сноска 7).
[^9]: Регламент (ЕС) 2016/679 Европейского парламента и Совета, ст. 33 п. 1. – ELT L 119, 04.05.2016, с. 1–88. – https://eur-lex.europa.eu/legal-content/ET/TXT/HTML/?uri=CELEX:32016R0679
[^10]: Äriseadustik [Коммерческий кодекс] (ÄS) § 187, § 315 (RT I, 06.07.2023, 131; в силе с 01.03.2024). – https://www.riigiteataja.ee/akt/%C3%84S
[^11]: VÕS §§ 440–442 (сноска 3).
[^12]: VÕS § 448 ч. 1–2, § 488 ч. 1–3 (сноска 3).