Инциденты в странах Балтии и ответственность руководства

Коротко. В странах Балтии происходили как масштабные кибератаки, так и случаи ответственности руководства, которые иллюстрируют риски местного предпринимателя. На этой странице мы приводим только публично известные нейтральные факты вместе с источником. Мы не знаем и не предполагаем, был ли у названных организаций договор страхования, что он покрывал и возместил ли страховщик ущерб, и не оцениваем чьи-либо действия. После каждого случая приведено общее описание вопросов страхового права, которые подобное событие подняло бы на любом предприятии.¹

A. Киберинциденты

1. Кибератаки на Эстонию в 2007 году

Публичные факты. В апреле и мае 2007 года Эстонию поразили скоординированные атаки типа «отказ в обслуживании», которые нарушили работу электронных услуг государственных учреждений, банков и средств массовой информации. Атаки происходили в политически напряженной обстановке.²

Какие вопросы поднимает подобное событие. При атаке типа «отказ в обслуживании» основным ущербом являются перерыв в деятельности и расходы на восстановление; утечки данных может не быть. Если у атаки есть политическая подоплека, возникает вопрос о применении исключения военного риска и исключения киберопераций, а также о том, кто и как доказывает атрибуцию атаки государству. В договоре киберстрахования нужно проверить, покрыт ли отказ в обслуживании и тогда, когда системы не повреждаются, и каков период ожидания по перерыву в деятельности. См. военный риск.

2. Программа-вымогатель в стоматологической клинике (Эстония, 2024)

Публичные факты. Согласно обзору ситуации Департамента государственных информационных систем за ноябрь 2024 года, 1 ноября программа-вымогатель зашифровала данные на сервере одной стоматологической клиники; у клиники не было работающей резервной копии, поэтому данные восстановить не удалось.³

Какие вопросы поднимает подобное событие. Для поставщика медицинских услуг утрата данных о здоровье означает нарушение, связанное с персональными данными, о котором нужно уведомить Инспекцию по защите данных (ст. 33 общего регламента о защите персональных данных), и риск для непрерывности лечения.⁴ В договоре страхования возникают вопросы: покрыты ли расходы на восстановление и повторный сбор данных, ставит ли договор предпосылкой работающее резервное копирование (обязанность проявлять прилежание (заботливость и осмотрительность), VÕS § 452 ч. 2) и подтверждалось ли в заявлении наличие резервного копирования (VÕS §§ 440–442).⁵

3. Атаки Killnet типа «отказ в обслуживании» в Литве (2022)

Публичные факты. В июне 2022 года электронные услуги литовских государственных учреждений и предприятий поразили атаки типа «отказ в обслуживании», ответственность за которые взяла на себя пророссийская хакерская группировка Killnet. По заявлению самой Killnet, это был ответ на ограничение Литвой транзита подпадающих под санкции товаров в Калининград.⁶

Какие вопросы поднимает подобное событие. Политический мотив атаки и публичное принятие ответственности группировкой сами по себе не означают, что речь идет о государственной кибероперации в смысле исключения. От формулировки договора зависит, требует ли исключение действий государства, действий от имени государства или достаточно «связи».

4. Атака Killnet на публично-правовые СМИ Латвии

Публичные факты. По данным прессы, в июле 2022 года Killnet поразила Латвию одной из крупнейших в истории страны волн кибератак, среди которых была длившаяся 12 часов атака на публично-правовой центр вещания. Основными способами атак группировки являются распределенные атаки типа «отказ в обслуживании» (DDoS) и взлом веб-сайтов.⁷

Какие вопросы поднимает подобное событие. Для медиапредприятия и предприятия сферы услуг основным риском являются недоступность услуги и репутационный ущерб. Страховая защита от перерыва в деятельности в киберстраховании должна охватывать и частичное ухудшение услуги.

B. Случаи ответственности руководства

5. Эстонский филиал Danske Bank

Публичные факты. Через эстонский филиал Danske Bank в 2007–2015 годах прошли платежи примерно 15 000 охваченных внутренним расследованием банка клиентов с признаками нерезидентов на общую сумму примерно 200 миллиардов евро. Расследование не сочло всю эту сумму подозрительной, не говоря уже о доказанном отмывании денег: оно установило, что у большинства проанализированных клиентов были подозрительные признаки, и исходило из того, что значительная часть платежей была подозрительной, подчеркнув при этом, что подозрительные признаки клиента не делают подозрительными все его платежи. Общий объем, подозрительный объем и доказанное отмывание денег являются, таким образом, разными величинами. Эстонские органы власти потребовали прекращения деятельности филиала в 2019 году. В декабре 2022 года банк признал вину в производстве Министерства юстиции США и согласился выплатить примерно 2 миллиарда долларов.⁸

Какие вопросы поднимает подобное событие. Недостатки в предотвращении отмывания денег порождают надзорные производства в нескольких государствах, требования инвесторов и вопрос о личной ответственности руководителей. В страховании D&O центральное значение имеют то, покрывает ли договор расходы на надзорное расследование, производства в нескольких юрисдикциях и расходы на защиту до окончательного решения, а также то, как сформулированы исключения штрафов и умышленного нарушения.

6. ABLV Bank (Латвия, 2018)

Публичные факты. В феврале 2018 года Сеть по борьбе с финансовыми преступлениями Министерства финансов США (FinCEN) опубликовала в отношении банка обвинения, в том числе подозрение в отмывании денег. Европейский центральный банк сообщил, что банк будет ликвидирован по латвийскому праву, а руководящий орган банка решил начать добровольную ликвидацию. В сентябре 2024 года FinCEN отозвала свой вывод и связанный с ним проект правил.⁹

Какие вопросы поднимает подобное событие. Вывод органа иностранного государства может за несколько дней положить конец бизнес-модели предприятия. Для руководителей вопрос состоит в том, покрывает ли договор D&O производство органа иностранного государства и охватывает ли территориальный объем договора США.

7. Snoras (Литва, 2011)

Публичные факты. В ноябре 2011 года Банк Литвы назначил банку временного администратора; анализ показал, что чистые активы банка были значительно меньше его обязательств, и Банк Литвы решил ходатайствовать о банкротстве.¹⁰

Какие вопросы поднимает подобное событие. К руководителям общества-банкрота предъявляют требования управляющий и кредиторы. Поскольку общество не может возмещать расходы руководителей, решающими являются личная защита руководителей A и то, можно ли после банкротства еще предъявлять требования по договору или уведомлять о них, например в течение продленного периода уведомления; продленный период уведомления является договорным окном для требований, вытекающих из действий, совершенных до его начала, а не страховой защитой новых действий.

8. Гражданский иск к бывшим руководителям Tallinna Sadam (Эстония)

Публичные факты. Принадлежащее государству портовое предприятие и его дочернее предприятие предъявили гражданский иск к двум бывшим членам правления, которые были задержаны в 2015 году и обвинялись в масштабной коррупции и отмывании денег.¹¹ По уголовному делу Таллиннский окружной суд 4 июня 2025 года прекратил производство по части эпизодов получения взятки в связи с истечением абсолютного срока давности, а по обвинениям в отмывании денег остался в силе оправдательный приговор уездного суда (пресс-релиз суда от 04.06.2025). Согласно промежуточному отчету предприятия за I квартал 2026 года, Государственный суд 2 февраля 2026 года не принял к производству кассационную жалобу предприятий, судебные решения вступили в законную силу, и в тот же день предприятия предъявили новый гражданский иск к бывшим членам правления и другим лицам, причинившим ущерб (AS Tallinna Sadam, промежуточный отчет за I квартал 2026 года, приложение 15). Предъявление иска не доказывает обоснованность требования.

Какие вопросы поднимает подобное событие. Общество может само требовать возмещения ущерба от бывших членов правления. В акционерном обществе, каким является портовое предприятие, основанием служит ÄS § 315, а в отношении членов совета § 327; § 187 является параллельной нормой для общества с ограниченной ответственностью. Кредитор может требовать от члена правления возмещения ущерба, причиненного обществу, только если он не может удовлетворить свое требование за счет имущества общества, а после объявления банкротства предъявить это требование от имени общества может только управляющий в деле о банкротстве (ÄS § 315 ч. 4).¹² В договорах D&O обычно есть исключение требований застрахованных лиц друг к другу (insured vs insured) вместе с изъятиями; при умышленном преступлении страховой защиты нет, однако расходы на защиту могут выплачиваться авансом до окончательного решения. Длительное производство требует достаточного продленного периода уведомления и лимита.

9. Rīgas Satiksme (Латвия, 2020)

Публичные факты. Собрание участников принадлежащего городу Рига предприятия общественного транспорта в сентябре 2020 года одобрило предъявление иска к четырем бывшим членам правления с требованием не менее чем на 1,5 миллиона евро в связи с предположительно фиктивными консультационными договорами.¹³

Какие вопросы поднимает подобное событие. Общества публичного сектора не свободны от риска D&O. Требование может поступить через годы после принятия решений, поэтому важны ретроактивная дата договора и уведомление об обстоятельствах.

C. Обобщение для эстонского предпринимателя

1. Геополитическая подоплека в Балтии реальна. Политически мотивированные атаки типа «отказ в обслуживании» происходили здесь неоднократно. Формулировка исключения военного риска для эстонского предпринимателя является практическим, а не теоретическим вопросом.
2. Малая организация не защищена. Обзоры Департамента государственных информационных систем показывают, что программы-вымогатели поражают и малые предприятия, и поставщиков медицинских услуг; отсутствие резервного копирования делает ущерб необратимым.
3. Ответственность руководства реализуется через годы. Требования к бывшим руководителям часто предъявляются после длительных уголовных или надзорных производств.
4. Риск нескольких юрисдикций. Случаи в финансовом секторе показали, что действия органа иностранного государства могут иметь решающее значение.

D. Фон эстонского права в случаях ответственности руководства

Если бы подобный случай возник в эстонском обществе, центральными были бы следующие правила.

• Обязанность проявлять прилежание и бремя доказывания. Член правления отвечает за ущерб, причиненный обществу нарушением обязанностей; чтобы освободиться от ответственности, он должен доказать, что исполнял обязанности с прилежанием надлежащего предпринимателя (ÄS § 187, в акционерном обществе § 315, в отношении члена совета § 327).¹²
• Солидарность. Члены правления, нарушившие обязанности, отвечают солидарно; поэтому они часто делят и общий лимит договора D&O.
• Неплатежеспособность. Если неплатежеспособность не является временной, правление должно подать заявление о банкротстве незамедлительно, но не позднее чем в течение 20 дней, и не вправе производить платежи, не совместимые с прилежанием надлежащего предпринимателя (ÄS § 180 ч. 5¹).¹²
• Кибербезопасность. В сфере применения Закона о кибербезопасности должен быть назначен член правления, ответственный за кибербезопасность (KüTS § 6¹).¹⁴
• Умысел. В страховании ответственности страховщик не отвечает за ущерб, который страхователь причинил умышленно и противоправно (VÕS § 513).⁵

Эстонская судебная практика об ответственности члена правления и страховании D&O рассмотрена на странице дела D&O.

E. Вопросы, которые каждое балтийское предприятие могло бы задать себе на основе этих случаев

1. Исключило бы исключение военного риска в нашем договоре киберстрахования политически мотивированную атаку типа «отказ в обслуживании»? Кто должен доказать, что атака была действием государства?
2. Отделено ли наше резервное копирование от основной сети и проверялось ли восстановление?
3. Знаем ли мы, в какие сроки и каким органам мы должны сообщить об инциденте?
4. Покрывает ли наш договор D&O производство органа иностранного государства и расходы на надзорное расследование?
5. Сохраняется ли страховая защита D&O, если общество становится неплатежеспособным, и покрыты ли бывшие руководители?
6. Позволяет ли договор обществу требовать возмещения ущерба от своих бывших руководителей без утраты страховой защиты (изъятия из исключения требований застрахованных лиц друг к другу)?
7. Уведомили ли мы страховщика об обстоятельствах, которые в будущем могут привести к требованию?

Связанные страницы

• Дела по киберстрахованию
• Дела по страхованию D&O
• Военный риск
• Международные аспекты

Примечания