# Сценарии рисков: от вымогателя до геополитической кибератаки

Адрес: https://kindlustusoigus.ee/ru/riskijuhtimine/stsenaariumid/
Автор: Олави-Юри Луйк (Olavi-Jüri Luik), PhD, Партнер, руководитель направления страхового права, присяжный адвокат (Advokaadibüroo WIDEN OÜ)
Последнее обновление: 2026-11-11

> Пять сценариев на основе практики: как один инцидент активирует киберстрахование, страхование crime и D&O и где возникают пробелы в защите.

> **Коротко.** Современные риски реализуются не в одном измерении, а как цепочка событий, в которой переплетаются технический инцидент, финансовый ущерб и ответственность руководства. Ниже приведены пять сценариев, основанных на международной практике и реалистичных в эстонских условиях. По каждому сценарию показано, какой договор какую часть ущерба покрывает и где может возникнуть пробел.[^1] Сценарии обобщены и не описывают случай какого-либо конкретного предприятия.

## Сценарий 1. Программа-вымогатель, мошенничество и ответственность правления

### Ход событий

Производственное предприятие среднего размера становится жертвой программы-вымогателя. Атакующие шифруют серверы, а также подключенные к сети резервные копии; производство останавливается. Одновременно финансовый отдел получает электронные письма, которые выглядят как письма ИТ-отдела и содержат просьбу срочно оплатить «услугу по восстановлению данных». В действительности это отдельное мошенничество.

Предприятие производит платеж, однако данные не восстанавливаются. Выясняется, что резервное копирование не работало и восстановление займет недели. Производство стоит, клиенты предъявляют договорные требования, страдает репутация. Через несколько месяцев участники или акционеры предъявляют требование к правлению, утверждая, что меры кибербезопасности были недостаточными, резервное копирование не соответствовало обычному уровню, а управление рисками было ненадлежащим.

### Взгляд со стороны страхования

| Часть ущерба | Основной договор | Возможная проблема |
|---|---|---|
| Форензика, восстановление систем | Киберстрахование | Требование пользоваться поставщиком услуг, одобренным страховщиком; подтверждения о резервном копировании, данные в заявлении |
| Перерыв в деятельности | Киберстрахование (расширение на перерыв в деятельности) | Период ожидания, период возмещения, сублимит; упущенная выгода только по соглашению (VÕS § 476 ч. 4)[^2] |
| Платеж мошеннику | Страхование crime | Требуется страховая защита от социальной инженерии или мошеннического платежного указания; киберстрахование может такой платеж исключать |
| Договорные требования клиентов | Частично киберстрахование | Исключение ответственности, принятой по договору |
| Требование к правлению, расходы на защиту | Страхование D&O | Киберисключение в договоре D&O; исключение ранее известных обстоятельств |

### Урок

Один инцидент порождает три вида ущерба. Если договор crime не покрывает мошенническое платежное указание, договор киберстрахования не покрывает финансовый ущерб, а договор D&O покрывает только ответственность, платеж остается на предприятии. Одновременно ненадлежащее резервное копирование является как технической, так и правовой проблемой: если в заявлении на страхование подтверждалось проверенное и изолированное резервное копирование, страховщик может сослаться на нарушение преддоговорной обязанности по уведомлению (VÕS § 441, § 442) или на нарушение обязанности проявлять прилежание (VÕS § 445, § 452 ч. 2).[^3]

## Сценарий 2. Атака на цепочку поставок

### Ход событий

Предприятие использует облачную учетную систему международного поставщика программного обеспечения. Через обновление программного обеспечения в систему поставщика услуг внедряется вредоносный код, который распространяется на всех клиентов. Системы предприятия компрометируются, атакующие получают доступ к финансовым данным и информации о клиентах. Учетные записи предприятия используются для дальнейших атак на партнеров.

Последствия: временное отключение и восстановление систем, утечка данных клиентов, требования партнеров, надзорное производство в связи с нарушением защиты данных.

### Взгляд со стороны страхования

- **Киберстрахование** покрывает технические расходы и возможный перерыв в деятельности. Вопрос в том, охватывает ли определение «компьютерной системы» системы поставщика услуг и срабатывает ли страховая защита от перерыва в деятельности и тогда, когда остановилась система поставщика услуг, а не собственная система предприятия (*dependent* / *contingent business interruption*).
- **Риск crime** возникает, если атакующие используют системы предприятия для мошенничества и причиняют денежный ущерб.
- **Риск D&O** реализуется, если инвесторы утверждают, что правление не оценило риски цепочки поставок, если надзорный орган оценивает деятельность руководства или если клиенты предъявляют требования к правлению.
- **Исключение военного риска**: если атака приписывается государственной группировке, страховщик может сослаться на исключение. Это может затронуть как киберстрахование, так и страхование crime (см. [военный риск](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/sojarisk/)).

### Регресс к поставщику услуг

Если страховщик возмещает ущерб, требование к поставщику услуг переходит к страховщику в объеме возмещенного (VÕS § 492).[^4] Ограничение ответственности в договоре об оказании услуг может обесценить это требование. Поэтому ограничения ответственности и обязанности по страхованию в критических договорах об оказании услуг нужно обсуждать вместе со страховой программой.

### Урок

Предприятию не обязательно быть прямой целью, чтобы понести значительный ущерб. В международной практике воздействие инцидентов в цепочке поставок достигало сотен миллионов (см. [дела по киберстрахованию](https://kindlustusoigus.ee/ru/riskijuhtimine/kaasused/kuberkindlustuse-kaasused/), Clorox против Cognizant и Netgain).

## Сценарий 3. Утечка данных и требование инвесторов

### Ход событий

На предприятии, оказывающем финансовые услуги, происходит утечка персональных и финансовых данных клиентов. Расследование показывает, что меры безопасности не были актуальными, а многофакторная аутентификация отсутствовала. Предприятие уведомляет Инспекцию по защите данных и клиентов. Следуют надзорное производство и возможный штраф, требования клиентов о возмещении ущерба, репутационный ущерб и уход клиентов. Инвесторы предъявляют требование к правлению, утверждая, что риски кибербезопасности были известны, правление недостаточно инвестировало в меры безопасности, а раскрытая информация о рисках была неполной.

### Взгляд со стороны страхования

- **Киберстрахование** обычно покрывает расходы, связанные с утечкой данных: уведомление, форензику, правовую помощь, возможный перерыв в деятельности и в определенной мере требования клиентов. Страхуемость штрафов зависит от договора и применимого права; многие договоры покрывают штрафы только в той мере, в какой они по закону подлежат страхованию.
- **Страхование D&O** может покрыть требование инвесторов и расходы правления на защиту, если требование предъявлено в течение страхового периода (или продленного периода уведомления), касается застрахованного лица и не подпадает под исключения (например, киберисключение или исключение ранее известных обстоятельств); расходы на защиту могут зависеть от согласия страховщика и часто уменьшают лимит. Центральный вопрос состоит в том, исполнило ли правление обязанность проявлять прилежание (заботливость и осмотрительность) и был ли риск предсказуемым. Член правления сам должен доказать, что действовал с прилежанием надлежащего предпринимателя (ÄS § 187).[^5]
- **Страхование crime** в этом сценарии, как правило, не срабатывает, поскольку отсутствует прямой имущественный ущерб, вытекающий из мошенничества. Оно становится актуальным, если утекшие данные используются для дальнейшего мошенничества.

**Риск раскрытия информации.** Если предприятие недостаточно раскрывало свои киберриски, это может усилить требование инвесторов. В международной практике за утечками данных следовали иски по ценным бумагам (см. [дела D&O](https://kindlustusoigus.ee/ru/riskijuhtimine/kaasused/dno-kaasused/), Equifax и Yahoo).

### Сроки уведомления

Ответственный обработчик должен уведомить надзорный орган о нарушении, связанном с персональными данными, без неоправданной задержки и, по возможности, в течение 72 часов после того, как ему стало известно о нарушении, за исключением случая, когда нарушение вряд ли создаст риск для прав и свобод физических лиц (общий регламент о защите персональных данных, ст. 33 п. 1).[^6] Если предприятие подпадает под сферу применения Закона о кибербезопасности, об инциденте со значительным воздействием нужно представить Департаменту государственных информационных систем первичное уведомление в течение 24 часов и уведомление об инциденте в течение 72 часов (KüTS § 8).[^7] Страховщика нужно уведомить незамедлительно, а в страховании ответственности о требовании в течение одной недели (VÕS § 448, § 514).[^8]

## Сценарий 4. Внутреннее мошенничество и ответственность руководства

### Ход событий

Главный бухгалтер оптового предприятия, проработавший на предприятии 12 лет, ведет реестр поставщиков, делает бухгалтерские проводки и составляет платежные файлы, которые финансовый директор подтверждает через банк, не просматривая подтверждающие документы. В течение трех лет он направляет фиктивным поставщикам в общей сложности значительную сумму. Мошенничество обнаруживается в ходе проверки аудитора. Представитель нового собственника в совете спрашивает, почему правление не обеспечило разделение ролей.

### Взгляд со стороны страхования

- **Страхование crime** (нечестность работника) покрывает непосредственно присвоенные суммы, если ущерб был обнаружен в течение страхового периода и возник после ретроактивной даты. Если договор основан на обнаружении, а предприятие в промежутке сменило страховщика, нужно проверить, покрыт ли более ранний ущерб.
- **Расходы на расследование** (судебно-бухгалтерское расследование) покрываются только в том случае, если договор содержит соответствующее расширение.
- **Страхование D&O** срабатывает, если предприятие или участники предъявляют требование к членам правления из-за ненадлежащего надзора. Проверьте исключение требований застрахованных лиц друг к другу и изъятия из него.
- **Требование к причинителю вреда** сохраняется; после возмещения оно переходит к страховщику (VÕS § 492).[^4]

### Урок

Длительное внутреннее мошенничество означает, что ущерб распределяется между несколькими страховыми периодами. Триггер (обнаружение или возникновение ущерба), ретроактивная дата и оговорка об объединении случаев определяют, какая часть ущерба покрыта.

## Сценарий 5. Геополитическая кибератака

### Ход событий

Предприятие, оказывающее услуги энергетическому сектору, становится жертвой разрушительного вредоносного программного обеспечения в то время, когда в регионе наблюдается повышенная геополитическая напряженность. Государственные учреждения публично связывают атаку с разведывательной службой иностранного государства. Системы предприятия простаивают две недели.

### Взгляд со стороны страхования

- **Киберстрахование**: страховщик оценивает, применяется ли исключение государственных киберопераций. Решающее значение имеет формулировка исключения: требует ли оно действий самого государства, причинения ущерба важным государственным функциям и как доказывается атрибуция (официальная атрибуция государством, оценка страховщика, оценка суда).
- **Страхование имущества**: вероятно, исключает киберущерб или требует физического ущерба.
- **Страхование D&O**: если инвесторы утверждают, что правление не учло известный геополитический риск, страхование D&O может покрыть расходы на защиту, однако это не само собой разумеется: решающими являются триггер договора, застрахованное лицо, исключения, согласие страховщика на расходы и лимит; исключение военных действий в договоре D&O обычно уже, однако его формулировку все равно нужно прочитать.

### Урок

В Балтийском регионе геополитический риск является практическим. Формулировку исключения военного риска нужно согласовать на переговорах до наступления ущерба и унифицировать во всех договорах. См. [военный риск](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/sojarisk/) и [инциденты в странах Балтии](https://kindlustusoigus.ee/ru/riskijuhtimine/kaasused/balti-intsidendid/).

## Что показывают сценарии в совокупности

1. **Риски не линейны.** Событие начинается как технический инцидент, переходит в финансовый ущерб и заканчивается ответственностью руководства.
2. **Программа должна быть интегрированной.** Определения договоров должны быть согласованы, исключения не должны создавать пробелов, а критические риски должны быть покрыты достаточными лимитами.
3. **Наибольший риск состоит в многоплановом воздействии инцидента.** Программа-вымогатель может привести к мошенничеству и ответственности правления, атака на цепочку поставок может затронуть всю организацию, а утечка данных может перерасти в требование инвесторов.
4. **Документированные решения правления являются защитой.** Во всех пяти сценариях задним числом спрашивают, был ли риск известен и какие меры были приняты.

Эти сценарии можно использовать и как основу для [симуляций](https://kindlustusoigus.ee/ru/riskijuhtimine/simulatsioonid/).

## Связанные страницы

- [Взаимодействие и границы](https://kindlustusoigus.ee/ru/riskijuhtimine/kuber-crime-dno-koostoime/)
- [Предотвращение пробелов в страховой защите](https://kindlustusoigus.ee/ru/riskijuhtimine/katteaukude-valtimine/)
- [Первые 24–72 часа](https://kindlustusoigus.ee/ru/riskijuhtimine/intsident-ja-kriisijuhtimine/esimesed-24-72-tundi/)
- [Симуляции](https://kindlustusoigus.ee/ru/riskijuhtimine/simulatsioonid/)
- [Сборник дел](https://kindlustusoigus.ee/ru/riskijuhtimine/kaasused/)

## Примечания

[^1]: O.-J. Luik. Ettevõtte juhtkonna riskiraamat [Книга рисков для руководства предприятия]. Рукопись, состояние на 03.05.2026, гл. 29.
[^2]: Võlaõigusseadus [Обязательственно-правовой закон] (VÕS) § 476 ч. 4 (RT I, 20.06.2026, 18; в силе с 01.09.2026). – https://www.riigiteataja.ee/akt/V%C3%95S
[^3]: VÕS § 441, § 442, § 445, § 452 ч. 2 (сноска 2); RKTKo 28.06.2024, 2-22-2313/65, п. 13, 15–17. – https://www.riigikohus.ee/et/lahendid?asjaNr=2-22-2313/65
[^4]: VÕS § 492 (сноска 2).
[^5]: Äriseadustik [Коммерческий кодекс] (ÄS) § 187 (RT I, 06.07.2023, 131; в силе с 01.03.2024). – https://www.riigiteataja.ee/akt/%C3%84S
[^6]: Регламент (ЕС) 2016/679 Европейского парламента и Совета, ст. 33 п. 1. – ELT L 119, 04.05.2016, с. 1–88. – https://eur-lex.europa.eu/legal-content/ET/TXT/HTML/?uri=CELEX:32016R0679
[^7]: Küberturvalisuse seadus [Закон о кибербезопасности] (KüTS) § 8 ч. 1, 4¹–4² (RT I, 06.10.2026, 2; в силе с 16.10.2026). – https://www.riigiteataja.ee/akt/K%C3%BCTS
[^8]: VÕS § 448 ч. 1, § 514 ч. 1 (сноска 2).