Что такое страхование киберрисков
Страхование киберрисков возмещает финансовые последствия инцидентов информационной безопасности: взлома, заражения вирусом-шифровальщиком, утечки персональных данных, атаки, которая остановила работу систем. Специального закона об этом виде нет: он добровольный и регулируется Гражданским кодексом РФ (гл. 48) и правилами страхования конкретного страховщика. Поэтому состав покрытия у компаний заметно различается, и читать договор нужно внимательно.
Что обычно покрывает полис
Собственные расходы и потери компании
- расследование инцидента — услуги экспертов по компьютерной криминалистике;
- восстановление данных, программного обеспечения и конфигураций систем;
- уведомление клиентов и других субъектов данных, юридические консультации, кризисные коммуникации;
- убытки от перерыва в деятельности: упущенная прибыль и постоянные расходы за время простоя после атаки — обычно после периода ожидания в несколько часов;
- расходы, связанные с кибервымогательством. Оплата самого выкупа во многих полисах исключена или требует отдельного согласования.
Ответственность перед третьими лицами
- претензии клиентов и партнёров из-за утечки их данных или передачи вредоносного кода;
- расходы на защиту в судебных спорах и в разбирательствах с регуляторами.
Часто есть и дополнительные опции: мошенничество с использованием социальной инженерии (поддельные письма «от руководителя» с просьбой перевести деньги), ущерб от взлома телефонии, ответственность за контент сайта. По ним обычно действуют подлимиты.
Что, как правило, не покрывается
- административные штрафы — большинство страховщиков исключают их или не принимают на страхование;
- инциденты, о которых компания знала до начала договора;
- военные действия и иные масштабные исключения, перечисленные в правилах;
- сбои внешней инфраструктуры — электросетей, магистральных каналов связи, если это прямо не включено;
- модернизация систем сверх восстановления прежнего уровня;
- последствия невыполнения мер защиты, которые компания заявила в анкете.
Кто и почему страхуется
Обязательного киберстрахования в России нет, но риски для бизнеса выросли вместе с требованиями закона. С 30 мая 2025 года статья 13.11 КоАП РФ предусматривает для организаций крупные штрафы за утечку персональных данных:
| Нарушение (юридические лица) | Штраф |
|---|---|
| Неуведомление или несвоевременное уведомление Роскомнадзора об утечке | от 1 до 3 млн ₽ |
| Утечка данных от 1 000 до 10 000 субъектов | от 3 до 5 млн ₽ |
| От 10 000 до 100 000 субъектов | от 5 до 10 млн ₽ |
| Более 100 000 субъектов | от 10 до 15 млн ₽ |
| Специальные категории персональных данных | от 10 до 15 млн ₽ |
| Биометрические персональные данные | от 15 до 20 млн ₽ |
| Повторная утечка | от 1% до 3% выручки, но не менее 20 млн ₽ (по спецкатегориям и биометрии — 25 млн ₽) и не более 500 млн ₽ |
По закону № 152-ФЗ оператор обязан уведомить Роскомнадзор о неправомерной передаче персональных данных в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов. Субъекты критической информационной инфраструктуры дополнительно выполняют требования закона № 187-ФЗ. Сами штрафы полис обычно не возмещает, но покрывает расходы на расследование, восстановление и защиту — то есть всё, что помогает быстро выполнить требования закона и ограничить ущерб.
От чего зависит цена
- отрасль и выручка компании, зависимость бизнеса от IT-систем;
- объём и тип обрабатываемых данных: персональные, платёжные, медицинские;
- зрелость защиты: многофакторная аутентификация, резервные копии вне основной сети, своевременные обновления, средства обнаружения атак, обучение сотрудников;
- история инцидентов;
- лимит ответственности, подлимиты, франшиза и период ожидания по перерыву в деятельности.
Перед расчётом страховщик просит заполнить анкету по информационной безопасности, иногда проводит внешнее сканирование. Ответы в анкете становятся частью договора, поэтому заполнять её нужно вместе с IT-службой.
Как выбрать полис и страховщика
- Сравнивайте не только лимит, но и подлимиты: на перерыв в деятельности, вымогательство, социальную инженерию.
- Проверьте, есть ли у страховщика круглосуточная линия и пул подрядчиков для реагирования на инциденты.
- Уточните определение страхового случая: «атака» или любой «сбой», включая ошибку сотрудника.
- Посмотрите, как считается ущерб от простоя и какие документы для этого нужны.
Каталог — в разделе «Страховые компании». Специалисты Polis Re помогут сравнить условия — оставьте заявку.
Урегулирование
- При подозрении на инцидент сразу звоните на линию страховщика: он подключит экспертов, расходы на которых покрываются полисом.
- Сохраните журналы событий и образы систем, не переустанавливайте всё «с нуля» до согласования.
- Не ведите переговоры с вымогателями и не платите без согласования со страховщиком.
- Выполните обязанности по уведомлению Роскомнадзора и субъектов данных в сроки закона.
- Соберите документы о расходах и потерях от простоя.
Частые ошибки
- Анкета заполнена «как должно быть», а не как есть: при проверке после инцидента это повод для отказа.
- Ожидание, что полис оплатит штраф Роскомнадзора.
- Слишком маленький подлимит на простой для бизнеса, который зарабатывает онлайн.
- Самостоятельное восстановление систем до прихода экспертов — уничтожаются доказательства.
Смежные виды: профессиональная ответственность для IT-компаний и интеграторов, ответственность директоров (D&O), имущество юрлиц для серверов и оборудования.
