Киберстраховка: что покрывает полис, что не покрывает и что спросит страховщик

Полис от киберрисков покрывает восстановление систем и данных, расходы на экспертов и ряд убытков от перерыва в работе, но не любой инцидент. У многих программ есть исключения, о которых страхователь узнаёт уже при урегулировании: действия собственных сотрудников, штрафы регуляторов, выкуп вымогателям. При урегулировании проверяют и порядок действий: срок уведомления, привлечение экспертов, документы об убытке. Ниже разбираем, что прочитать в своём полисе или его проекте и что привести в порядок до анкеты или продления.

Обзор действителен на 22 сентября 2026 года. Правила страховщиков меняются без публичного анонса; перед решением сверяйтесь с редакцией, приложенной к вашему договору. Документы, на которые опирается разбор, собраны в разделе «Источники» в конце статьи.

Что полис обычно покрывает

Состав покрытия задаёт договор, но открытые правила показывают типичный набор.

• Восстановление систем и данных. «Сбербанк страхование», Правила № 36.2, пункт 3.3.2.5: расходы «на восстановление компьютерной системы Страхователя или Застрахованного лица до того уровня функциональности, который существовал непосредственно до такого события». «Зетта Страхование», Правила от 14 апреля 2026 года, пункт 3.1.1: «необходимые и обоснованные расходы, понесённые Страхователем для восстановления, воссоздания, повторного сбора или приобретения Электронных данных и/или Компьютерных программ».
• Расходы на экспертов и подрядчиков. По Правилам «Ингосстраха» от 31 января 2025 года «расходы на защиту также включают в себя любые обоснованные расходы на оплату услуг специалистов и издержки на экспертов», одобренных страховщиком. Дмитрий Прохоров (Ингосстрах) на круглом столе о компаниях, восстанавливающих работоспособность: «Расходы на их привлечение возмещаются по страховке».
• Убытки от перерыва в работе — с оговорками. У «РЕСО-Гарантии» (Правила от 17 марта 2020 года, пункт 5.6.3) расходы на уменьшение ущерба и восстановление при перерыве возмещаются, «когда период, в течение которого недоступна Компьютерная система Компании, превышает Период ожидания»; длительность этого периода задаёт договор.
• Перечень событий. В Правилах «Ингосстраха» страховые события перечислены в пунктах 5.1.1.1–5.1.1.8: от утраты электронных данных до ущерба деловой репутации вследствие названных событий; какие из них включены в ваш полис, видно только по договору.

Что проверить в полисе: исключения, ограничения и условия выплаты

На круглом столе 19 августа 2026 года страховщики и брокеры назвали типовые исключения и ограничения. Список ниже собран из их слов; в вашем договоре формулировки могут отличаться, сверяйте по собственным правилам.

Исключения и ограничения покрытия:

• Действия сотрудников. Представитель СОГАЗ Дмитрий Добродей: «Самое частое заблуждение — что страхование автоматически покрывает действия сотрудников-инсайдеров». Брокер AIM Partners Александр Мисюрев: «Самый распространенный сюрприз для страхователя: из полиса исключен внутренний злоумышленник».
• Штрафы регуляторов, в том числе оборотные за повторные утечки персональных данных (КоАП РФ, статья 13.11, части 15 и 18: от 1 до 3 % выручки). Об этом говорил Владимир Жуков (CybIns); та же позиция в обзоре InfoWatch от 14 мая 2026 года.
• Выкуп вымогателям — по словам участников, как правило, не включается.
• Социальная инженерия — либо исключена, либо покрывается с низким сублимитом.
• Репутационные потери. Владимир Жуков (CybIns): долгосрочное снижение стоимости бренда после инцидента «практически не поддается страхованию».

Условия, связанные с мерами защиты и порядком действий:

• Повторный убыток, если после первого случая недостатки защиты не устранены.
• Компрометация учётной записи при отсутствии многофакторной аутентификации — по оценке автора обзора cisoclub от 31 марта 2026 года, в таком случае страховщик «почти наверняка откажет в выплате».

Первые три пункта проверьте в своём договоре в первую очередь: именно их участники круглого стола называли самыми частыми заблуждениями клиентов о покрытии.

Действия сотрудников: как их включают и что проверить рядом с опцией

Умышленные действия работников в покрытие включить можно, но как отдельную опцию. На круглом столе Дмитрий Добродей из СОГАЗ описал практику так: «отдельно оговаривается в условиях полиса и требует специального включения». Его коллега из «Ингосстраха» Дмитрий Прохоров подтвердил, что «можно застраховаться от умышленных действий работника, который совершил или помог совершить атаку».

В открытых правилах это оформлено по-разному. «Зетта Страхование» (Правила от 14 апреля 2026 года) держит такой риск в перечне под пунктом «г»: события, «умышленно совершенные Работниками Страхователя, совершенные ими в одиночку или в сговоре с другими лицами». «Сбербанк страхование» в Правилах № 36.2 выносит его в пункт 3.5 с оговоркой: «Только если это особо предусмотрено Договором страхования, Страховщик также возмещает» ущерб «в результате противоправных действий со стороны работников Страхователя». В Правилах «Ингосстраха» от 31 января 2025 года формулировка ближе к первой: пункт «г» перечня событий, «умышленно и противоправно совершенные Работниками Страхователя, совершенные ими в одиночку или в сговоре с другими лицами». Общее у всех трёх одно: риск включаемый, в базовый состав он не входит.

Рядом с опцией стоит прочитать исключение о преднамеренных нарушениях. В Правилах «Ингосстраха» это пункт 6.1 «Умысел Страхователя», подпункт «б»: преднамеренным считается «любое нарушение, совершенное непосредственно Ответственным лицом/Страхователем, а также Работником или Подрядчиком Страхователя, если Ответственное лицо/Страхователь знало или должно было знать о таком нарушении, но не предприняло действий для его предотвращения и/или устранения».

Если риск действий работников включён, при урегулировании будет вопрос, знало ли руководство о нарушениях и что предприняло. Перечня «предпринятых действий» в Правилах нет; из общей практики это разграничение доступа, журналирование действий пользователей, регламент работы с конфиденциальной информацией и техническая фиксация нарушений, в том числе средствами контроля рабочих мест и утечек (у нас в этом классе, например, решения партнёра «Стахановец»). Нарушения внутренних политик встречаются и в нашей практике, хотя сами по себе об умысле не говорят: по нашей статистике около четверти инцидентов у клиентов начиналась именно с них.

Срок уведомления: сколько часов у вас есть

Пропуск срока уведомления страховщика об инциденте автор обзора cisoclub от 31 марта 2026 года называет так: «самая частая формальная причина отказа в выплатах». Конкретный срок задан правилами каждой компании и договором, и в открытых правилах он разный. В Правилах «Ингосстраха» от 31 января 2025 года, пункт 14.1: страхователь обязан «незамедлительно (но в любом случае не позднее 48 часов), как только ему станет об этом известно, сообщить Страховщику или его представителю». В Правилах № 36.2 «Сбербанк страхования», пункт 12.4.1: «не позднее 3 (трех) суток (или в иной срок, предусмотренный Договором страхования)». В Правилах «Зетта Страхования» от 14 апреля 2026 года, пункт 8.2.3, и в Правилах «РЕСО-Гарантии» от 17 марта 2020 года, пункт 14.2.1: не позднее трёх рабочих дней. Договор может задавать свой срок, поэтому цифру берите из своего документа.

Двое суток — это меньше, чем кажется, если инцидент начался в пятницу вечером. Поэтому уведомление страховщика должно быть отдельным шагом в плане реагирования, с назначенным человеком и контактами страховщика под рукой. Как выстроить такой план и кто за что отвечает, мы разбирали в статье о плане реагирования на компьютерные инциденты.

Кто доказывает убыток и когда согласовывать подрядчика

По Правилам «Ингосстраха» от 31 января 2025 года к заявлению о выплате прилагается «отчет независимых консультантов, экспертов, аудиторов или иных» специалистов о причинах и характере происшествия (пункт 15.2.4). Расходы на экспертов входят в покрытие, если эксперт «одобрен Страховщиком», причём Правила оговаривают, что «в предоставлении такого одобрения не может быть необоснованно отказано». А если работы осуществляются «привлеченным Страховщиком экспертом по его заявке», часть документов о диагностике собирать вообще не требуется (пункт 15.3.8). Какие документы потребуются по вашему договору, уточните у страховщика заблаговременно.

Чтобы эксперт смог восстановить ход атаки, порядок сохранения доказательств лучше определить заранее. При локализации атаки сохраняйте журналы, образы дисков и другие следы, фиксируйте, что и когда меняли в системах; до переустановки согласуйте порядок с экспертом или страховщиком. У «Сбербанк страхования» это прямо записано в Правилах № 36.2, пункт 12.4.6: «сохранить пострадавшие информационные системы… в том виде, в котором они оказались после страхового случая, до их исследования Страховщиком или его представителем, или уполномоченной экспертной организацией». По нашему опыту разборов, первое, что теряют в такие сутки, — журналы контроллера домена: их сносят вместе с переустановкой системы, а потом эксперту нечем восстановить цепочку событий. Порядок первых суток стоит прописать в плане реагирования заранее, вместе со сроком уведомления страховщика.

И второе, что лучше сделать в спокойное время: согласовать со страховщиком подрядчика по расследованию и восстановлению. Спросите у своего страховщика или брокера, как в вашем договоре оформляется одобрение эксперта, и назовите кандидатуру сейчас. Предварительное согласование сократит время на организацию работ; уведомление страховщика при этом остаётся отдельным действием со своим сроком.

Девять контролей, о которых спросят

Что именно проверяют при оценке риска, видно из самих правил и из слов участников круглого стола. В заявлении на страхование по Правилам № 36.2 «Сбербанк страхования» (пункт 7.4.38) перечислены документы, подтверждающие антивирус, системы обнаружения вторжений, межсетевой экран, защиту веб-приложений и подключение к внешнему центру мониторинга; рядом — периодичность обучения работников (7.4.37) и план восстановления (7.4.36). Владимир Жуков из CybIns перечислил «опросные листы, аудиты кибербезопасности и анализ ИТ-инфраструктуры». У СОГАЗ, по словам Дмитрия Добродея, база — анкета по ключевым контролям, а крупным клиентам добавляют внешнее сканирование периметра. Татьяна Лаврова из «АльфаСтрахования» назвала то же сканирование и интервью с ИТ-командами.

Сведём это в один список для самостоятельной проверки. Требования конкретного страховщика — в его анкете и правилах; таблица нужна, чтобы подготовиться к ним, заменить их она не может.

Первые две строки проверьте особенно внимательно: охват многофакторной аутентификацией и результат тестового восстановления. Оценку cisoclub об отказе без второго фактора не стоит распространять на все договоры, но вопрос про неё задают почти всегда, а непроверенная копия оставляет открытым главный вопрос: восстановитесь ли вы вообще и за сколько часов. Как проверить свою сеть на плоскость, мы разбирали в статье о сегментации сети, а допустимое время восстановления — в материале про RTO и RPO. По третьей строке анализ защищённости периметра и тестирование на проникновение закрывают часть про сканирование и проверку; регулярные обновления остаются вашим внутренним регламентом. Результаты пентестов и red team Дмитрий Добродей (СОГАЗ) назвал так: «ценнейший источник, которым клиенты редко готовы делиться».

Что сделать до анкеты или продления

1. Прочитать в своих правилах три места: перечень исключений, условия опции по действиям работников и срок уведомления. Выписать цифру срока и имя ответственного.
2. Пройти по девяти строкам таблицы. Всё, что попало в правую колонку, — это перечень вопросов к ИТ-отделу, и в анкете это всё равно всплывёт. В Кредо-С мы собираем такой перечень по тем же девяти строкам: часть закрывается силами вашего ИТ-отдела, часть — нашими.
3. Спросить страховщика или брокера, как оформляется одобрение эксперта по расследованию, и назвать подрядчика до инцидента.
4. Добавить в план реагирования шаг «уведомить страховщика» с контактами и сроком.

Полис платит за то, что вы смогли доказать, и в тех пределах, которые вы прочитали до подписания. Если полис уже есть или готовится, начните с первого пункта сегодня: раздел исключений и срок уведомления читаются за полчаса.

Источники

• Правила страхования информационных рисков СПАО «Ингосстрах», редакция от 31 января 2025 года (PDF)
• Правила страхования информационных рисков ООО «Зетта Страхование», редакция от 14 апреля 2026 года (PDF)
• Правила № 36.2 ООО СК «Сбербанк страхование», редакция на сайте страховщика на дату обзора (PDF)
• Правила № 101 САО «РЕСО-Гарантия», редакция от 17 марта 2020 года (PDF)
• Круглый стол «Российский рынок киберстрахования», ptresearch.media, 19 августа 2026 года
• Обзор требований страховщиков к страхователям, cisoclub.ru, 31 марта 2026 года

Обзор подготовлен по этим документам и публикациям по состоянию на 22 сентября 2026 года и не заменяет консультацию страховщика или брокера по вашему договору.