Kiberdrošības apdrošināšana: ko sedz polise un ko prasa NKDL

NKDL neprasa apdrošināšanu, bet tā ietekmē riska aprēķinu

Ne Nacionālās kiberdrošības likumā (NKDL), ne MK noteikumos Nr. 397 nav prasības iegādāties kiberapdrošināšanu. Konsolidētajā tekstā vārds “apdrošināšana” neparādās vispār. Likums prasa “piemērotus un samērīgus tehniskos un organizatoriskos pasākumus” kiberrisku pārvaldībai (27. pants) un kiberrisku pārvaldības un IKT darbības nepārtrauktības plānu (28. pants). Apdrošināšana var būt viens no veidiem, kā risku nodot tālāk, taču polise nav drošības pasākums.

Tāpēc apdrošināšanu kiberrisku plānā vērtējiet kā finansiālu riska nodošanu. Tā neaizstāj ne kontroles, ne ziņošanu. Pienākums 24 stundu laikā nosūtīt agrīno brīdinājumu par nozīmīgu kiberincidentu (NKDL 34. panta otrā daļa) paliek subjektam neatkarīgi no tā, vai apdrošinātājs jau ir iesaistīts.

Kas Latvijas tirgū ir pieejams: trīs atšķirīgi produkti

Ar nosaukumu “kiberrisku apdrošināšana” var saprast pilnīgi dažādas lietas. Pirms piedāvājumu salīdzināšanas noskaidrojiet, kurš no trim veidiem jums tiek piedāvāts.

Kiberapdrošināšanas veidi pēc publiski pieejamiem produktu dokumentiem (skatīti 2026. gada 23. oktobrī)

Veids	Piemērs	Ko sedz	Svarīgākais ierobežojums
Papildsegums īpašuma polisei	If “Datu atjaunošana pēc kiberuzbrukuma”	Saprātīgas un nepieciešamas izmaksas datu un programmatūras atjaunošanai no rezerves kopijām, datu tīrīšanai un zaudējumu samazināšanai	Apdrošinājuma summa no 5 000 līdz 50 000 €; nepieciešama If īpašuma apdrošināšana
Privātpersonu produkts	BTA “Kiberrisku apdrošināšana”	Kiberkrāpšana personīgajā bankas kontā, e-komercijas krāpšana, identitātes zādzība, kibermobings	Paredzēts personai un ģimenei; izslēgti zaudējumi saistībā ar juridiskas personas bankas kontu un izpirkuma maksa
Atsevišķa uzņēmuma polise, ko piedāvā brokeri	Aon Latvia produkta apraksts	Sistēmu un datu atgūšana, darbības pārtraukums, izpirkuma prasības, reputācija, atbildība pret trešajām personām	Konkrētais segums un izslēgumi atkarīgi no apdrošinātāja noteikumiem; brokera lapā tie nav publicēti

Praktisks secinājums: If papildsegums uzņēmumam atlīdzina datu atjaunošanu līdz 50 000 €, bet nesedz, piemēram, atbildību pret klientiem. BTA kiberrisku produkts ir paredzēts privātpersonām, un tā informācijas dokumentā izslēgti zaudējumi, kas saistīti ar juridiskas personas bankas kontu. Uzņēmumam tas nav aizstājējs. Plašāku segumu parasti piedāvā brokeri, piemēram, Aon Latvia, sadarbībā ar apdrošinātājiem.

Kas parasti ietilpst uzņēmuma polisē

Uzņēmuma kiberpolises segumu parasti iedala trīs daļās. Pirmā ir paša uzņēmuma zaudējumi: datu un sistēmu atjaunošana, incidenta izmeklēšana, krīzes komunikācija. Otrā ir atbildība pret trešajām personām, piemēram, klientu prasības pēc datu noplūdes. Trešā ir darbības pārtraukuma zaudējumi. Aon Latvia savā produkta aprakstā min arī izpirkuma maksu datu atjaunošanai un sankcijas par datu aizsardzības pārkāpumiem.

Izslēgumi, kas jāatrod pirms parakstīšanas

Svarīgākais jautājums nav tikai tas, ko kiberpolise sedz, bet arī tas, vai citas jūsu polises kiberincidentus neizslēdz. Piemēram, ERGO apdrošināšanas līguma vispārīgie noteikumi (01.11.2022.) 10.3.8. apakšpunktā nosaka: ja speciālajos noteikumos nav noteikts citādi, zaudējumi netiek atlīdzināti, ja tos izraisījis informācijas tehnoloģiju drošības incidents. Tas ietver kiberuzbrukumus, pakalpojumatteices uzbrukumus un kaitnieciskas programmatūras, tostarp “ļaunprātīgas sistēmas bloķēšanas programmas”, izraisītus incidentus. Tāpēc īpašuma vai darbības pārtraukuma polise kiberincidentu bieži nesedz, ja vien tas nav tieši iekļauts.

Pārbaudiet šādus izslēgumus un nosacījumus:

• Kara un terorisma izslēgumi. Tie ir standarta vispārīgajos noteikumos (piemēram, ERGO 10.3.1. un 10.3.5. apakšpunkts). Pajautājiet, kā apdrošinātājs vērtē valsts atbalstītu uzbrukumu.
• Pirms līguma notikušie incidenti. BTA informācijas dokumentā norādīts, ka netiek atlīdzināti zaudējumi, ja risks iestājies pirms līguma noslēgšanas. Ja uzbrucējs sistēmā bija jau iepriekš, strīds par datumu ir iespējams.
• Drošības pasākumu nosacījumi. If papildsegumam uzņēmums apņemas veidot datu dublējumus, izmantot tikai likumīgu programmatūru un pretvīrusu programmas un kontrolēt datu pieejamību. Ja šie pasākumi netiek ievēroti, atlīdzība var tikt apdraudēta.
• Atgūtie zaudējumi. Ja zaudējumus atgūst no bankas vai cita avota, apdrošinātājs var pieprasīt izmaksāto atlīdzību atpakaļ (BTA informācijas dokuments).
• Apakšlimiti. Atsevišķām pozīcijām, piemēram, izmeklēšanai, juridiskajiem izdevumiem vai darbības pārtraukumam, var būt sava, mazāka summa nekā polises kopējā.

Ko jautā apdrošinātājs un kur atbilde jau ir jūsu NKDL dokumentos

Apdrošinātāju anketas nav standartizētas, un mēs nepublicējam nevienas konkrētas anketas saturu. Tomēr jautājumu tēmas atkārtojas, un tās sakrīt ar If papildseguma nosacījumiem un MK noteikumu Nr. 397 kontrolēm. Ja esat NKDL subjekts, lielākā daļa atbilžu un pierādījumu jums jau vajadzīga pašvērtējuma ziņojumam.

Tipiskas apdrošinātāja jautājumu tēmas un atbilstošās MK noteikumu Nr. 397 prasības

Apdrošinātāja tēma	MK 397 / NKDL	Pierādījums, ko var uzrādīt
Rezerves kopijas un to atjaunošana	67.–75. punkts; 74.2.: atjaunošanas pārbaude A klasei reizi 6 mēnešos, B klasei reizi gadā	Rezerves kopiju kārtība, pārbaužu žurnāls
Daudzfaktoru autentifikācija	52. punkts	MFA pārklājums pa kontu tipiem un sistēmu klasēm
Žurnālfaili un uzraudzība	57. punkts: A klasei vismaz 18, B klasei 12, C klasei 6 mēneši	Glabāšanas iestatījumi, analīzes kārtība
Incidentu reaģēšanas plāns	46. punkts; NKDL 34. pants	Procedūra, incidentu žurnāls, ziņošanas kontakti
Nepārtrauktība un atjaunošanas laiks	41.4. apakšpunkts (RPO, RTO, MTD); NKDL 28. pants	Kiberrisku pārvaldības un IKT darbības nepārtrauktības plāns
Darbinieku apmācība un pikšķerēšanas risks	76. punkts: sākotnējā instruktāža mēneša laikā, kārtējā reizi gadā	Apmācību uzskaite
Piegādātāji un attālinātā piekļuve	86.–92. punkts	Ārpakalpojumu līgumu klauzulas, pārvaldnieka saskaņojumi
Šifrēšana un tīkla segmentēšana	81. punkts; 55.–56. punkts	Šifrēšanas politika, tīkla shēma

Šī sakritība nozīmē, ka anketu nevajag aizpildīt atsevišķi. Ņemiet atbildes no tiem pašiem dokumentiem, ko izmantojat pašvērtējuma ziņojumam un obligātajai dokumentācijai. Ja anketā apgalvojat, ka MFA izmanto visur, bet pašvērtējumā norādāt daļēju ieviešanu, šī pretruna atlīdzības gadījumā var radīt problēmas. Savas kontroles ātri novērtēsiet gatavības pašpārbaudē.

Polise un ziņošanas pienākumi incidenta laikā

Polisē parasti noteikts pienākums nekavējoties informēt apdrošinātāju un bieži arī izmantot tā norādītos incidentu speciālistus. Aon Latvia piedāvājumā minēta arī “kvalificētu resursu piešķiršana” incidenta pārvaldībai. Tas var palīdzēt, taču valsts noteiktais ziņošanas grafiks paliek nemainīgs:

1. par nozīmīgu kiberincidentu agrīnais brīdinājums kompetentajai kiberincidentu novēršanas institūcijai (parasti CERT.LV) 24 stundu laikā (NKDL 34. panta otrā daļa);
2. sākotnējais ziņojums 72 stundu laikā, uzticamības pakalpojumu sniedzējiem 24 stundu laikā (34. panta trešā daļa);
3. incidentu žurnāla ieraksts 24 stundu laikā no konstatēšanas (MK 397 47. punkts);
4. ja skarti personas dati, paziņojums Datu valsts inspekcijai saskaņā ar VDAR.

Reaģēšanas plānā ierakstiet abas ķēdes paralēli: kurš ziņo valstij un kurš apdrošinātājam. Pārliecinieties, ka apdrošinātāja norīkotās komandas iesaiste neaizkavē ziņojumu CERT.LV. Vairāk par termiņiem ceļvedī par incidentu ziņošanu un ziņošanas laika skalā.

Kur apdrošināšana iederas kiberrisku plānā

MK noteikumu Nr. 397 41.4. apakšpunkts prasa kiberrisku pārvaldības un IKT darbības nepārtrauktības plānā norādīt nepārtrauktības raksturlielumus (piemēram, RPO, RTO un maksimāli pieļaujamo dīkstāves laiku) un rīcības plānu darbības atjaunošanai. Apdrošināšanu šajā plānā loģiski var ierakstīt kā riska apstrādes veidu konkrētam scenārijam, nevis kā vispārēju aizsardzību.

Piemērs. Loģistikas uzņēmuma noliktavas vadības sistēmai RTO ir 48 stundas. Izspiedējvīrusa scenārijā atjaunošana no nesaistītas rezerves kopijas aizņemtu trīs dienas, un uzņēmums aprēķina, cik maksātu dīkstāve, ārējie speciālisti un klientu līgumsodi. Riska reģistrā tad var ierakstīt trīs lēmumus: samazināt risku (atsevišķi glabātas rezerves kopijas, segmentēšana), nodot daļu finanšu seku apdrošinātājam (darbības pārtraukums un atjaunošanas izmaksas) un pieņemt atlikušo risku. Ja polisē ir tikai datu atjaunošanas papildsegums līdz 50 000 €, darbības pārtraukuma zaudējumi paliek nenodoti, un plānā tas jānorāda atklāti. Kā plānu sastādīt, skaidrots ceļvedī par darbības nepārtrauktību.

Piegādātāju apdrošināšana līgumos

Ja jūsu sistēmu uztur ārpakalpojuma sniedzējs, incidents var sākties pie viņa. MK noteikumu Nr. 397 87. punkts prasa līgumā paredzēt piegādātāja pienākumu nekavējoties ziņot par kiberincidentu un veikt novēršanas darbības, bet par apdrošināšanu tas neko nesaka. Tāpēc tas ir komerciāls lēmums. Mūsu ieteikums: lielākos IKT līgumos pieprasiet, lai piegādātājam būtu profesionālās atbildības vai kiberatbildības polise ar noteiktu minimālo limitu, un pārbaudiet, vai tā attiecas uz jūsu pakalpojumu. Līdzās tam jābūt MK 397 4. nodaļas klauzulām, nevis to vietā.

Kā izvēlēties: praktiska secība

1. Novērtējiet, cik maksātu nedēļas dīkstāve un datu atjaunošana jūsu svarīgākajai sistēmai. Šis aprēķins jau vajadzīgs nepārtrauktības plānā.
2. Pārbaudiet esošās īpašuma, atbildības un darbības pārtraukuma polises: vai tajās ir kiberizslēgums, kā ERGO 10.3.8. apakšpunktā.
3. Nosakiet, kurš veids jums vajadzīgs: papildsegums datu atjaunošanai vai pilna polise ar atbildību un darbības pārtraukumu.
4. Pieprasiet pilnos noteikumus, ne tikai produkta aprakstu, un atrodiet izslēgumus, apakšlimitus un drošības pasākumu nosacījumus.
5. Aizpildiet anketu no saviem MK 397 pierādījumiem un saglabājiet iesniegto versiju.
6. Iekļaujiet apdrošinātāja kontaktus un pienākumus incidentu reaģēšanas plānā un izmēģiniet tos mācībās.

Apdrošinātāji vērtē, cik labi esat sagatavojies izspiedējvīrusu uzbrukumam: rezerves kopijas, segmentēšana, atjaunošanas laiks. OffSeq vērtējums, cik ātri atjaunosieties pēc šifrēšanas uzbrukuma, sniedz pierādījumus, ko var izmantot gan anketā, gan pašvērtējumā.