Киберриски переходят из разряда чисто технологических угроз и рисков в финансовые. Кибератаки чреваты для бизнеса не только поражениями ИТ-инфраструктуры, но и потерями или утечками данных, сбоями и остановками производства или продаж и, как следствие, значительными расходами на восстановление. Логичным вариантом страховки от киберрисков мог бы стать страховой киберполис, однако, несмотря на заинтересованность бизнеса в таком продукте, рынок развивается медленно. По оценкам ВСК, сборы по киберстрахованию в 2025 году составили 1 млрд руб. без учета коробочных продуктов, или около 0,025% объема всего российского страхового рынка. В то же время количество кибератак растет: по оценкам «Солар», в январе-сентябре 2026 года число подтвержденных инцидентов выросло на 38% по сравнению с тем же периодом 2025 года и достигло 31,7 тыс., а доля атак против промышленности за год увеличилась на 11 п.п. Может ли киберстрахование стать защитой для бизнеса, что сдерживает развитие этого направления и как сдвинуть ситуацию с мертвой точки — обсудили участники Форума СОПОС «Киберстрахование-2026», организованного при поддержке РБК Петербург.
Масштаб спроса на полисы киберстрахования в России невелик — рынок находится в начальной стадии развития. Однако на фоне увеличения числа кибератак в 2026 году спрос на такую защиту стал устойчиво расти. «В «АльфаСтрахование» количество заключенных договоров год к году увеличилось на 25%. К продукту проявляют интерес уже не только крупные компании, но и малый и средний бизнес», — отметила руководитель управления страхования финансовых рисков «АльфаСтрахование» Алина Малышева.
Алина Малышева, «АльфаСтрахование» (Фото: пресс-служба)
Цену восстановления после кибератаки лучше всех знают те, кто за него уже заплатил, и именно они становятся первыми клиентами страховщиков. Вице-президент ВСК, руководитель дирекции страхования киберрисков Антон Казиев рассказал, что только работа внешних подрядчиков, которые возвращали его компанию к обычной деятельности, обошлась организации примерно в 140–170 млн руб. «Вектор атаки, которая произошла год назад, был связан со взломом нашего подрядчика. Сейчас это самый распространенный способ проникновения: защищены вы, ломают вашего подрядчика, который защищен хуже, а дальше все зависит от его прав доступа, — рассказал Антон Казиев. — 90% наших страхователей — это ранее атакованные компании. До атаки они думали, что с ними ничего не произойдет, либо акционеры не хотели вкладываться в этот риск. После восстановились, улучшили кибербезопасность и пришли страховаться». На момент инцидента компания застрахована не была, а полис оформила после нее, уточнил Антон Казиев.
Антон Казиев, ВСК (Фото: Валентин Беликов/РБК Петербург)
Покупке киберполиса в основном препятствуют его высокая стоимость и неподходящие для бизнеса условия. По словам руководителя направления по развитию бизнеса компании Ideco Алексея Паздникова, «даже крупным клиентам нередко не хватает денег на требования регуляторов, и киберстрахование в списке расходов далеко не первое».
Алексей Паздников, Ideco (Фото: Валентин Беликов/РБК Петербург)
Директор департамента по информационной безопасности ГУП «Водоканал Санкт-Петербурга» Геннадий Стародубцев рассказал, что варианты страхования таких рисков рассматривались, но по итогам оценки экономической составляющей был сделан вывод о нецелесообразности этой идеи. «Оборудование давно отслужило положенные пять лет, работает очень хорошо, а его остаточная стоимость — рубль. Страховая скажет: получите рубль. Но на этот рубль новое оборудование не купить, а сетевая техника с начала года сильно подорожала», — пояснил Геннадий Стародубцев.
Геннадий Стародубцев, ГУП «Водоканал Санкт-Петербурга» (Фото: Валентин Беликов/РБК Петербург)
Киберстрахование не может быть заменой информационной безопасности компании. Более того, в значительном количестве случаев требования к ИБ со стороны страховщиков при оценке риска могут быть выше, чем у самой организации. Без реализованного контура информационной безопасности вообще говорить о страховании от киберрисков невозможно — ни один страховщик не будет рассматривать такой риск к принятию на страхование, отметили участники Форума. Генеральный директор АО «НСИС» Николай Галушин рассказал о почти десятидневной DDoS-атаке, при которой сервис перегружали потоком запросов — на пике нагрузка превышала обычную в тысячу раз. Отбить атаку компании помогла заранее созданная и настроенная система защиты. «Защиту от DDoS нельзя купить в момент атаки. Вернее, бесполезно: выбор варианта, разворачивание защиты — это потеря драгоценного времени. Защиту нужно создать и разворачивать в принципе, заблаговременно, и переложить эти расходы на страховую компанию невозможно», — отметил Николай Галушин.
Страховщик покрывает убытки, которые возникают, когда атака все же «пробила» защиту. «Киберстрахование — это страхование остаточного риска. Хочу подчеркнуть, что полис не освобождает компанию от необходимости защищать инфраструктуру: недостаточно купить страховку и ждать выплаты», — пояснил СЕО «Стахановец» Дмитрий Исаев.
Дмитрий Исаев, «Стахановец» (Фото: Валентин Беликов/РБК Петербург)
Киберполис также не покрывает штрафы за утечку данных в случае кибератаки. «Оборотный штраф за утечку данных — наказание, а не убыток, и ни один страховщик его не возместит. Более того, от оплаченного в доход государства штрафа ни один субъект персональных данных, который мог пострадать от их утечки, ничего не получает», — подчеркнул Николай Галушин. Зато юридическую защиту полис оплачивает: суды в ряде дел снимали штраф с компаний, доказавших, что они приняли все ИБ-меры, напомнил Антон Казиев.
«Компании, которые прошли атаку, знают, что юридические услуги после нее стоят очень дорого. Если полис покрывает представление интересов и защиту, он может быть выгоден уже за счет одних этих расходов», — подтвердил адвокат АБ «Коблев и партнеры» Даниил Зологин.
Даниил Зологин, АБ «Коблев и партнеры» (Фото: Валентин Беликов/РБК Петербург)
Компании, все же заключившие договор киберстрахования и купившие полис, сталкиваются с экзистенциальным вопросом: что считать страховым случаем, подчеркнули эксперты Форума СОПОС.
Перспективы и размер выплаты зависит от того, что именно в договоре указано как страховое событие и как эти формулировки в дальнейшем трактуют и квалифицируют следователь и суд. Даниил Зологин рассказал о примере из собственной практики — договоре, в котором страхование от кибервымогательства изначально опиралось только на статью 163 УК РФ. «Эта статья описывает вымогательство как требование денег или имущества под угрозой насилия, уничтожения имущества или распространения вредных для человека сведений. Но вымогательство при хакерской атаке — это не всегда вымогательство в контексте статьи 163 УК РФ: когда шифруются файлы и появляется требование заплатить за дешифратор, то это не подпадает под признаки данной статьи. В итоге уголовное дело по 163-й не возбуждают, и страховщик не может произвести выплату», — объяснил Даниил Зологин.
«В данном случае мы, изучив договор вместо со страховщиком, нашли этот «порок», поменяли формулировку, убрали привязку понимания вымогательства именно в контексте статьи 163, и расписали документ так, как выгодно страхователю, чтобы предостеречь его от последующих негативных последствий в виде невыплаты со стороны страховщика», — добавил юрист. По мнению Антона Казиева, термины договора киберстрахования нужны для построения покрытия и не обязательно должны совпадать с терминологией статей УК, иначе страховщик нарушит логику построения страхового покрытия, что может привести к трудностям с выплатой возмещения.
Открытым остается и вопрос, кому страховщик должен перечислять выплату. «Один из вариантов — направлять деньги напрямую поставщику, который занимается восстановлением инфраструктуры. Это снизит риск того, что клиент попытается получить компенсацию за собственную небрежность или умышленные действия», — полагает Дмитрий Исаев. Но тогда компания лишается права сама выбирать подрядчика, а к прежнему интегратору у нее могут быть вопросы, возразил Алексей Паздников.
Еще сложнее обстоят дела с оценкой самого киберриска: единой методики на рынке нет. По словам директора по информационной безопасности СОГАЗа Георгия Старостина, страховая компания использует собственную методику, разработанную на основе требований ФСТЭК и ГОСТ Р 57580. Защищенность оценивается дифференцированно, по зонам надежности: системы разного уровня критичности — например, банковское ядро и рабочее место сотрудника филиала — требуют разных подходов к защите, и сравнивать их не совсем корректно, добавил ИБ-эксперт.
Георгий Старостин, СОГАЗ (Фото: пресс-служба)
Однако мнения участников Форума о том, нужна ли рынку общая методика уже сейчас, разошлись. Генеральный директор ООО «Совет по страхованию» (СОПОС) Юрий Волков уверен, что без нее рынок не вырастет. «Одна компания попросила меня оценить, стоит ли заключать конкретный договор страхования киберрисков. Я спросил, как будем доказывать страховщику, что произошел именно компьютерный инцидент: DDoS-атака, взлом и так далее при условии, что вы режимное предприятие? Как будем доказывать, что это не проявление кибертерроризма, что исключает страховое возмещение? И масса других вопросов. Страховщики, которые приходили к ним потом, на эти вопросы не ответили или ответили так, что не убедили. Поэтому методика, терминология, на мой взгляд, ключевая вещь», — рассказал Юрий Волков.
Его оппоненты в качестве аргументов приводят относительную молодость рынка и быстрый темп развития технологий. «Угрозы меняются каждый год, поэтому общая методика будет все время опаздывать», — пояснил Георгий Старостин. По мнению Дмитрия Исаева, методику стоит развивать постепенно: начать с простого подхода и уточнять оценки по мере накопления страховых случаев. Алексей Паздников предположил, что при сотнях тысяч договоров статистика сгладит ошибки, а киберполисы в итоге подешевеют.
Подсказать верный путь может отрасль, где подобные правила уже есть: например, морская логистика. Все суда классифицируют по разным признакам — по назначению, по размеру и типу операций, по уровню цифровизации — и в результате комплексной оценки страховая компания вырабатывает индивидуальные условия страхового полиса, рассказал заместитель начальника управления технической экспертизы Российского морского регистра судоходства Владимир Викулин.
Владимир Викулин, Российский морской регистр судоходства (Фото: Валентин Беликов/РБК Петербург)
«Класс служит референсом и означает, что на таком судне гарантированно внедрены всем известные требования. Это еще не полис, а меры до наступления события, но они позволяют страховой компании понять, что одно судно обладает такими параметрами и неплохо защищено в цифровом плане, а на другом стоит простое «железо» и, соответственно, это чревато серьезными киберрисками», — пояснил Владимир Викулин. Но даже в такой «продвинутой» сфере остаются белые пятна. «Как отмечают сами страховщики, одна из причин — отсутствие реальной статистики, что связано с целым рядом факторов. В их числе нежелание судовладельцев делиться информацией по фактам взломов из-за опасения возможных репутационных потерь», — добавил эксперт.
Пока же, в отсутствии общей методики оценки рисков и без достаточной базы статистических данных, страховые тарифы определяются путем переговоров страхователя и страховщика. Ситуация дополнительно осложняется и тем, что до сих пор не выработаны критерии качества самих систем защиты. Зачастую производители ПО нередко обещают больше, чем на деле может продукт. Порядок здесь, по мнению Геннадия Стародубцева, как раз могли бы навести страховщики. «Надеюсь, что страховщики, придя на наш рынок, помогут избавиться от детских болезней. Бывает, например, что производитель заявляет десять правил, а в продукте их восемь. После страхового случая страховая это выяснит и найдет способ повлиять на производителя, чтобы он не обещал того, чего нет», — пояснил Геннадий Стародубцев.
Сейчас Минцифры, Минфин и Всероссийский союз страховщиков обсуждают возможность введения вмененного финансового обеспечения владельцев объектов критической информационной инфраструктуры первой, второй и третьей категорий, как это определено в рамках 187-ФЗ. Предполагается, что они должны будут подтверждать финансовую готовность к кибератаке полисом, банковской гарантией или собственными средствами, но единой позиции в органах госвласти по данному вопросу на текущий момент нет, рассказал Антон Казиев.
В качестве «пилотного полигона» Минцифры рассматривает финансовую отрасль, где риски хорошо считаются, и, в частности, сами страховые компании: они застрахуют сами себя. Методику оценки ущерба министерство уже готовит: проект единой методики Всероссийский союз страховщиков направил в Минцифры в июне.
По мнению участников дискуссии, модель страхования от киберрисков стоит создавать по аналогии с автострахованием, в том числе предусмотреть «аварийного комиссара», который оказывал бы экстренную помощь сразу после кибератаки. «Стоимость киберполиса должна быть сопоставима с КАСКО: эта система хорошо работает. Поэтому киберстрахование надо строить по аналогии, на трех китах: прозрачных правилах, доступной цене и четких процессах», — добавил Дмитрий Исаев.
Дискуссии в рамках Форума СОПОС «Киберстрахование-2026» показали, что скепсис в отношении киберстрахования постепенно сходит на нет: у бизнеса появляется интерес к этому инструменту. Его развитие тормозится из-за отсутствия единых правил, и в этом участники рынка рассчитывают на государство. «Тема киберстрахования перспективна. Но нужны единые подходы и методики, и Минцифры могло бы выступить драйвером этого вида страхования», — отметил Юрий Волков.
Источник: РБК Петербург
Фото: magnific.com, Валентин Беликов/РБК Петербург, пресс-служба «АльфаСтрахование», пресс-служба СОГАЗ
Наша компания имеет интерес к вступлению в закупочный пул по ДМС
