Кибер-риски в логистике: новые исключения в полисах

Киберриски в логистике перестали быть исключительно ИТ-проблемой: компрометация TMS, портовых терминалов или телематики конвертируется в остановку физических потоков. За последние годы логистические операторы столкнулись с ростом киберинцидентов, блокирующих физические потоки.

Данные Everstream Analytics подтверждают эту тенденцию: исследование аккумулирует информацию по инцидентам, затронувшим перевозчиков, портовых операторов, провайдеров 3PL и иные элементы транспортной инфраструктуры. С 2021 года зафиксирован рост числа атак почти на 1000%. В 2025 году количество киберинцидентов в логистике увеличилось на 61% — со 132 до 213 случаев.

Вектор атак смещается: злоумышленники целенаправленно бьют не по отдельным игрокам, а по общим транспортным сетям, где единичная компрометация узла создаёт каскадный эффект для тысяч контрагентов. Everstream прогнозирует, что в 2026 году ожидается двукратный рост числа кибератак на логистические компании относительно показателей 2025 года.

Страховое покрытие не успевает за эскалацией: стандартные полисы расширяют перечень исключений для системных сбоев, атаки на сторонних провайдеров TMS/WMS и инцидентов . Вопрос реального покрытия теперь упирается не в сам факт киберинцидента, а в классификацию его последствий — операционных, рыночных или регуляторных.

От «молчаливого кибера» к явным исключениям

До 2020 года киберубытки оставались в «серой зоне» — договоры имущества, BI и ответственности прямо не указывали, покрываются такие риски или нет. Вопрос решался через судебное толкование условий и исключений (например, по военным действиям). Страховщики не закладывали киберриски в стоимость полисов, а клиенты рассчитывали на покрытие по формулировкам «все риски».

Чтобы понять, как менялось страхование киберрисков, достаточно посмотреть на реакцию Lloyd's Market Association (LMA) и синдикатов Lloyd's — крупнейшего законодателя мод в коммерческом страховании.

После июля 2019 года крупнейший законодатель мод в коммерческом страховании Lloyd’s инициировал масштабную реформу для устранения «молчаливого кибера» (Silent Cyber), обязав страховщиков к 2020 году четко разделять риски на явно подтвержденные (Affirmative) или исключенные согласно циркуляру Y5258. Значимым этапом стал мандат Y5381 от августа 2022 года, ужесточивший требования к исключению убытков от государственных кибератак и межгосударственных конфликтов.

В 2025 году внедрение оговорок LMA5564 и LMA5567A/B задало стандарт для рынка перестрахования, переводя оценку рисков на модель «последствий» (Consequence-based). Эти документы окончательно зафиксировали необходимость явного указания кибер-рисков с выделенными лимитами, признавая все неуказанные цифровые угрозы исключенными.

Карта исключений: что именно исключается сегодня

Современные исключения структурированы по трем осям: кто атаковал (государство или нет), как проявился убыток (физическое повреждение или только простой) и масштаб (один клиент или вся система). Андеррайтер оценивает не сам факт атаки, а соответствие конкретным условиям договора — например, наличие официальной атрибуции, уровень нарушения работы, физический ущерб и географические лимиты.

По атакам со стороны государств главный вопрос — кто и когда определяет виновного. В оговорке LMA5567A указано, что учитываются «объективно разумные доказательства», включая заявления правительств, но это не единственный критерий.

LMA5567B не прописывает процесс атрибуции вовсе, что создает больше неопределённости: пока виновник не установлен официально, выплаты могут быть приостановлены, и покрытие зависит от того, распространяется ли исключение на сопутствующий ущерб за пределами атакованной страны.

В морском и грузовом страховании действует исключение Institute Cyber Attack Exclusion Clause CL380 (2003 года), которое не покрывает убытки, возникшие из‑за использования компьютера или кода как средства для нанесения вреда. С 2019 по 2023 год рынок перешёл на клаузы LMA5403 и новые Joint Exclusion Clauses JXL22‑010 и JXL22‑011 (2023 года), которые разделяют злонамеренные и незлонамеренные киберинциденты и допускают возврат покрытия для непреднамеренных сбоев (например, из‑за ошибок в обновлении), если нет враждебного умысла.

В полисах страхования грузов задержка исключается отдельно — даже если она вызвана застрахованным риском. Для логистики это критично: основной убыток при кибератаке — это простой терминала или порта, а не физическое повреждение груза, поэтому такие потери от задержки систематически остаются без покрытия. В полисах имущества и BI триггер бизнес‑перерыва привязан к физическому повреждению застрахованного объекта: если склад остановлен из‑за блокировки TMS, но ни одна единица имущества не пострадала, покрытие не срабатывает.

Крупные системные события ограничиваются через клаузы кумуляции и требования Lloyd's (Market Bulletin Y5381, август 2022 года; обязательное применение с 1 марта 2023 года). Страховщики вводят суб‑лимиты на катастрофические киберриски, требуют географической и секторной диверсификации и прямо исключают убытки от атак при поддержке государства, если они наносят существенный ущерб критически важным службам.

Отдельно оговариваются сбои внешних провайдеров — облачных платформ, TMS, телеком‑операторов. Если событие вызвано не атакой, а ошибкой в обновлении или настройках, оно классифицируется как незлонамеренное и может быть покрыто при наличии оговорок LMA5403 или JXL22‑010/011 (2023) с carve‑back; без таких оговорок риск остаётся на клиенте как исключённый киберсбой или системный отказ.

Где у логистики возникают разрывы покрытия

Каждый договор страхования обладает специфическим периметром ответственности, при этом именно на стыках различных полисов возникают критические пробелы в защите. При возникновении киберинцидента финансовый ущерб часто «мигрирует» между зонами ответственности, оставляя страхователя без покрытия из-за несовпадения условий.

Стандартные полисы грузового страхования покрывают физические повреждения товара, однако оговорки LMA5403 и CL380 часто исключают ущерб, вызванный преднамеренными кибератаками. В случае хищения через манипуляцию с TMS-системами страховщик может квалифицировать событие как киберпреступление, отказав в выплате, если компьютер стал основным инструментом злоумышленников.

Аналогичная ситуация складывается в морском страховании (Hull и P&I), где специализированные военные исключения (LMA5564–5567) нивелируют защиту при кибератаках, инициированных государственными структурами. В таких условиях судовладелец остается уязвимым, поскольку риск классифицируется как нестраховой или подпадающий под исключения высокого порядка.

В логистике ответственность перевозчика и экспедитора, базирующаяся на нормах CMR и FIATA, крайне ограничена и привязана либо к весу груза, либо к размеру фрахта. Подобные лимиты не способны покрыть реальные убытки клиента от простоя бизнеса, возникшего вследствие блокировки систем, так как данный риск не является физическим ущербом.

Имущественное страхование и полисы Business Interruption (BI) требуют наличия факта физического повреждения объекта, что делает их неэффективными при атаках программ-вымогателей. Если терминал парализован в результате шифрования данных, но оборудование остается технически исправным, стандартный триггер для выплаты по BI-покрытию не активируется.

Специализированные киберполисы предназначены для компенсации расходов на восстановление IT-инфраструктуры, однако они часто содержат суб-лимиты для зависимых бизнес-перерывов. Покрытие убытков от действий сторонних контрагентов зачастую доступно только в случае, если поставщик был предварительно поименован в договоре, оставляя прочие цепочки поставок вне зоны защиты.

Риски, связанные с мошенничеством и социальной инженерией, могут дублироваться в разных полисах, что провоцирует конфликты при урегулировании претензий. Страховщики нередко ссылаются на наличие другого договора, перекладывая ответственность, в то время как суб-лимиты в размере от 250 тыс. до 1 млн долларов часто не покрывают реальный масштаб ущерба от остановки сложных терминалов

Киберполис может не покрывать бизнес‑перерыв без указанного триггера, а ответственность оператора ограничена договорными лимитами. Задержка груза из‑за отказа TMS попадает под исключение задержки в грузовом полисе и под лимиты ответственности экспедитора. Реальный простой клиента остаётся на его балансе.

Восстановление данных и систем обычно покрывает киберполис: работа экспертов, переустановка, лицензии. Но расходы на возобновление операций (временный персонал, ручные процессы, альтернативная логистика) чаще идут по бизнес‑перерыву.

Они упираются в требование физического ущерба или поименованных поставщиков. Хищение груза через скомпрометированный доступ к биржам и системам бронирования квалифицируется как кибер‑кража. Грузовой полис может отказать по LMA5403, страховка от мошенничества — по территориальным лимитам, киберполис — по суб‑лимитам на бизнес‑перерыв.

Лимиты ответственности перевозчика и экспедитора (CMR, FIATA) взаимодействуют с убытком клиента через договорные условия о возмещении. Клиент получает компенсацию в пределах SDR за кг или вознаграждения за задержку.

Остальное остаётся незастрахованным убытком, если нет прямого киберполиса или покрытия зависимого бизнес‑перерыва. Многие контракты с экспедиторами включают собственное распределение киберрисков и лимиты — это дополнительно сужает возможность взыскания убытков с контрагента.

Разбор реальных инцидентов в отрасли

Даже при значительных операционных потерях страховая компенсация часто остаётся непрозрачной или ограниченной. Рассмотрим ряд крупных инцидентов:

• В июне 2017 года компания A.P. Moller – Maersk пострадала от атаки NotPetya: были остановлены системы бронирования, полностью заблокирована работа 76 портовых терминалов, выведены из строя 45 тысяч ноутбуков и 4 000 серверов. В отчётности за второй и третий кварталы 2017 года компания раскрыла совокупный чистый убыток в размере $200–300 млн, но детали страхового урегулирования и сумму компенсации публично не раскрыла.

• В апреле 2020 года malware-атака на штаб-квартиру MSC в Женеве вывела сайт и платформу бронирования на пять дней. Компания заявила, что инцидент затронул ограниченное число физических систем, но финансовая оценка и страховое урегулирование публично не раскрывались.

• Сентябрь 2023 года | KNP Logistics Group (Внешнее управление и коллапс): крупный британский логистический холдинг, включавший в себя 158-летнюю старейшую компанию Knights of Old, подвергся разрушительной атаке шифровальщика группы Akira. Были полностью заблокированы внутренние системы планирования, ERP-контур и финансовая информация. Несмотря на наличие полиса киберстрахования, компания не смогла оперативно восстановить операционную деятельность и привлечь экстренное финансирование. В результате группа официально объявила о банкротстве и перешла под внешнее управление (administration), уволив более 730 сотрудников. Этот кейс стал главным рыночным прецедентом «летального исхода» из-за кибератаки в секторе логистики.

• В июле 2023 года ransomware-атака на систему NUTS парализовала работу порта Нагои — погрузка и разгрузка контейнеров были остановлены более чем на двое суток. Это затронуло цепочки поставок Toyota и других промышленных экспортёров. Оценка ущерба в открытых источниках не раскрыта, информация о страховом покрытии отсутствует.

• В ноябре 2023 года киберинцидент в DP World Australia привёл к приостановке операций в терминалах Сиднея, Мельбурна, Брисбена и Фримантла — около 30 тысяч контейнеров остались заблокированными на три дня. Компания не обнародовала финансовую оценку убытка и не сообщила деталей страховой программы.

Еще читать по теме

Кибербезопасность в глобальной торговле: защита оборотного капитала при сбоях в портах и перебоях с платежами

Кибератака на портовую систему останавливает движение грузов и блокирует платежи по всему миру. Решение — переход на распределенные реестры, электронные коносаменты и смарт-контракты, которые устраняют единую точку отказа и сохраняют расчеты даже при локальных сбоях.

Институциональные рельсы: внедрение блокчейна для клиринга и расчетов по реальным активам

Perpetual KYC, апгрейдируемые прокси и ончейн-реестры: как архитектура 2026 года решает конфликт между неизменяемостью блокчейна и динамикой регуляторных требований к RWA.

Ключевые тезисы Давоса в 2026 году

Подробный разбор итогов ВЭФ в Давосе: токенизация активов, суперцикл биткоина и слияние TradFi с DeFi.

Бычий рынок криптовалют

Бычий рынок криптовалют — время возможностей. Узнайте, как бизнесу использовать буллран для роста и финансирования.

Судебная практика после NotPetya: как суды читают кибероговорки

Атака NotPetya (июнь 2017 года) стала поворотным событием не только по масштабу, но и по числу последующих споров о страховом покрытии. Именно эти дела показали, как суды интерпретируют военные и кибер‑исключения в условиях, когда вред нанесён через программный код, а не через физическое разрушение.

В деле Merck & Co. v. Ace American Insurance (США, 2022–2023) суд первой и апелляционной инстанции не применил военное исключение к NotPetya и признал право компании на покрытие убытков в размере $1,4 млрд. Суд указал, что классическая оговорка об «актах войны» исторически применяется только к физическим боевым действиям.

Страховщики не уточнили её для киберпространства. Этот прецедент парализовал старый рынок киберстрахования и подтолкнул синдикат Lloyd's к выпуску принципиально новых, жёстких исключений государственных кибератак, включая серии LMA5564 и LMA5567.

Ряд иных крупных споров завершился мировыми соглашениями без финальных судебных прецедентов. Например, в резонансном деле Mondelēz International v. Zurich American Insurance стороны заключили конфиденциальное внесудебное урегулирование в октябре 2022 года, прямо перед вынесением вердикта.

Такая практика типична для крупных корпораций и страховщиков, стремящихся избежать публичных юридических прецедентов. Но она наглядно показывает, что при масштабных кибератаках выплата всегда становится предметом длительных и жёстких переговоров.

Условия как гарантии: когда полис есть, а выплаты нет

В структуре киберстрахования выделяют три категории обязательств: рекомендации, условия и гарантии, где последние представляют собой юридически значимые заверения страхователя. В то время как рекомендация носит факультативный характер, невыполнение условий или гарантий может повлечь за собой отказ в страховом покрытии.

Ключевым стандартом безопасности сегодня является внедрение многофакторной аутентификации (MFA) для всех узлов сети, включая почтовые сервисы, VPN‑шлюзы и учетные записи с административными привилегиями. Критически важно обеспечить наличие изолированных резервных копий данных, проходящих регулярную верификацию на предмет успешного восстановления.

В текущей практике наличие систем защиты конечных точек (EDR/XDR), своевременное управление патчами и сегментация корпоративной сети всё чаще фиксируются в полисах как гарантии. Несоблюдение этих строгих технических регламентов автоматически нивелирует обязательства страховщика по выплате возмещения.

При анализе инцидентов решающее значение имеет «ретроспективная дата», определяющая временные границы ответственности страховщика за кибератаки. Если компрометация сетевого периметра произошла до установленного периода, страховщик вправе отклонить претензию, даже если факт взлома был выявлен в период действия договора.

Особого внимания требует защита производственных систем, таких как SCADA и PLC, поскольку стандартное покрытие киберполиса обычно ограничивается лишь корпоративным IT‑контуром. Для предотвращения финансовых потерь от остановки промышленных мощностей необходимо явно включать объекты операционных технологий (OT) в предмет страхового договора.

Наиболее частая причина отказа в выплате - расхождение между заявленным уровнем кибербезопасности и реальной инфраструктурой, квалифицируемое как искажение фактов (misrepresentation). При этом отсутствие умысла на обман не освобождает страхователя от ответственности, если предоставленная при андеррайтинге информация не соответствует фактическому положению дел.

Ярким прецедентом расторжения договора из‑за недостоверных сведений об инфраструктуре стал судебный спор Travelers Property Casualty Company of America v. International Control Services (ICS) (США, 2022). Страховщик потребовал аннулировать полис (rescission of the policy) после того, как компания ICS подверглась атаке шифровальщика.

В ходе расследования выяснилось, что страхователь в андеррайтинговой анкете письменно подтвердил повсеместное использование MFA, тогда как в реальности защита была развернута лишь на ограниченном числе серверов. Суд утвердил право страховщика признать договор недействительным с момента подписания, поскольку недостоверные данные в анкете исказили оценку принимаемого риска.

Регуляторный слой и его связь со страхуемостью

Транспорт и логистика подпадают под европейские правила защиты от киберугроз — их фиксирует директива NIS2. Документ действует в 18 отраслях, включая перевозки, почту, курьерские услуги, складирование и логистику. Компании делят на «существенные» и «важные» — с учётом масштабов и роли в экономике.

Компании, на которые распространяется NIS2, обязаны усиливать защиту от цифровых угроз. Им нужно контролировать риски в цепочке поставок и своевременно сообщать властям о происшествиях. О случившемся уведомляют в течение суток, затем за 72 часа готовят развёрнутую оценку, а через месяц — итоговый отчёт.

Руководители лично отвечают за соблюдение требований. За нарушения грозят штрафы — до 10 миллионов евро либо до двух % от общемирового оборота.

В морской отрасли действуют отдельные правила. Резолюция ИМО MSC.428(98) требует включать защиту от киберугроз в систему безопасности судна.

Это обязательно с первой ежегодной проверки после 1 января 2021 года и касается судов по конвенции СОЛАС.

Соблюдение норм напрямую влияет на условия страхования. Страховщики берут требования NIS2 и ИМО за основу при оценке надёжности компании. При отсутствии подтверждений или при повторных нарушениях могут поднять цену полиса, снизить лимиты или отказать в страховке.

При разборе страховых случаев игнорирование обязательных правил могут счесть нарушением договорённостей. Тогда в выплате возмещения вправе отказать. Компании с подтверждённым соблюдением норм (например, с сертификатом ISO 27001 или оформленной системой безопасности по ИМО) получают более выгодные условия. Они быстрее проходят проверку по страховым обращениям.

Пробелы в соблюдении правил усиливают внимание страховщиков. К ним относят отсутствие отчётов о происшествиях, слабую сегментацию сетей, неуведомление надзорных органов. Из‑за таких недочётов возрастает риск расторжения договора, если выяснится, что сведения о защищённости были искажены.

Выводы для риск-менеджера

1. Что проверять в полисах прямо сейчас.

В имущественном и карго-страховании критично посмотреть триггер бизнес-перерыва: привязан ли он к физическому повреждению. Если да — остановка из-за ransomware без ущерба имуществу не покрывается. В киберполисе проверьте, включены ли OT-системы (SCADA, PLC, краны, конвейеры) — стандартно они исключены. Найдите формулировки по атрибуции государственных атак (LMA5567A/B): если процесс не прописан, выплата может быть приостановлена на неопределённый срок.

2. Какие вопросы задавать брокеру при пролонгации.

Уточните, являются ли требования по MFA, EDR и изолированным бэкапам гарантией (warranty) — их нарушение даёт право отказать в выплате. Спросите про ретроспективную дату: если проникновение случилось до неё, инцидент не покроют. Узнайте суб-лимиты на зависимый бизнес-перерыв и что считается зависимостью второго уровня. И спросите, какие доказательства атрибуции гос-атаки страховщик сочтёт достаточными.

3. Что документировать до инцидента.

Зафиксируйте, на каких системах реально внедрены MFA и EDR — расхождение с анкетой страховщик расценит как искажение фактов. Ведите журналы установки мер защиты и регулярных проверок бэкапов. Составьте реестр всех IT- и OT-поставщиков с пометкой, кто поименован в полисе. Оформите внутренний регламент уведомлений о киберинцидентах по NIS2 (24/72 часа) — неуведомление надзора может стать основанием для отказа.

4. Какие сценарии застраховать не получится и что делать.

Рынок систематически исключает: чистый простой без физического ущерба, задержку груза (даже от застрахованного риска), государственные атаки до официальной атрибуции, реальный убыток клиента сверх лимитов CMR/FIATA и зависимый BI у неназванных поставщиков. Помимо страхования закладывайте эти риски в операционные резервы, прописывайте в контрактах обязательства контрагентов по компенсации, разрабатывайте BCP для ручного режима и строго соблюдайте NIS2/ИМО — это единственный способ удерживать страхуемость.

Часто задаваемые вопросы (FAQ)

1. Кто и на каком основании определяет, что кибератака была совершена при поддержке государства, и что происходит с выплатой до момента атрибуции?

Согласно стандартам LMA (пункт Attribution of a Cyber Operation), основным фактором является официальное заявление правительства пострадавшего государства (где физически расположена атакованная система). Отчёты коммерческих киберразведывательных компаний могут использоваться страховщиком как вспомогательное доказательство, если они признаны «объективно разумными»

В редакции LMA5567B у страховщика нет права на самостоятельный вывод. Он обязан дожидаться официальной атрибуции от государства. Если правительство молчит, страховщик юридически не может применить исключение кибервойны.

Что происходит с выплатами до момента атрибуции? Действует стандартное правило страхового права: пока исключение не доказано страховщиком, событие считается покрываемым.

2. Покрывается ли простой склада или терминала, если физического ущерба имуществу не было?

Теоретически специализированный полис страхования киберрисков должен покрывать простой склада или терминала, даже если физического ущерба имуществу не зафиксировано. В теории для запуска процесса выплат не требуется наличие пожара, обрушения стеллажей или иного повреждения оборудования. Страховым событием признается сам факт критической недоступности ИТ-систем, когда вирус-вымогатель блокирует базы данных и делает невозможной операционную деятельность.

Однако на практике страховые компании часто используют юридические лазейки, навязывая интерпретацию «нет физического ущерба — нет покрытия». Они могут оспаривать классификацию события, пытаясь перевести его в разряд иных исключений или требуя доказательств прямого воздействия на инфраструктуру. Часто андеррайтеры настаивают на жестком толковании условий договора, чтобы минимизировать выплаты по бизнес-перерыву, ссылаясь на отсутствие материального повреждения объектов.

3. Что происходит с покрытием, если инцидент произошёл у подрядчика или провайдера ПО, а убыток понесла логистическая компания?

Этот риск покрывается, если в вашем полисе активировано расширение «Зависимый перерыв в производстве» (Dependent Business Interruption). В этом случае сбой в облаке провайдера или ИТ-системе критического подрядчика приравнивается к аварии на вашей собственной инфраструктуре. Страховка компенсирует финансовые потери, которые ваша логистическая компания понесла из-за чужой халатности. Однако страховщик выплатит компенсацию только в рамках установленного сублимита, который часто меньше основного покрытия. После выплаты страховая компания имеет право потребовать возмещения этих денег напрямую с виновного провайдера.

4. Может ли страховщик отказать в выплате из-за несоблюдения технических требований, заявленных при заключении договора?

Да, страховщик имеет на это полное юридическое право. При оформлении полиса вы подписываете анкету, где гарантируете наличие определённых мер защиты — например, обязательного MFA или систем EDR. Если после атаки экспертиза выяснит, что эти меры были отключены или существовали только на бумаге, это признают искажением фактов.

Договор страхования может быть аннулирован задним числом с момента его подписания. В результате компания не только получит полный отказ в текущей выплате, но и столкнётся с трудностями при следующем размещении: факт искажения будет раскрыт и ухудшит условия андеррайтинга.