Штрафы до 20 млн евро и выкупы хакерам: кто отвечает за кибербезопасность бизнеса

Во многих компаниях кибербезопасность до сих пор считают делом ИТ-специалистов, хотя именно руководство принимает решения о финансировании защиты и определяет допустимые риски. И просто приобрести современные технологии уже недостаточно. Важно четко понимать, как быстро удастся восстановить работу систем после хакерской атаки и какие операционные или финансовые потери бизнес готов принять ради достижения своих целей.

Сегодня этот процесс окончательно перешел в правовое русло. По словам адвоката Дениса Нагорнюка, сам факт взлома не означает автоматической вины генерального директора, однако руководитель может нести личную юридическую ответственность, если игнорировал угрозы или предупреждения специалистов.

Вместе с экспертами рынка мы рассмотрели основные правовые вызовы для бизнеса и практические примеры решений, реализованных украинскими компаниями.

Кто несет ответственность за взлом: грань между форс-мажором и просчетом руководства

Первый и главный вызов, с которым сталкивается бизнес в случае кибератаки, — определить круг ответственных лиц. Когда внутренняя инфраструктура предприятия подвергается серьезному удару, руководство часто пытается списать все на форс-мажорные обстоятельства. Однако правовая реальность гораздо суровее.

Сам факт взлома или управленческая ошибка автоматически не означают вины руководителя. Но если генеральный директор или совет директоров игнорировали известные угрозы, не реагировали на предупреждения собственных ИТ-специалистов и не обеспечили надлежащее управление киберрисками, то при определенных обстоятельствах может наступить гражданско-правовая ответственность перед акционерами, административные штрафы со стороны регулирующих органов и даже уголовная ответственность.

В то же время доказать ответственность конкретного должностного лица довольно сложно. Для этого может потребоваться комплексная компьютерно-техническая экспертиза, которая поможет установить обстоятельства атаки, действия сотрудников и руководства, а также фактические последствия инцидента. Поэтому руководитель не должен самостоятельно определять технические параметры защиты серверов, но должен понимать, какие потери грозят компании и сколько времени она сможет работать без критически важных систем.

Генеральному директору не нужно самостоятельно определять параметры восстановления серверов. Его задача — понимать возможные убытки, определять критические процессы и риск-аппетит: какие риски и в каком объеме компания готова принять ради достижения своих целей. Это основа для выбора стратегии управления операционными рисками и обоснования затрат на защиту

На практике это означает, что руководство должно знать, какие процессы необходимо восстановить в первую очередь после атаки, когда возобновят работу критически важные сервисы и насколько актуальными будут данные, доступные после восстановления.

• Читайте также: Кибербезопасность начинается с управления бизнесом

Игнорирование этих вопросов может обойтись бизнесу значительно дороже, чем своевременные инвестиции в защиту. Согласно исследованию Sophos "State of Ransomware 2026", в котором приняли участие 2 158 ИТ-и руководителей по кибербезопасности из 17 стран, медианная сумма выкупа, которую компании выплачивают злоумышленникам после атак с использованием программ-вымогателей, составляет 769 тыс. долларов. Восстановление после хакерской атаки обходится примерно в 1,7 млн долларов. А средняя сумма выкупа, которую хакеры требуют от украинских компаний, по оценке CISO Nova Digital Олега Полигенько, превышает 2 млн долларов.

Но даже значительные финансовые потери не исчерпывают всех последствий инцидента. Если из-за атаки компания не может выполнить обязательства перед клиентами или партнерами, возникает следующий вопрос: можно ли в такой ситуации избежать договорных штрафов, сославшись на форс-мажор?

Освобождает ли кибератака от договорных штрафов

Если в результате кибератаки останавливаются логистика, производство или розничная торговля, предприятие может столкнуться не только с прямыми убытками, но и с претензиями контрагентов из-за нарушения сроков поставки или выполнения других обязательств. Однако сам факт кибератаки не освобождает компанию от ответственности автоматически. Чтобы заявить о обстоятельствах непреодолимой силы, необходимо доказать, что они действительно препятствовали исполнению конкретного договора. В частности, необходимо установить причинно-следственную связь между атакой и невозможностью выполнить обязательства.

Для подтверждения компании может потребоваться индивидуальный сертификат Торгово-промышленной палаты Украины. В то же время наличие такого документа само по себе не гарантирует освобождения от ответственности: значение имеют условия договора, обстоятельства конкретного инцидента и возможность выполнить обязательства иным способом.

Отдельным риском является ненадлежащая подготовка к угрозам. Если предприятие не обновляло программное обеспечение, игнорировало известные уязвимости или не позаботилось о резервных копиях данных, это может затруднить обоснование своей позиции в суде.

Более того, компании зависят от внешней цифровой инфраструктуры: операторов связи, облачных сервисов и других поставщиков. Атака на одного из них может нарушить работу многих предприятий. Поэтому бизнесу следует предусматривать в договорах порядок действий в случае киберинцидентов, определять ответственность сторон и правила коммуникации во время сбоев. Это поможет заранее согласовать, как действовать, если выполнение обязательств окажется под угрозой.

Еще один способ снизить риски — передать часть функций киберзащиты профессиональному оператору. Речь идет об управляемых сервисах (Managed Services), в рамках которых внешняя команда обеспечивает мониторинг, обнаружение угроз и реагирование на инциденты.

По словам Романа Сологуба, в такой модели заказчик получает технологии, специалистов и процессы киберзащиты в качестве единой операционной функции. Условия ее работы стороны прописывают в договоре и соглашении об уровне обслуживания (SLA), где определяют перечень услуг, требования к их качеству и порядок взаимодействия.

Документальное подтверждение того, как именно организована киберзащита, может помочь компании продемонстрировать надлежащий подход к управлению рисками. Однако само по себе наличие договора с провайдером не гарантирует освобождения от юридической ответственности.

В профессиональной среде часто обращают внимание на парадокс кибербезопасности. Ведь, как отмечает соучредитель Berezha Security Group Владимир Стиран, это направление сложно представить инвесторам в качестве актива. Причина в том, что успешная работа систем защиты обычно незаметна: системы функционируют стабильно, а инцидентов просто не происходит.

Именно поэтому бизнесу необходимы регулярные технические аудиты и тестирование на проникновение (пентесты). Они помогают проверять защищенность инфраструктуры и выявлять уязвимости до того, как ими воспользуются злоумышленники.

Выход на рынки ЕС: как утечка данных может стоить контракта

Украинские B2B-компании, сотрудничающие с заказчиками из Европейского Союза и США, должны учитывать не только технические требования партнеров, но и правила обработки информации, а также договорные обязательства.

В ЕС действуют, в частности, Общий регламент по защите данных (GDPR) и директива NIS2, которая устанавливает требования к кибербезопасности для определенных категорий организаций. Эти документы регулируют различные аспекты защиты информации и управления киберрисками, поэтому компаниям важно понимать, какие именно требования распространяются на их деятельность.

По словам Дениса Нагорнюка, несоблюдение европейских правил может повлечь за собой серьезные финансовые последствия.

"В Европейском Союзе законодательство в сфере кибербезопасности сформулировано чрезвычайно четко — там действуют строгие директивы NIS2 и GDPR. За утечку персональных данных предусмотрены штрафы, которые могут достигать 20 миллионов евро или 4% от годового мирового оборота компании. Западные заказчики тщательно проверяют эти пункты и немедленно расторгают контракты, если поставщик не соответствует их стандартам", — отмечает юрист.

Важно отметить, что приведенные предельные суммы относятся к штрафам за отдельные нарушения GDPR, а не автоматически к любой утечке данных. Конкретные последствия зависят от характера нарушения и применимых норм.

Перед выходом на международные рынки украинскому бизнесу следует проверить договоры, внутренние правила обработки данных и фактические возможности выполнять обязательства перед партнерами. Особого внимания требуют цепочки поставок (Supply Chain): если небольшой подрядчик имеет доступ к системам крупной компании, его недостаточная защита может создавать риски для всего бизнеса.

В то же время требования к кибербезопасности могут стать конкурентным преимуществом Украины. Европейские институты уделяют внимание технологическому суверенитету и снижению зависимости от поставщиков из-за пределов ЕС. На этом фоне украинские компании могут использовать опыт противодействия реальным кибератакам для развития международного бизнеса — при условии, что они способны подтвердить качество своих решений и соответствие требованиям клиентов.

Пример такого сотрудничества приводит Роман Сологуб. По его словам, международная компания ISSP (Information Systems Security Partners) уже пятый год подряд предоставляет услуги центра мониторинга и реагирования на киберугрозы (SOC) швейцарской компании, работающей в сфере медицинских технологий. После открытия офиса клиента в США сотрудничество расширилось.

Стратегическая цель украинского рынка, по словам Сологуба, — превратить Украину в ведущий европейский центр решений и экспертизы в области безопасности, подобно тому, как израильская индустрия кибербезопасности закрепилась на рынке США. Однако для международной экспансии недостаточно одной только технологической экспертизы. Компаниям также необходимо контролировать, как сотрудники используют данные и новые цифровые инструменты. Особенно остро этот вопрос стоит на фоне распространения искусственного интеллекта.

Искусственный интеллект: как сотрудники могут раскрыть коммерческую тайну

ИИ помогает автоматизировать рабочие процессы, анализировать информацию и быстрее выполнять рутинные задачи. Однако использование общедоступных моделей без четких правил может создавать риск разглашения конфиденциальной информации.

По словам Дениса Нагорнюка, ошибочно полагать, что достаточно удалить из документа имена и другие очевидные идентификаторы, прежде чем загружать его в ИИ-сервис.

"Бизнес часто попадает в ловушку так называемого "обезличивания": сотрудники формально зачеркивают имена в документах, но оставляют открытой другую конфиденциальную информацию и уникальные условия соглашений, загружая их в общедоступный ИИ. Эти данные безвозвратно становятся общедоступными. Более того, при определенных обстоятельствах правоохранительные органы могут получить полную историю взаимодействия конкретного сотрудника с ИИ-моделями, что ставит под угрозу коммерческую тайну", — объясняет юрист.

В то же время утверждение о том, что загруженные данные во всех случаях безвозвратно становятся общедоступными, было бы слишком категоричным: условия хранения, использования и доступа к информации зависят от конкретного сервиса и настроек. Однако передача конфиденциальных документов стороннему инструменту действительно требует оценки рисков.

Поэтому компаниям следует определить, какую информацию разрешается вводить в ИИ-сервисы, какие инструменты могут использовать сотрудники и как будет контролироваться доступ к конфиденциальным данным. Но следует помнить: применение средств мониторинга не означает, что работодатель может без ограничений следить за сотрудниками: способы контроля также должны соответствовать правовым требованиям.

Риски не ограничиваются случайным разглашением информации. Искусственный интеллект используется и для совершенствования кибератак. Злоумышленники могут автоматизировать разведку внутри сетей, поиск уязвимостей и другие этапы атак, что сокращает время на обнаружение угроз и реагирование на них.

Как показывают глобальные исследования рынка, в частности ежегодный отчет IBM "Cost of a Data Breach", компании, активно внедряющие инструменты автоматизации и ИИ для защиты, выявляют и локализуют угрозы в среднем на 80 дней быстрее. Современные интеллектуальные решения класса AI SOC способны непрерывно анализировать поведенческие факторы в сети. Они мгновенно фиксируют аномалии, такие как нетипичное копирование корпоративных файлов ночью, и автоматически блокируют подозрительные действия еще до того, как злоумышленник нанесет значительный ущерб.

При соответствующих настройках система может автоматически блокировать угрозу на уровне устройства до того, как данные будут переданы за пределы корпоративной инфраструктуры. В то же время эффективность такой защиты зависит от настроек, качества данных, полноты мониторинга и процедур реагирования.

Таким образом, искусственный интеллект может быть как источником новых рисков, так и инструментом защиты. Решающее значение имеет то, имеет ли компания четкие правила использования технологий, контролирует ли она доступ к информации и способна ли своевременно выявлять подозрительную активность.

Что должен сделать бизнес, чтобы снизить риски

Как выяснил "Фокус", кибербезопасность перестала быть исключительно техническим вопросом. Она влияет на непрерывность работы предприятия, отношения с партнерами, международную экспансию и потенциальную юридическую ответственность руководства. И чтобы снизить риски, компаниям следует не только определить критические бизнес-процессы и допустимое время их простоя, но и регулярно проверять уязвимости, проводить технические аудиты и пентесты.

Юридическая и договорная составляющая защиты также требует внимания. Поэтому бизнесу важно заранее прописать в контрактах четкий алгоритм действий на случай кибератак и правила безопасного взаимодействия с контрагентами, ведь главный вопрос заключается не в том, произойдет ли кибератака, а в том, насколько компания готова к ее последствиям.

Ранее Фокус сообщал, что российские хакеры создали программное обеспечение, наделенное правом на автономные действия — от сбора разведданных и фишинга до внедрения вредоносного кода в программный код соответствующих учреждений. По данным владельцев ИИ-алгоритма, операция россиян длилась с декабря 2025 по август 2026 года. Так они использовали ИИ Claude для кибератаки и обучения дронов.

Также уже говорилось о том, как Россия манипулирует киберпространством и использует кибератаки, дезинформацию и манипуляции информацией против Украины с целью сеяния паники среди населения, ограничения доступа к достоверной информации и подрыва доверия к государственным институтам.