Kyberhyökkäys ja keskeytysvakuutus — tavallinen keskeytysvakuutus ei korvaa sitä.
Kyberhyökkäys ja keskeytysvakuutus eivät kuulu samaan sopimukseen. Kiristysohjelma voi pysäyttää tilausjärjestelmän yhtä varmasti kuin tulipalo tuotantolinjan, mutta keskeytysvakuutus korvaa vain esinevahingon seurauksia, ja tietomurto on rajattu esinevakuutuksesta pois. Kyberkeskeytys korvataan erillisestä kyber- tai tietoturvavakuutuksesta, jos yrityksellä sellainen on.
Tietomurto ja liiketoiminnan keskeytys: miksi omaisuusturva ei riitä.
Kaikilla neljällä yhtiöllä tavallinen keskeytys- ja esinevakuutus jättää kyberhyökkäyksen ulkopuolelle. Kaksi rajaa sen suoraan keskeytysehdossa, kaksi esinevakuutuksessa.
Keskeytysvakuutus korvaa katemenetyksen, kun sen taustalla on korvattava esinevahinko. Kiristysohjelman salaamat tiedostot tai palvelunestohyökkäyksen kaatama verkkokauppa eivät ole esinevahinkoa tavallisessa mielessä, ja ehdot on kirjoitettu niin, ettei asiasta jää tulkinnanvaraa.
Fennian ja OP Pohjolan keskeytysehdoissa rajaus on lähes samoin sanoin: keskeytystä, joka johtuu tietomurrosta, haittaohjelmasta, tietoliikenteen häirinnästä tai muusta vastaavasta vahingonteosta, ei korvata (YT298 3.2.3, KE 03 5.2). Turvan ja LähiTapiolan keskeytysehdossa vastaavaa rajausta ei ole, mutta niiden esinevakuutus ei korvaa tietoturvaloukkauksesta tiedostoille, ohjelmistoille tai tietokoneille aiheutuvaa vahinkoa, ja tietoturvaloukkaukseksi luetaan nimenomaan tietomurto, haittaohjelmatartunta ja palvelunestohyökkäys (ES1 5.4). Pohjantähden omaisuusvakuutus rajaa haittaohjelman, tietoliikenteen häirinnän ja tietoturvaloukkaukset pois samalla tavalla (OM330 2.7). Kun esinevahinkoa ei korvata, keskeytyskään ei tule korvattavaksi.
Kokemukseni mukaan liiketoiminnan katkos on kyberhyökkäyksen tyypillinen ja varteenotettava seuraus. Keskeytysvakuutus ei sitä korvaa, koska keskeytyksen taustalla ei ole omaisuusvakuutuksen ehtojen mukaan korvattava vahinkotapahtuma vaan hyökkäys, ja riski on siksi vakuutettava kybervakuutuksella. Seuraukset voivat silti olla yhtä raskaat kuin tulipalon jälkeen: liiketoiminta on keskeytyksissä, kunnes ongelma on korjattu.
Tämä on sama periaate, jonka takia myös verkon sähkökatko jää korvaamatta, ellei se riko mitään. Kaikki keskeytyksen syyt ja niiden esinevahinkovaatimus on koottu muiden keskeytyksen aiheuttajien yhteenvetoon. Olemme käyneet läpi myös muut perusturvasta rajatut syyt, kuten tartuntataudit.
Kun palo tuhoaa palvelimen, raja kulkee toisaalla
Kyberrajaus ei tarkoita, ettei tietojärjestelmien vahinkoa korvata koskaan. Jos tulipalo tai vuoto tuhoaa palvelimen, taustalla on korvattava esinevahinko, ja keskeytys korvataan tavalliseen tapaan. Fennian ehdossa keskeytysaika on kuitenkin tällöinkin rajattu: kun keskeytys johtuu sähköisten tietojen, tiedostojen, ohjelmistojen ja tietojärjestelmien tuhoutumisesta, keskeytysaika on enintään 14 vuorokautta esinevahingosta (YT298 2.2.3). Varmuuskopioiden palautuksen pitää siis onnistua kahdessa viikossa.
Kybervakuutuksen keskeytysosa toimii eri logiikalla kuin keskeytysvakuutus.
Neljästä vertailemastamme yhtiöstä kahdella on ehtokirjastossamme kybervakuutus, jonka osana on liiketoiminnan keskeytys. Niiden korvausaika ja omavastuu toimivat eri tavoin.
Fennian tietoturvavakuutus korvaa keskeytysvakuutuskatteen menetyksen, joka aiheutuu tietojärjestelmien käytön keskeytymisestä tai tietojen käytön estymisestä tietoturvapoikkeaman suoranaisena seurauksena (YT180 3.3). Keskeytysaika alkaa vakuutuskirjaan merkityn omavastuuajan jälkeen ja päättyy, kun järjestelmät ovat taas täysin käytettävissä. Korvausta maksetaan enintään kolmen kuukauden ajalta, ellei vakuutuskirjaan ole merkitty muuta. Omavastuuaika tulee tavallisen omavastuun lisäksi (YT180 8.1).
Turvan kybervakuutuksessa keskeytysosa on oma lukunsa, ja se laukeaa vain, kun keskeytys on seurausta kustannusvakuutuksesta korvattavasta tapahtumasta (CY2 5.2.1). Niitä on viisi: haittaohjelma, tietovarkaus tai tietoväärennös, palvelunestohyökkäys, tietosuojaloukkaus ja luvaton pääsy tietojärjestelmiin (CY2 4.2). Omavastuuajan sijaan ehdossa on odotusaika, ja ero on olennainen. Jos keskeytys kestää alle odotusajan, mitään ei korvata. Jos se kestää kauemmin, vahinko lasketaan koko keskeytysajalta alusta lähtien (CY2 8.4.2). Turvan tuoteselosteen mukaan odotusaika on tyypillisesti 24 tuntia ja korvausaika enintään kaksi kuukautta, eikä keskeytysosassa ole omavastuuta. Nämä ovat tuoteselosteen tyypillisiä arvoja, eivät ehdon määräyksiä, joten oma vakuutuskirja ratkaisee.
Ehtokirjastossamme ei ole LähiTapiolan, Pohjantähden eikä OP Pohjolan kybervakuutusta, joten niiden osalta emme voi kertoa, millaisena keskeytysturva on saatavilla. Turva ja LähiTapiola käyttävät keskeytyksessä samaa ehtoa, mutta kyberissä ne eivät ole vaihdettavissa keskenään. Yhtiöiden omat keskeytystuotteet on esitelty Fennian yritysturvaa ja Turvan keskeytysehtoa KE1 käsittelevillä yhtiösivuilla.
Ehdot tarkistettu 9/2026: Fennia YT180 (1.1.2026) ja Turva CY2 (1.1.2025). Tuoteselosteen tiedot: Turvan kybervakuutuksen tuoteseloste (2025).
Kaikki järjestelmäkatkot eivät ole kyberhyökkäyksiä.
Kybervakuutus korvaa keskeytyksen vain ehdossa luetellun tapahtuman jälkeen. Palvelimen vika tai pilvipalvelun katko ilman hyökkäystä on eri asia.
Fennian tietoturvapoikkeaman määritelmä on laaja. Siihen kuuluvat vahingonteko, haittaohjelma, palvelunestohyökkäys ja tietovarkaus, mutta myös inhimillinen virhe, joka tapahtuu yrityksen tai ulkoistetun palveluntoimittajan tietojärjestelmässä (YT180 1). Työntekijän väärä komento, joka kaataa järjestelmän, voi siis olla Fennian tietoturvavakuutuksessa korvattava tapahtuma, vaikka hyökkääjää ei ole.
Turvan ehdossa tapahtumat on lueteltu. Työntekijän erehdys on mukana tietosuojaloukkauksen kohdalla, kun erehdys tapahtuu tietojärjestelmää työtehtävissä käytettäessä (CY2 4.2.4). Pelkkä laitevika tai palveluntarjoajan katko ilman tietoturvaloukkausta ei ole mikään viidestä tapahtumasta.
Ensimmäisinä tunteina tehdyt ratkaisut vaikuttavat korvaukseen. Turvan ehdossa korvausaika lyhenee, jos korjaustoimien aloitus viivästyy yrityksestä johtuvasta syystä (CY2 8.4.1), ja keskeytysvahinkoon luetaan mukaan tilapäisjärjestelyjen kustannukset, jos ne pienentävät vahinkoa (8.4.2). Hyökkäyksestä kannattaa siksi ilmoittaa yhtiölle heti ja kirjata, milloin järjestelmät pysähtyivät ja milloin ne palautuivat.
Kirjanpitovaatimus koskee myös kybervakuutusta.
Kyberkeskeytyksen määrä lasketaan samoista luvuista kuin muunkin keskeytyksen. Ilman kirjanpitoa korvausta ei ole.
Turvan kybervakuutuksen keskeytysosa ei korvaa vahinkoa, jos liiketoiminnasta ei ole pidetty kirjanpitolain edellyttämää kirjanpitoa (CY2 5.2.2). Sama rajoitus on kaikkien neljän yhtiön tavallisissa keskeytysehdoissa. Vahingon määrä voidaan selvittää kirjanpidon, sisäisen laskennan raporttien, liiketoimintasuunnitelmien ja tilauskirjojen avulla (CY2 8.4.2). Verkkokaupan kohdalla tunti- tai päivätason myyntidata on usein paras näyttö siitä, mitä katkon aikana jäi myymättä. Katemenetys lasketaan samalla katemenetyksen laskentapohjalla kuin tavallisessa keskeytyksessä.
Vakuutuslautakunnan ja FINEn ratkaisukannassa ei ole yhtään kyberhyökkäyksestä johtuvaa keskeytysriitaa. Kybervakuutukset ovat yrityksille vielä uusia, eikä niiden ehtojen tulkinnasta ole lautakuntakäytäntöä. Siksi ehdon sanamuoto ja tuoteselosteessa annetut tiedot painavat riidassa tavallista enemmän. Jos yhtiö hylkää kyberkeskeytyksen, hylkäyksen perusteiden tarkistaminen alkaa samasta paikasta kuin muissakin päätöksissä: mihin ehtokohtaan päätös nojaa ja sanooko kohta sen, mitä päätös väittää.
Kysymyksiä kyberhyökkäyksestä ja keskeytysvakuutuksesta.
Jos kyberhyökkäyksen jälkeinen päätös tuntuu väärältä, lähetä se meille. Kerromme maksutta, mitä ehto sanoo ja riittääkö näyttö.
Kyberhyökkäys pysäytti liiketoiminnan?
Lähetä korvauspäätös ja vakuutusehdot, niin tarkistamme, kuuluuko keskeytys kyber- tai keskeytysturvaan ja onko korvausaika laskettu oikein. Arvio on maksuton eikä sido mihinkään.
LUNASTA ILMAINEN ARVIO →