НСИС предложила единый стандарт оценки киберрисков для страхования

Национальная страховая информационная система (НСИС) выступила с инициативой создать единый подход к оценке киберготовности организаций для целей страхования. Предполагается, что страховщик будет получать лишь итоговый балл без доступа к данным и параметрам, на которых основан расчет. Низкий результат может означать повышенный тариф либо отказ в предоставлении покрытия.

Единая методология вместо разных анкет

Директор по информационной безопасности Национальной страховой информационной системы (НСИС) Алексей Янов предложил использовать адаптированный ГОСТ Р 57580.x — серию стандартов «Безопасность финансовых (банковских) операций» — как основу для оценки киберрисков. Впервые эта идея была озвучена на форуме Клуба страховых конференций по информационной безопасности, а затем повторена на CNews FORUM «Кейсы: Опыт ИТ-лидеров 2026» 22 июня.

По мнению Алексея Янова, действующая практика не дает рынку единого ориентира. Он сформулировал проблему так:

«Разные страховщики используют собственные опросники и методики, что приводит к субъективизму при расчете премии и, главное, к сложностям в перестраховании и урегулировании убытков».

Иными словами, разрозненные критерии влияют не только на расчет тарифа. Они осложняют перестрахование, а также урегулирование убытков после наступления страхового случая. Для компаний, которые выстраивают защиту цифровых активов, Киберстрахование становится инструментом финансовой устойчивости, однако условия покрытия во многом зависят от понятной и подтверждаемой оценки риска.

Почему основой выбран ГОСТ Р 57580.1

ГОСТ Р 57580.1 уже применяется как инструмент проверки технической защищенности и используется Банком России в собственных нормативных документах. Поэтому предложение опирается на действующую инфраструктуру, признанную регулятором, а не предполагает создание стандарта с нуля. Банки получили бы возможность сопоставлять показатели защищенности по единым принципам, а страхование — более прозрачную базу для определения премии.

Для распространения методики за пределы банковского сектора — на промышленность, малый и средний бизнес — стандарт предлагается адаптировать. Из него планируется убрать узкую специфику, характерную для банковских операций, и сформировать универсальный чек-лист кибергигиены. Такой подход может быть актуален для предприятий, использующих кредиты, лизинг, инвестиции или ипотека для развития: цифровой инцидент способен затронуть расчеты, активы и исполнение обязательств.

Принцип «черного ящика» и разные способы проверки

Ключевой принцип будущей модели обозначен как «черный ящик». Страховщик получает интегральный балл, но не видит конфиденциальные сведения, на основании которых этот балл сформирован. Это позволяет учитывать уровень киберзащиты, не раскрывая внутреннюю архитектуру ИТ-систем и другие чувствительные детали организации.

Для крупных клиентов с высокими страховыми суммами предполагается использовать потоковую телеметрию и SIEM-системы — системы для централизованного сбора и анализа данных безопасности со всех узлов сети. Малому бизнесу предлагается периодическая самооценка. Применение стандарта может быть как обязательным, так и добровольным: формат будет зависеть от масштаба риска. Отдельное значение единая оценка может иметь для финансового сектора, включая организации, которым подходит Страхование МФО и КПК.

Как инициатива соотносится с рынком

В мае 2026 года ВСС предлагал регуляторам пилотный проект вмененного страхования киберрисков для финансовых организаций. Инициатива НСИС посвящена другой задаче: определить, каким образом риск следует единообразно оценивать и подтверждать. Таким образом, одна концепция касается формата страхования, а другая — надежной методики, которая помогает принимать решения по тарифам и покрытию.

Российский рынок киберстрахования, по оценке страхового брокера Mains, вырос с ~3 млрд рублей в 2024 году до 3,5–4 млрд рублей в 2025 году. На фоне этого роста единые критерии могут сделать оценку рисков понятнее для страховщиков, перестраховщиков и клиентов. Для компаний особенно важно заранее оценивать возможные финансовые последствия киберинцидентов и включать защитные механизмы в общую стратегию управления рисками, наряду с Страхование предпринимательской деятельности.