ביטוח נושאי משרה ודירקטורים: מה קורה לו כשמתרחש אירוע סייבר?

ביטוח נושאי משרה ודירקטורים נכנס לתמונה אחרי אירוע סייבר רק כשהתביעה מכוונת באופן אישי כלפי מנכ״ל, סמנכ״ל כספים או חבר דירקטוריון, לרוב בטענה לכשל פיקוח, דיווח או קבלת החלטות, ולא כתחליף לביטוח הסייבר של החברה עצמה. חלק מהפוליסות הניהוליות כוללות היום חריג סייבר מפורש, בעוד שאחרות פשוט שותקות בנושא ומשאירות שאלת כיסוי פתוחה. התשובה לשאלה אם הפוליסה תשלם תלויה בניסוח המדויק שלה, ובדיקה כזו צריכה לקרות לפני שמגיע האירוע, לא תוך כדי משבר.

מצב נפוץ נראה כך: חברה סופגת תקיפת כופרה, הפעילות נעצרת לכמה ימים, ומניירות ערך או מספקים מגיעות דרישות הבהרה. בשלב הזה מישהו שואל בפגישת הנהלת חירום אם ביטוח ה-D&O שהחברה רכשה לפני שנתיים בכלל רלוונטי למצב, והתשובה לרוב אינה ברורה לאף אחד בחדר, כולל לדירקטורים עצמם.

מתי אירוע סייבר הופך לתביעה אישית נגד נושאי משרה?

אירוע סייבר כשלעצמו אינו מייצר חשיפה אישית לדירקטורים. החשיפה נוצרת כשצד שלישי טוען שההנהלה או הדירקטוריון ידעו או היו צריכים לדעת על חולשה מהותית בבקרות, ולא פעלו בסבירות כדי לצמצם אותה, או כשנטען שהגילוי הציבורי אחרי האירוע היה חלקי או מטעה. זו תביעה על אופן הניהול, לא על עצם הפריצה.

ככלל, הגורם שתובע משתנה לפי מי שניזוק: בעלי מניות שטוענים לירידת שווי או לכשל גילוי, לקוחות או ספקים שנפגעו מהאירוע עצמו, ורשויות רגולטוריות שבודקות אם ההנהלה עמדה בחובות הפיקוח שלה. ביטוח נושאי משרה ודירקטורים נבחן בנפרד מול כל אחד מהתרחישים האלה, ולא כמקשה אחת.

הגנה על החברה מול הגנה על היחיד: מבנה הכיסוי בפוליסת D&O

פוליסת נושאי משרה ודירקטורים בנויה בדרך כלל משכבות שונות שמתפקדות לפי מי צריך את הכסף באותו רגע. כיסוי אחד מיועד לנושא המשרה באופן אישי, למקרה שהחברה אינה יכולה או אינה רשאית לשפות אותו, למשל כשהחברה חדלת פירעון. כיסוי נוסף מכסה את החברה כשהיא כן משפה את הדירקטור מכספה, וכיסוי שלישי, שרלוונטי בעיקר לחברות ציבוריות, מגן על החברה עצמה בתביעות ניירות ערך.

ההבחנה הזו קריטית באירוע סייבר, כי מי שסופג את ההוצאה הראשונה בדרך כלל אינו הדירקטור אלא החברה, דרך שכר טרחה לייעוץ משפטי, פורנזיקה ודיווח. רק כשהחברה מתקשה לשפות, או כשמוגשת תביעה ישירה נגד הפרט מעבר לגבולות השיפוי שהחברה מוכנה או יכולה לתת, הכיסוי האישי של נושא המשרה הופך לרלוונטי בפועל.

חריג סייבר בפוליסת D&O: כשהשתיקה בפוליסה הופכת לבעיה

פוליסות ניהוליות רבות נכתבו בתקופה שבה סיכון סייבר לא עמד במרכז השיקולים, ולכן הן לא כוללות התייחסות מפורשת לא לחיוב ולא לשלילה, מצב שמוכר בשוק הבינלאומי כ״סייבר שותק״. המשמעות המעשית היא שבעת תביעה, קיימת אי-ודאות אם האירוע נופל בגדר הכיסוי, ושני הצדדים, המבוטח והמבטח, עשויים לפרש את אותו נוסח באופן שונה לגמרי.

התגובה של חלק מהמבטחים הייתה להוסיף לפוליסות ה-D&O חריג סייבר מפורש, שמוציא מהכיסוי כל תביעה שמקורה באירוע אבטחת מידע, מתוך הנחה שהנושא צריך להיות מכוסה אך ורק בפוליסת הסייבר הייעודית. דירקטוריון שלא בדק את הנוסח העדכני של פוליסת ה-D&O שלו עלול לגלות, רק בעת אירוע, שהחריג הזה כבר נמצא בפוליסה שהוא חידש.

תביעות נגזרות מצד בעלי מניות: הטענה המרכזית אחרי אירוע סייבר

כשחברה ציבורית או חברה עם משקיעים מוסדיים חווה אירוע סייבר משמעותי, תרחיש שכיח הוא תביעה נגזרת מצד בעלי מניות נגד הדירקטוריון, לא נגד החברה עצמה. הטענה בדרך כלל אינה שהדירקטורים גרמו לפריצה, אלא שהם לא הקימו מנגנוני פיקוח סבירים על סיכוני סייבר, או שהתעלמו מאזהרות שהוצגו להם לפני האירוע.

תביעה כזו בוחנת את איכות הדיונים בדירקטוריון, לא רק את התוצאה. דירקטוריון שמקבל עדכוני סיכוני סייבר פעם בשנה בלי תיעוד דיון אמיתי נמצא בעמדת הגנה חלשה יותר מדירקטוריון שמראה רצף של דיונים, שאלות והחלטות מתועדות לאורך זמן, גם אם שתי החברות סבלו מאותו סוג אירוע.

חקירה רגולטורית אחרי אירוע סייבר: מי נכנס לחדר ומי משלם על ההגנה?

אירוע סייבר מהותי בישראל עלול להוביל לפניית רשות מוסמכת שבודקת האם ההנהלה עמדה בחובותיה, כולל שאלות על תהליך קבלת ההחלטות ברמת הדירקטוריון. בשלב הזה נושאי משרה שנחקרים באופן אישי, להבדיל מהחברה כגוף, זקוקים לייצוג משפטי נפרד משלהם, כדי למנוע ניגוד עניינים בין האינטרס של החברה לאינטרס האישי שלהם.

פוליסת ביטוח נושאי משרה ודירקטורים שכוללת כיסוי להוצאות חקירה רגולטורית, ולא רק להוצאות תביעה פורמלית, נותנת מענה לשלב המוקדם והקריטי הזה, עוד לפני שמוגש כתב תביעה. היעדר כיסוי כזה משאיר את נושא המשרה חשוף להוצאות הגנה אישיות כבר משלב החקירה.

ביטוח סייבר מול ביטוח נושאי משרה ודירקטורים: טבלה משווה

מוכנות הדירקטוריון: מה בודקים בפוליסת ה-D&O לפני שמגיע אירוע?

בדיקת מוכנות אמיתית של פוליסת D&O מול סיכון סייבר לא מסתכמת בשאלה אם יש כיסוי כן או לא, אלא בקריאה מדויקת של הנוסח מול האופן שבו הדירקטוריון מתפקד בפועל. חלק מהבדיקות האלה דורשות הצלבה בין מסמכי הפוליסה לפרוטוקולים פנימיים, ולכן מתבצעות אצלנו תחת חיסיון עורך דין-לקוח, כדי שהממצאים לא ייחשפו בעצמם בהליך עתידי.

• לבדוק אם קיים חריג סייבר מפורש בפוליסת ה-D&O, ואם כן מה בדיוק הוא מוציא מהכיסוי
• לוודא שהגדרת ה״מעשה הפסול״ בפוליסה כוללת גם כשלי פיקוח על סיכוני טכנולוגיה, לא רק החלטות עסקיות קלאסיות
• לבדוק את סדר התשלום בין הכיסוי האישי, כיסוי השיפוי לחברה וכיסוי החברה עצמה, במקרה שכל השכבות נדרשות באותו אירוע
• לוודא קיום כיסוי נפרד להוצאות חקירה רגולטורית, עוד לפני הגשת תביעה פורמלית
• לבדוק כיסוי המשך (run-off) לדירקטורים שפרשו, שעלולים עדיין להיתבע בגין אירוע שקרה בתקופת כהונתם
• לבחון התאמה בין פוליסת ה-D&O לפוליסת הסייבר, כדי לזהות פערים או כפילות בין שתי הפוליסות

עו״ד זיו און, בעל ניסיון של למעלה מ-20 שנה בליטיגציה ובדיני ביטוח ובעל הסמכה כחתם ביטוחי סייבר (CCIS) מלונדון, לצד הסמכות CISO ו-DPO, מלווה הנהלות ודירקטוריונים בבדיקות מהסוג הזה בפריסה ארצית. ארגון שעובד מול גופים פיננסיים באירופה צריך לבדוק גם אם רגולציית DORA מטילה עליו דרישות ממשל נוספות ברמת הדירקטוריון, מעבר לדין הישראלי. מי שרוצה לבדוק את נוסח פוליסת ה-D&O שלו מול סיכון הסייבר בפועל מוזמן לשיחת אבחון עם CyberSure.