Pravni okvir za kibernetsko varnost in varstvo podatkov
Splošna uredba o varstvu podatkov (GDPR) in njena implementacija na Nizozemskem
Naš GDPR služi kot primarni okvir za varstvo podatkov po vsej EU, vključno z Nizozemsko. Določa celovita pravila za obdelavo osebnih podatkov in od organizacij zahteva, da izvajajo ustrezne tehnične in organizacijske ukrepe za zaščito informacij. Nizozemska je GDPR izvedla prek Nizozemski zakon o izvajanju GDPR (Povprečna količina zalog), ki prilagaja zahteve EU nizozemski zakonodaji. Ta zakon določa posebne določbe za nacionalne okoliščine, hkrati pa ohranja skladnost z evropskimi standardi. Določa nizozemski organ za varstvo podatkov (Nizozemski organ za varstvo podatkov) kot nadzorni organ, odgovoren za izvrševanje. V skladu z GDPR morate poročati kršitve podatkov nadzornemu organu v 72 urah po tem, ko ste zanje izvedeli. Kadar kršitve predstavljajo veliko tveganje za pravice in svoboščine posameznikov, morate o tem brez nepotrebnega odlašanja obvestiti tudi prizadete osebe. Te zahteve glede obveščanja so temelj odgovornosti za kršitve na Nizozemskem. Verzamelwet Gegevensbescherming (Zakon o kolektivnem varstvu podatkov) dodatno izpopolnjuje različne nizozemske zakone, da bi jih uskladil s standardi GDPR. To zagotavlja skladnost na različnih pravnih področjih.Zakon o kibernetski varnosti in direktiva NIS2
Naš direktiva NIS2 znatno širi zahteve glede kibernetske varnosti za bistvene in pomembne subjekte po vsej EU. Nizozemska ga je prenesla v Kibernetsko zakrivanje mokro (Nizozemski zakon o kibernetski varnosti), ki je začel veljati 15. avgusta 2026 skupaj z Zakonom o odpornosti kritičnih subjektov (Wet weerbaarheid kritieke entiteiten). Ni prehodno obdobje: obveznosti veljajo od tega datuma. Najpomembnejše so tri dolžnosti. Svojo organizacijo morate registrirati v nacionalnem registru subjektov, ki ga vodi Nacionalni center za Cyber SecuritySprejeti morate ustrezne tehnične in organizacijske ukrepe za obvladovanje tveganj za vaše omrežje in informacijske sisteme, kar je dolžnost skrbnosti, ki jo zakon natančno določa in ne prepušča trgu. Pomemben incident morate prijaviti v 24 urah po tem, ko ste zanj izvedeli, nato pa v 72 urah poslati podrobnejše obvestilo in nato končno poročilo. Približno osem tisoč organizacij na Nizozemskem spada v področje uporabe kot bistveni ali pomembni subjekti, od katerih jih je bilo veliko v celoti zunaj prejšnje ureditve. Ali ste v obsegu, ni presoja, ki jo naredite na podlagi vtisa. To izhaja iz sektorja in meril velikosti v zakonu, dobavitelja, ki sam ne spada v področje uporabe, pa lahko stranka, ki ne spada, še vedno pogodbeno pritegne. Zakon o kibernetski varnosti je nadomestil Zakon o varnosti omrežij in informacijskih sistemov (Wet beveiliging netwerk- en informatiesystemen, Wbni), zato sklicevanja na Wbni v starejših pogodbah, politikah in revizijskih poročilih zdaj kažejo na režim, ki ne obstaja več. Preverite jih. Nadzor je porazdeljen po sektorjih in ne skoncentriran v enem regulatorju. Nizozemski organ za digitalno infrastrukturo (Rijksinspectie Digitale Infrastructuur, RDI) nadzira digitalno infrastrukturo, upravljanje storitev IKT, digitalne ponudnike in vladni sektor, medtem ko imajo drugi sektorji svojega imenovanega nadzornika. Svojega nadzornika določite pred incidentom, ne med njim.Drugi ustrezni zakoni in direktive
Naš Direktiva EU o e-zasebnosti dopolnjuje GDPR z obravnavanjem zasebnosti elektronskih komunikacij. Zahteva soglasje za piškotke in podobne tehnologije ter varuje zaupnost komunikacijskih podatkov. Zakon o telekomunikacijah (Telekomunikacije) nalaga ponudnikom telekomunikacijskih storitev posebne varnostne obveznosti, vključno z zahtevami za zaščito celovitosti omrežja in uporabniških podatkov. Ta zakon deluje skupaj z zakoni o varstvu podatkov, da bi zagotovil celovito zaščito v komunikacijskem sektorju. Zakon o odpornosti kritičnih subjektov (Wet weerbaarheid kritieke entiteiten), ki izvaja Direktivo (EU) 2022/2557 in je začel veljati isti dan kot Zakon o kibernetski varnosti, obravnava fizično odpornost in ne digitalne varnosti. Subjekte, označene kot ključne, zavezuje k izvedbi ocene tveganja, sprejetju ukrepov za odpornost in poročanju o motečih incidentih. Organizacijo lahko hkrati zajameta oba zakona, sklopa obveznosti pa se ne združujeta. Ta okvira ustvarjata prekrivajoče se obveznosti. Pri delovanju v več sektorjih ali pri ravnanju z različnimi vrstami podatkov se morate po njih orientirati.Sektorska ureditev
Naš Zakon o finančnem nadzoru (Wet op het financieel toezicht) določa stroge zahteve glede kibernetske varnosti in varstva podatkov za finančne institucije. Pri delovanju v finančnem sektorju morate izvajati robustne varnostne kontrole, postopke za odzivanje na incidente in protokole rednega testiranja. Organi pregona se soočajo s posebnimi zahtevami v skladu Zakon o policijskih podatkih (Mokri policisti) in Wet justitiële en strafvorderlijke gegevens (Zakon o podatkih sodnih in kazenskih postopkov). Ti zakoni urejajo, kako policijski in sodni organi zbirajo, obdelujejo in varujejo osebne podatke med preiskavami in kazenskimi postopki. Ponudniki zdravstvenih storitev morajo upoštevati dodatne zaščitne ukrepe za zasebnost, ki presegajo standardne zahteve GDPR. To odraža občutljivo naravo zdravstvenih podatkov. Energetski, prometni in vodni sektor se soočajo s posebnimi obveznostmi v okviru izvajanja NIS2, s prilagojenimi varnostnimi ukrepi, ki ustrezajo njihovim operativnim tveganjem. Vsak predpis, specifičen za posamezni sektor, nalaga edinstvena bremena skladnosti. Bistveno je ugotoviti, kateri zakoni veljajo za specifične dejavnosti in postopke obdelave podatkov vaše organizacije.Določitev odgovornosti po kršitvi varnosti podatkov
Opredelitev odgovornosti: upravljavci, obdelovalci in tretje osebe
Vaša odgovornost po kršitev osebnih podatkov odvisno od tega, ali deluješ kot upravljavec podatkov ali obdelovalec. Upravljavci odločajo, kako in zakaj se osebni podatki obdelujejo, zaradi česar so primarno odgovorni za varnostne incidente. Obdelovalci obdelujejo podatke v imenu upravljavcev in so odgovorni, če prekoračijo navodila ali ne izvedejo ustreznih varnostnih ukrepov. Tretje osebe, kot so ponudniki digitalnih storitev, nosijo ločene odgovornosti. Če uporabljate zunanje dobavitelje, ste še vedno odgovorni za njihova dejanja, ko obdelujejo podatke v vašem imenu. Vaše pogodbe morajo določati varnostne obveznosti in postopke za obravnavo incidentov. Kadar je vpletenih več strank, se lahko odgovornost deli. Če tako vi kot vaš obdelovalec nista izvedla tehničnih in organizacijskih ukrepov, se lahko oba soočita s kaznimi s strani organa za varstvo podatkov (Autoriteit Persoonsgegevens). Nadzorni organ preuči vlogo vsake stranke pri kršitvi, da določi odgovornost.Nadzorni organi in regulativne vloge
Nizozemski organ za varstvo podatkov (Autoriteit Persoonsgegevens) deluje kot organ za varstvo podatkov, odgovoren za izvrševanje skladnosti z GDPR. Kršitve osebnih podatkov morate temu nadzornemu organu prijaviti v 72 urah po tem, ko ste izvedeli za incident. Neupoštevanje rokov za prijavo incidentov poveča vašo odgovornost. Nacionalni center za kibernetsko varnost (NCSC) obravnava širši grožnje kibernetski varnosti ki vplivajo na operaterje bistvenih storitev. Če zagotavljate kritično infrastrukturo ali digitalne storitve, morate o pomembnih varnostnih incidentih poročati tudi NCSC. Ta poročila pomagajo usklajevati nacionalne odzive na kibernetske grožnje. Oba organa izvajata preiskave po varnostnih incidentih. Avtoriteit Persoonsgegevens lahko izreče globe v višini do 20 milijonov EUR ali 4 % vašega letnega svetovnega prometa, kar je višje. Upoštevajo dejavnike, kot so narava kršitve, število prizadetih posameznikov in vaši ukrepi za odzivanje. Smernice ENISA vplivajo na to, kako nizozemski organi ocenjujejo vašo skladnost z zahtevami glede kibernetske varnosti.Organizacijski in tehnični ukrepi
Vaše izvajanje tehničnih in organizacijskih ukrepov neposredno vpliva na določitev odgovornosti. Ti ukrepi vključujejo šifriranje, nadzor dostopa, redno varnostno testiranje in usposabljanje osebja. Sodišča in nadzorni organ ocenjujejo, ali je bila vaša varnost ustrezna glede na tveganja. Dokumentirati morate svoje varnostne ukrepe in prikazati načrtovanje neprekinjenega poslovanja. Če ne morete dokazati ustreznih previdnostnih ukrepov, se odgovornost znatno poveča. Redne ocene tveganja vam pomagajo prepoznati ranljivosti, preden pride do kršitev. Postopki za obravnavo incidentov so ključnega pomena. Potrebujete jasne protokole za odkrivanje, preiskovanje in odzivanje na kršitve varnosti osebnih podatkov. Vaš odzivni čas in učinkovitost pri omejevanju varnostnih incidentov vplivata na odločitve o kaznih. Organ za varstvo podatkov (Autoriteit Persoonsgegevens) pričakuje, da boste hranili dokazila o svojem varnostnem okviru. Brez ustrezne dokumentacije je dokazovanje razumne skrbnosti med preiskavami težko.Dobavna veriga in ponudniki storitev
Varnost dobavne verige ustvarja kompleksna vprašanja odgovornosti. Ko vaši ponudniki storitev doživijo kršitve, ki vplivajo na vaše podatke, se lahko še vedno soočite s posledicami. Izvajati morate skrbni pregled dobaviteljev in nenehno spremljati njihove varnostne prakse. Izvajalci bistvenih storitev se soočajo s strožjimi zahtevami glede upravljanja dobaviteljev. Zagotoviti morate, da ponudniki digitalnih storitev v vaši dobavni verigi vzdržujejo standarde, ki ustrezajo vašim lastnim obveznostim. Pogodbeni sporazumi morajo jasno opredeliti dolžnosti poročanja o incidentih in razporeditev odgovornosti. Če kršitev izvira iz vaše dobavne verige, organ za varstvo podatkov (Autoriteit Persoonsgegevens) preveri, ali ste izvedli ustrezne ocene dobaviteljev. Vaša odgovornost je odvisna od tega, ali ste sprejeli razumne ukrepe za preverjanje varnosti dobaviteljev. Odgovornosti ne morete v celoti prenesti niti pri uporabi tretjih obdelovalcev. Večplastne dobavne verige zahtevajo dodatno budnost. Potrebujete vpogled v podobdelovalce in njihove varnostne ukrepe, da se zaščitite pred kaskadnimi napakami, ki ogrožajo osebne podatke v več organizacijah.Obveznosti obveščanja o kršitvah podatkov
Nizozemska izvaja večplastni okvir obveščanja v skladu s Splošno uredbo o varstvu podatkov in nacionalno zakonodajo o kibernetski varnosti. Upravljavci morajo prijava kršitev nizozemskemu organu za varstvo podatkov (AP) v 72 urah, če obstaja tveganje za pravice posameznika, na katerega se nanašajo osebni podatki,. Visoko tvegane kršitve zahtevajo neposredno obveščanje prizadetih posameznikov.Roki in postopkovne zahteve
Pooblaščeno osebo za varstvo podatkov morate o kršitvi varstva osebnih podatkov obvestiti brez nepotrebnega odlašanja in, kjer je to izvedljivo, najpozneje v 72 urah po tem, ko ste seznanjeni s kršitvijo. Ta obveznost velja, razen če ni verjetno, da bi kršitev povzročila tveganje za pravice in svoboščine posameznikov. Obvestilo mora po možnosti vsebovati specifične informacije. Navesti morate kategorije in približno število zadevnih posameznikov, na katere se nanašajo osebni podatki, kategorije in približno število prizadetih zapisov osebnih podatkov ter ime svojega pooblaščenca za varstvo podatkov ali druge kontaktne osebe. Opisati morate tudi verjetne posledice kršitve in ukrepe, ki ste jih sprejeli ali predlagali za njeno odpravo. Če v 72-urnem roku ne morete zagotoviti vseh zahtevanih informacij, jih lahko predložite v fazah. Razloge za morebitno zamudo morate pojasniti v prvotnem obvestilu.Koga je treba obvestiti in kdaj
Prizadete posameznike, na katere se nanašajo osebni podatki, morate neposredno obvestiti, kadar obstaja verjetnost, da bo kršitev varnosti osebnih podatkov povzročila veliko tveganje za njihove pravice in svoboščine. To obvestilo mora biti podano brez nepotrebnega odlašanja in v jasnem in preprostem jeziku. Neposredno obveščanje posameznikov, na katere se nanašajo osebni podatki, ni potrebno v treh posebnih okoliščinah. Obveščanje ni potrebno, če ste uvedli ustrezne tehnične in organizacijske zaščitne ukrepe (kot je šifriranje), zaradi katerih so podatki nepooblaščenim osebam nerazumljivi. Prav tako vam ni treba obvestiti, če ste sprejeli naknadne ukrepe za zagotovitev, da se veliko tveganje za pravice posameznikov, na katere se nanašajo osebni podatki, verjetno ne bo več uresničilo, ali če bi neposredna komunikacija vključevala nesorazmeren napor. V takih primerih je namesto tega potrebno javno obveščanje ali podobni ukrepi. Ni sektorske izjeme od dolžnosti obveščanja posameznikov, na katere se nanašajo osebni podatki; izjema, ki je nekoč obstajala za finančna podjetja v skladu s starim zakonom o varstvu osebnih podatkov, ni preživela GDPR. Obdelovalci imajo različne obveznosti. Upravljavca morate o tem obvestiti brez nepotrebnega odlašanja, ko se seznanite s kakršno koli kršitvijo varnosti osebnih podatkov, ne glede na stopnjo tveganja. To je zakonska zahteva v skladu z GDPR in bi morala biti vključena v vaš sporazum o obdelavi.Sektorske in nacionalne zahteve glede obveščanja
Poleg obveznosti GDPR se lahko soočite z dodatnimi zahtevami glede poročanja, odvisno od vašega sektorja. Zakon o kibernetski varnosti od bistvenih in pomembnih subjektov zahteva, da o pomembnem incidentu poročajo svojemu sektorskemu nadzorniku in skupini CSIRT v 24 urah, podrobnejše obvestilo pa v 72 urah, tudi če sploh niso bili vpleteni osebni podatki. Ponudniki javnih elektronskih komunikacijskih omrežij poročajo nizozemskemu organu za digitalno infrastrukturo (RDI), ki nadzoruje sektor digitalne infrastrukture. Zdravstvene organizacije so dolžne obvestiti inšpektorat za zdravje in varstvo mladine o incidentih, ki vplivajo na varnost medicinskih pripomočkov ali podatke o pacientih. Finančna podjetja morajo izpolnjevati sektorske zahteve v skladu z zakonodajo o finančnem nadzoru. Subjekti, ki so označeni kot kritični, imajo tudi obveznosti v skladu z Zakonom o odpornosti kritičnih subjektov. Pomembne incidente, ki bi lahko znatno motili bistvene storitve, morate prijaviti skupini za odzivanje na incidente računalniške varnosti (CSIRT). Javna podjetja bodo morda morala obvestiti o varnostnih incidentih, ki bi lahko bistveno vplivali na odločitve vlagateljev. Te sektorske zahteve pogosto delujejo vzporedno z obveznostmi GDPR in jih ne nadomeščajo. Za en sam incident boste morda morali poslati več obvestil različnim organom, odvisno od dejavnosti vaše organizacije in narave kršitve.Izvrševanje in sankcije
Nizozemski organi imajo jasna pooblastila za preiskovanje napak na področju kibernetske varnosti in nalaganje znatnih finančnih kazni organizacijam, ki ne varujejo osebnih podatkov ali ne izpolnjujejo varnostnih zahtev. Okvir izvrševanja vključuje več regulatorjev s posebnimi nadzornimi odgovornostmi, strukturirane sheme kazni in opredeljene pritožbene postopke za organizacije, ki se soočajo s sankcijami.Preiskovalna in nadzorna pooblastila
Nizozemski organ za varstvo podatkov (Autoriteit Persoonsgegevens ali AP) je primarno odgovoren za preiskovanje kršitev varnosti podatkov in kršitev GDPR. AP lahko začne preiskave na podlagi pritožb, medijskih poročil ali rutinskih revizij. Med preiskavami lahko organ zahteva dokumentacijo, izvaja inšpekcijske preglede na kraju samem in intervjuva zaposlene. Nadzor nad obveznostmi kibernetske varnosti v skladu z novim zakonom Cyberbeveiligingswet izvajajo regulatorji, specifični za posamezne sektorje. Nizozemski organ za digitalno infrastrukturo (RDI) nadzira digitalno infrastrukturo, upravljanje storitev IKT, digitalne ponudnike in vladni sektor. Nizozemska centralna banka (DNB) nadzira finančne institucije. Drugi sektorji imajo svojega imenovanega nadzornika, pri čemer ima pristojni minister ali inšpektorat, ki deluje v imenu ministra, pooblastila za izvrševanje. Ti regulatorji lahko revidirajo vaše sisteme, pregledajo postopke odzivanja na incidente in ocenijo, ali vaše upravljanje tveganj izpolnjuje zakonske standarde. Če se ugotovijo kršitve, lahko od vaše organizacije tudi izterjajo stroške izvrševanja. Nacionalni center za kibernetsko varnost (NCSC) usklajuje delovanje med regulatorji, vendar ne nalaga kazni neposredno.Upravne in denarne kazni
Finančne kazni se razlikujejo glede na pravni okvir in resnost kršitev. V skladu z izvrševanjem GDPR lahko AP naloži globe do 20 milijonov EUR ali 4 % vašega letnega globalnega prometa, kar je višje. Organ upošteva dejavnike, kot so narava kršitve, število prizadetih posameznikov in vaše sodelovanje med preiskavami. V skladu z zakonom o kibernetskem varstvu podatkov (Cyberbeveiligingswet) kazni sledijo stopenjski strukturi:| Klasifikacija subjektov | Najvišja globa | Alternativa prometu |
|---|---|---|
| Bistvene entitete (EE) | € 10 milijonov | 2 % svetovnega prometa |
| Ključne entitete (BE) | € 7 milijonov | 1.4 % svetovnega prometa |
Pravna sredstva in pritožbe
Imate pravico izpodbijati izvršilne odločbe prek upravne pritožbePo prejemu obvestila o kazni lahko v šestih tednih vložite ugovor (bezwaar) pri organu, ki jo je izdal. Regulator mora ponovno preučiti svojo odločitev in podati uradni odgovor. Če se z izidom ponovne obravnave ne strinjate, se lahko pritožite na okrožno sodišče (rechtbank). Sodišče preuči, ali je regulator upošteval ustrezne postopke in pravilno uporabil zakonodajo. Nato lahko odločitve pritožbenega sodišča Oddelku za upravno pristojnost državnega sveta (Afdeling bestuursrechtspraak van de Raad van State), kjer je bila odločitev sprejeta v skladu z zakonom o izvajanju GDPR. Pristojnost pritožbenega sodišča je odvisna od zakona, v skladu s katerim je bila odločitev sprejeta, zato to ugotovite pred iztekom šesttedenskega roka. Ves čas pritožbenega postopka morate še naprej izvajati vse korektivne ukrepe, ki jih odredijo regulatorji. Sodišča lahko začasno ustavijo denarne kazni do izida pritožbe, vendar to ni samodejno.Ključne vloge in odgovornosti pri upravljanju kibernetske varnosti
Organizacije morajo jasno opredeliti, kdo upravlja naloge kibernetske varnosti, od imenovanja pooblaščencev za varstvo podatkov do vzpostavitve odgovornosti na ravni upravnega odbora in usposabljanja zaposlenih o varnostnih protokolih.Pooblaščenci za varstvo podatkov
Če vaša organizacija obdeluje občutljive osebne podatke v velikem obsegu ali sistematično spremlja posameznike, morate imenovati pooblaščeno osebo za varstvo podatkov (DPO). DPO služi kot vaša glavna kontaktna oseba za organe za varstvo podatkov in posameznike, na katere se nanašajo osebni podatki. Vaša DPO mora imeti posebne kvalifikacije na področju zakonodaje o varstvu podatkov in praks informacijske varnosti. Poročati mora neposredno vašemu najvišjemu vodstvu in je ni mogoče odpustiti zaradi opravljanja svojih dolžnosti. Vloga vključuje spremljanje skladnosti z GDPR, izvajanje ocen učinka na varstvo podatkov in svetovanje glede zahtev glede šifriranja in kriptografije. Odgovornosti DPO morate jasno dokumentirati. To vključuje njeno pooblastilo za revizijo vaše digitalne infrastrukture in pregled vašega načrta za odzivanje na incidente. Če poslujete v več državah EU, lahko imenujete eno samo DPO na podlagi njenih strokovnih lastnosti in poznavanja ustreznih jurisdikcij.Korporativno upravljanje in odgovornost
Vaš upravni odbor nosi končno odgovornost za upravljanje tveganj kibernetske varnosti. Odobriti mora varnostne ukrepe, dodeliti ustrezne vire in zagotoviti ustrezen nadzor nad prizadevanji za kibernetsko odpornost. Odgovornost vodstva vključuje:- Odobritev varnostnih politik za okvire informacijske varnosti
- Nadzor nad ocenami tveganj in načrtovanje operativne odpornosti
- Zagotavljanje skladnosti z revizijo prek neodvisnih pregledov
- Dodeljevanje proračunov za upravljanje kibernetske varnosti in usposabljanje zaposlenih
Notranje politike in usposabljanje zaposlenih
Ustvariti morate dokumentirane pravilnike, ki opredeljujejo varnostne vloge v celotni organizaciji. Ti pravilniki morajo določati odgovornosti za varstvo podatkov, odzivanje na incidente in ohranjanje kibernetske odpornosti. Vaši varnostni pravilniki morajo zajemati:- Zahteve glede nadzora dostopa in preverjanja pristnosti
- Standardi za razvrščanje in šifriranje podatkov
- Postopki poročanja o incidentih
- Redno usposabljanje za ozaveščanje o varnosti
Vrste kibernetskih incidentov in nastajajoče grožnje
Kibernetski incidenti segajo od zavajajočih e-poštnih sporočil do obsežnih motenj v omrežju, ki lahko ogrozijo celotne organizacije. Razumevanje teh groženj vam pomaga prepoznati ranljivosti in določiti, kdo je odgovoren, ko pride do kršitve.Lažno predstavljanje, zlonamerna programska oprema in izsiljevalska programska oprema
Ribarjenje ostaja ena najpogostejših groženj kibernetske varnosti, s katerimi se boste srečali. Napadalci pošiljajo e-poštna sporočila ali sporočila, ki se pretvarjajo, da so od legitimnih podjetij, da bi ukradli vaša gesla, finančne podatke ali druge občutljive podatke. Lažno predstavljanje je tudi vstopna točka za velik delež primerov izsiljevalske programske opreme, ki sledijo, zato nadzorni organ uspešen napad lažnega predstavljanja obravnava kot dokaz o vaših kontrolah in ne kot smolo. Malware se nanaša na škodljivo programsko opremo, ki poškoduje vaše računalniške sisteme ali omrežja. To vključuje viruse, trojanske konje in drugo zlonamerno kodo, namenjeno dostopu do vaših podatkov ali motenju vašega delovanja. izsiljevalska je posebna vrsta zlonamerne programske opreme, ki blokira dostop do vaših datotek in zahteva plačilo za obnovitev. Tudi če plačate odkupnino, ni nobenega zagotovila, da vam bodo napadalci obnovili dostop ali izbrisali ukradene podatke. Plačevanje sproža tudi svoja pravna vprašanja, vključno s preverjanjem prejemnika s strani sankcij ter računovodsko in razkritno obravnavo plačila.Napadi zavrnitve storitve in porazdeljeni napadi zavrnitve storitve
DoS napadi preobremenijo vaše sisteme s prometom, da storitve postanejo nedostopne legitimnim uporabnikom. En sam vir preplavi vaše omrežje z zahtevami, dokler se ne sesuje ali postane prepočasno za delovanje. DDoS napadi uporabite več ogroženih sistemov za izvajanje usklajenih napadov na vašo infrastrukturo. Te porazdeljene napade je težje ustaviti, ker prihajajo z več lokacij hkrati. Napadi DDoS lahko motijo kritične storitve, od vladnih spletnih mest do operacij zasebnega sektorja. Časovno okno med odkrivanjem in materialno škodo je kratko, čas za obveščanje v skladu z Zakonom o kibernetski varnosti pa se začne pri 24 urah. Zaradi tega ozkega časovnega okvira je hiter odziv bistvenega pomena pri soočanju z napadi DoS ali DDoS.Goljufija in nepooblaščen dostop
goljufije V kibernetski varnosti so zavajajoče prakse za pridobitev nepooblaščenega dostopa do vaših sistemov ali podatkov. To vključuje krajo identitete, goljufije pri plačilih in ogrožanje poverilnic. Nepooblaščen dostop se zgodi, ko nekdo krši vaše varnostne pravilnike za dostop do omrežij, sistemov ali podatkov brez dovoljenja. To se lahko zgodi na naslednje načine:- Ukradene prijavne poverilnice
- Izkoriščene ranljivosti programske opreme
- Zaobišli varnostne kontrole
- Notranje grožnje sedanjih ali nekdanjih zaposlenih
Ranljivosti sektorja in dobavne verige
Sektorji kritične infrastrukture se soočajo z večjimi tveganji zaradi kibernetske kriminalitete, pri čemer so glavne tarče zdravstvo, energetika in finančne storitve. Podjetja za profesionalne storitve so ponavljajoča se tarča prav zato, ker imajo v lasti koncentrirane podatke o strankah. Varnost dobavne verige je postalo vse pomembnejše, saj napadalci ciljajo na vaše partnerje in zunanje prodajalce, namesto da bi neposredno napadli vas. Ti napadi zunanjih prodajalcev izkoriščajo šibkejše varnostne ukrepe v vaših partnerskih organizacijah za dostop do podatkov vaših strank. Ranljivosti dobavne verige napadalcem omogočajo, da z eno samo kršitvijo ogrozijo več organizacij. Ko se sistemi vašega prodajalca povežejo z vašimi, njihove varnostne slabosti postanejo vaše varnostne slabosti. To medsebojno povezano tveganje pomeni, da morate oceniti ne le svoje lastne ukrepe kibernetske varnosti, temveč tudi ukrepe vsake organizacije v vaši dobavni verigi. Nacionalne države vse pogosteje preizkušajo in prodirajo v konkurenčne kibernetske prostore, pogosto delujejo pod krinko zasebnih subjektov, hkrati pa delujejo v imenu vlad.Pogosta vprašanja
Nizozemska podjetja se morajo po kršitvi varnosti podatkov ravnati v skladu s strogimi zahtevami glede poročanja in standardi skladnosti, pri čemer odgovornost sega na več strani, odvisno od njihovih vlog in odgovornosti. Razumevanje teh obveznosti organizacijam pomaga zaščititi sebe in prizadete posameznike, hkrati pa ohranjati skladnost z nacionalnimi in evropskimi predpisi.Kakšne so pravne obveznosti nizozemskih podjetij po kršitvi varnosti podatkov?
Vaša organizacija mora o kršitvi podatkov obvestiti nizozemski organ za varstvo podatkov (Autoriteit Persoonsgegevens) v 72 urah po tem, ko izve zanjo.
Ta zahteva velja v skladu z GDPR, ki ureja varstvo podatkov po vsej Nizozemski.
V obvestilu o kršitvi morate navesti konkretne informacije.
To vključuje naravo kršitve, število prizadetih posameznikov, morebitne posledice in ukrepe, ki ste jih sprejeli ali jih nameravate sprejeti.
Če vseh podrobnosti ne morete posredovati v 72 urah, morate pojasniti zamudo in preostale informacije predložiti čim prej.
Kadar kršitev predstavlja veliko tveganje za pravice in svoboščine posameznikov, morate o tem neposredno obvestiti tudi prizadete osebe.
Tega obvestila ne morete odložiti brez upravičenih razlogov.
Vaša komunikacija s prizadetimi posamezniki mora biti jasna in pojasnjevati verjetne posledice kršitve ter ukrepe, ki jih lahko sprejmejo za svojo zaščito.
Voditi morate podrobno dokumentacijo o vseh kršitvah podatkov, ne glede na to, ali jih prijavite organom.
Ta dokumentacija mora vsebovati dejstva o kršitvi, njenih posledicah in sprejetih sanacijskih ukrepih.
Nizozemski organ za varstvo podatkov lahko to dokumentacijo zahteva med inšpekcijskimi pregledi ali preiskavami.
Kako se odgovornost za kršitve podatkov določa po nizozemski zakonodaji?
Odgovornost za kršitve varnosti podatkov na Nizozemskem je odvisna od vaše vloge upravljavca ali obdelovalca podatkov.
Upravljavci podatkov določajo namene in sredstva obdelave osebnih podatkov, medtem ko obdelovalci podatkov obdelujejo podatke v imenu upravljavcev.
Vaše pravne odgovornosti se razlikujejo glede na to razvrstitev.
Kot upravljavec podatkov nosite glavno odgovornost za zagotavljanje skladnosti s predpisi o varstvu podatkov.
Za zaščito osebnih podatkov morate izvesti ustrezne tehnične in organizacijske ukrepe.
Sodišča ocenijo, ali ste sprejeli razumne ukrepe za preprečitev kršitve in ali ste pri svojih varnostnih praksah ravnali malomarno.
Obdelovalci podatkov so lahko odgovorni tudi, če ne upoštevajo navodil upravljavca ali kršijo svoje pogodbene obveznosti.
Vendar imajo obdelovalci običajno bolj omejeno odgovornost kot upravljavci.
Če obdelujete podatke brez ustreznega dovoljenja upravljavca ali ne izvajate dogovorjenih varnostnih ukrepov, ste lahko neposredno odgovorni.
Nizozemska sodišča pri ugotavljanju odgovornosti upoštevajo več dejavnikov.
To vključuje resnost kršitve, občutljivost ogroženih podatkov, vaše varnostne ukrepe pred kršitvijo in vaš odziv po odkritju incidenta.
Velikost in viri vaše organizacije vplivajo tudi na to, katere varnostne ukrepe sodišča štejejo za razumne.
Skupna odgovornost lahko nastane, kadar več strank prispeva k kršitvi varnosti podatkov.
Če si odgovornost delite z drugimi upravljavci ali obdelovalci, lahko sodišča vsako stranko štejejo za odgovorno za celotno škodo.
Nato lahko od drugih odgovornih oseb zahtevate odškodnino glede na njihov prispevek k kršitvi.
Katere stranke so lahko odgovorne za incidente v zvezi z varnostjo podatkov na Nizozemskem?
Upravljavci podatkov nosijo glavno odgovornost za incidente v zvezi z varnostjo podatkov.
Kot upravljavec odločate o tem, kako se obdelujejo osebni podatki, in morate zagotoviti ustrezne varnostne ukrepe.
Vaša organizacija se lahko zaradi kršitve sooči z upravnimi globami, civilno odgovornostjo in škodo za ugled.
Obdelovalci podatkov so lahko odgovorni, če ne izpolnjujejo svojih pogodbenih in zakonskih obveznosti.
Če obdelujete podatke v imenu upravljavca, morate izvajati varnostne ukrepe, določene v vaši pogodbi, in upoštevati zakonita navodila upravljavca.
Če prekoračite svoja pooblastila ali ne zagotovite ustrezne varnosti, boste neposredno odgovorni.
Direktorji in vodilni delavci vaše organizacije se lahko v določenih okoliščinah soočijo z osebno odgovornostjo.
V skladu z izvajanjem direktive NIS2 na Nizozemskem je lahko vodstvo osebno odgovorno za napake pri upravljanju kibernetske varnosti.
To vključuje morebitno prepoved opravljanja funkcije direktorja, če pride do resnih kršitev.
Tudi ponudniki storitev tretjih oseb so lahko odgovorni za varnostne incidente.
Če se zanašate na storitve v oblaku , IT-podporo ali druge zunanje ponudnike, lahko ti prevzamejo del odgovornosti, če njihove napake prispevajo k kršitvi.
Vaše pogodbe s temi ponudniki bi morale jasno opredeliti varnostne odgovornosti in pogoje odgovornosti.
Nizozemski organ za varstvo podatkov deluje kot glavni organ za izvrševanje.
Čeprav organ ni neposredno odgovoren za kršitve, preiskuje incidente, izdaja korektivne odredbe in nalaga upravne globe organizacijam, ki ne izpolnjujejo predpisov.
Kakšne posledice imajo organizacije zaradi neupoštevanja nizozemskih predpisov o varstvu podatkov?
Vaša organizacija se lahko sooči z upravnimi globami v višini do 20 milijonov evrov ali 4 % vašega svetovnega letnega prometa, kar je višje. Nizozemski organ za varstvo podatkov določi višino glob na podlagi narave, resnosti, trajanja in vašega sodelovanja med preiskavami kršitve.
Poleg finančnih kazni lahko organ naloži korektivne ukrepe, ki motijo vaše poslovanje. Ti ukrepi vključujejo začasne omejitve dejavnosti obdelave podatkov, odredbe za odpravo določenih kršitev in obvezne revizije.
Morda boste morali začasno ustaviti nekatere poslovne dejavnosti, dokler ne dokažete skladnosti. Vaša organizacija tvega znatno škodo ugledu zaradi neskladnosti.
Javno razkritje kršitev varnosti podatkov in regulativnih kazni lahko spodkoplje zaupanje strank in škoduje poslovnim odnosom. Nizozemski organ za varstvo podatkov objavlja odločbe o izvrševanju, ki so še vedno dostopne javnosti in medijem.
Prizadeti posamezniki lahko vložijo civilne tožbe, v katerih zahtevajo odškodnino za škodo. Posamezniki lahko zahtevajo odškodnino za premoženjsko in nepremoženjsko škodo, ki je nastala zaradi kršitev varstva podatkov.
Nizozemska sodišča vse pogosteje priznavajo zahtevke zaradi stiske in izgube nadzora nad osebnimi podatki, tudi brez neposrednih finančnih izgub. Vaše poslovne priložnosti so lahko po resnih kršitvah omejene.
Nekateri sektorji zahtevajo varnostne certifikate ali evidence skladnosti za vzdrževanje pogodb, zlasti pri poslovanju z vladnimi subjekti ali reguliranimi panogami.
Na kakšne načine lahko prizadeti posamezniki zahtevajo pravno sredstvo po kršitvi varnosti podatkov na Nizozemskem?
Če menite, da je organizacija kršila vaše pravice do varstva podatkov, lahko vložite pritožbo pri nizozemskem organu za varstvo podatkov. Organ preiskuje pritožbe in lahko zoper organizacije, ki ne upoštevajo predpisov, sprejme izvršilne ukrepe.
Ta postopek vas ne stane nič in ne zahteva pravnega zastopanja. Imate pravico do civilne tožbe proti odgovorni organizaciji.
Nizozemska zakonodaja vam dovoljuje, da zahtevate odškodnino za materialno in nematerialno škodo, ki je posledica kršitev varstva podatkov. Materialna škoda vključuje finančne izgube, medtem ko nematerialna škoda zajema stisko, tesnobo in izgubo nadzora nad vašimi osebnimi podatki.
Nizozemski odvetniki na splošno ne delajo po načelu »brez zdravljenja ni plačila«, vendar je subvencionirana pravna pomoč na voljo, če izpolnjujete merila glede dohodka in kapitala, ki jih je določil Odbor za pravno pomoč.
Kolektivne tožbe v skladu z Zakonom o odškodnini za množično škodo v skupinskih tožbah ( WAMCA ) omogočajo fundaciji ali združenju, da vloži zahtevek za določeno skupino, in več takšnih tožb zaradi kršitev podatkov je že pred nizozemskimi sodišči. Odškodnino lahko zahtevate neposredno od organizacije, ne da bi se obrnili na sodišče.
Številne organizacije se raje lotevajo zasebnega reševanja zahtevkov, da bi se izognile stroškom sodnih postopkov in negativni publiciteti. Vaš pogajalski položaj se okrepi, če je organizacija očitno kršila predpise o varstvu podatkov ali če je kršitev povzročila znatno škodo.
Prav tako lahko vložite zahtevke proti obdelovalcem podatkov, če so odgovorni za kršitev. V skladu z GDPR so lahko za škodo odgovorni tako upravljavci kot obdelovalci.
Če je k kršitvi prispevalo več strank, lahko od katere koli odgovorne stranke zahtevate celoten znesek.
Kako GDPR vpliva na odgovornost in odgovornosti v primeru kršitve varnosti podatkov za subjekte, ki delujejo na Nizozemskem?
GDPR določa jasne obveznosti za organizacije glede varstva osebnih podatkov.
Subjekti morajo izvajati ustrezne tehnične in organizacijske ukrepe za zagotovitev varnosti podatkov.
V primeru kršitve varnosti podatkov morajo organizacije v 72 urah obvestiti pristojni nadzorni organ.
Če kršitev predstavlja veliko tveganje za pravice in svoboščine posameznikov, je treba o tem obvestiti tudi prizadete posameznike.
Neupoštevanje teh zahtev lahko povzroči znatne globe in škodo ugledu organizacije.
Tako upravljavci kot obdelovalci podatkov imajo v skladu s Splošno uredbo o varstvu podatkov različne odgovornosti, pogodbe pa morajo te vloge jasno opredeliti.
Kako Law & More vam lahko pri tem pomaga, je razloženo na naši odvetnik za IT stran.
