Netöryggi og ábyrgð í Hollandi: Ábyrgð vegna gagnaleka útskýrð

Gögnalekar eiga sér stað daglega í Hollandi. Þegar þeir gerast verður einhver að grípa til aðgerða ábyrgð.

Samkvæmt hollenskum lögum og GDPR bera stofnanir sem hafa umsjón með persónuupplýsingum aðalábyrgð á vernd þeirra og standa frammi fyrir þeim. veruleg ábyrgð þegar brot eiga sér stað. Ef fyrirtæki þitt þjáist af cyberattack, gætir þú átt yfir höfði þér sektir allt að 20 milljónum evra eða 4% af ársveltu þinni á heimsvísu, allt eftir því hvor upphæðin er hærri.

Það er nauðsynlegt fyrir allar stofnanir sem starfa í Hollandi að skilja hver ber ábyrgð eftir gagnaleka. Svarið er ekki alltaf einfalt, þar sem ábyrgð getur náð út fyrir fyrirtækið þitt og einnig til þriðja aðila sem koma að gagnavinnslu.

Persónuverndarstofnun Hollands og aðrir eftirlitsaðilar ákvarða ábyrgð út frá hlutverki þínu sem annað hvort ábyrgðaraðili gagna eða vinnsluaðili, þeim öryggisráðstöfunum sem þú hafðir í gildi og hversu fljótt þú brást við atvikinu.

Þessi grein fjallar um lagalegan ramma netöryggis í Hollandi og útskýrir hvernig ábyrgð er úthlutað eftir brot. Þú munt læra um tilkynningarskyldu þína, viðurlög sem þú stendur frammi fyrir viðurlögum og hagnýt skref sem þú getur tekið til að vernda fyrirtæki þitt gegn bæði netárásum og lagalegum afleiðingum.

Lagalegur rammi um netöryggi og gagnavernd

Holland starfar samkvæmt mörgum lögum um netöryggi og gagnavernd, þar sem reglugerðir frá ESB og innlendum framkvæmdalögum eru sameinaðar. Þessi lög setja skýrar skyldur fyrir stofnanir sem meðhöndla persónuupplýsingar og reka mikilvæga innviði.

Þau skapa sérstakar kröfur fyrir ýmsa geira, þar á meðal fjarskipti, fjármál og lög fullnustu.

Persónuverndarreglugerðin (GDPR) og innleiðing hennar í Hollandi

The GDPR þjónar sem aðal rammi um gagnavernd um allt ESB, þar á meðal Holland. Það setur ítarlegar reglur um vinnslu persónuupplýsinga og krefst þess að stofnanir geri viðeigandi tæknilegar og skipulagslegar ráðstafanir til að vernda upplýsingar.

Holland innleiddi GDPR með Hollenska lögin um innleiðingu GDPR (Útkomuvott AVG), sem aðlagar kröfur ESB að hollenskum lögum. Þessi lög kveða á um sértæk ákvæði fyrir aðstæður innanlands en samræmast evrópskum stöðlum.

Það tilnefnir Persónuverndarstofnun Hollands (Heimild til persónuupplýsinga) sem eftirlitsaðili sem ber ábyrgð á framfylgd.

Samkvæmt GDPR verður þú að tilkynna gögnum brot til eftirlitsyfirvalds innan 72 klukkustunda frá því að þú varðst var við þau. Þegar brot hafa í för með sér mikla áhættu fyrir réttindi og frelsi einstaklinga verður þú einnig að tilkynna viðkomandi aðilum það án ótilhlýðilegrar tafar.

Þessar tilkynningarskyldur mynda grunninn að ábyrgð vegna brota í Hollandi.

The Verzamelwet Gegevensbescherming (Lög um sameiginlega gagnavernd) fínstilla enn frekar ýmis hollensk lög til að samræmast GDPR-stöðlunum. Þetta tryggir samræmi á milli mismunandi lagasviða.

Lög um netöryggi og NIS2-tilskipunin

The NIS2 tilskipun víkkar verulega út kröfur um netöryggi fyrir nauðsynlega og mikilvæga aðila innan ESB. Holland er að innleiða þessa tilskipun með uppfærslum á Netöryggi (Hollenska netöryggislögin), sem upphaflega innleiddu fyrstu netöryggistilskipunina.

NIS2 víkkar út umfang þeirra geira sem falla undir kerfið og kynnir strangari öryggiskröfur, skyldur til að tilkynna atvik og ákvæði um ábyrgð stjórnenda. Þú verður að innleiða sérstakar áhættustjórnunarráðstafanir og tilkynna um alvarleg atvik innan sólarhrings frá því að þú verður var við þau.

The Lög um öryggi netkerfa og upplýsingakerfa og meðfylgjandi Öryggisreglugerð net- og upplýsingakerfa setja ítarlegar kröfur fyrir rekstraraðila nauðsynlegra þjónustu og stafrænna þjónustuaðila. Þessi lög kveða á um grunnöryggisráðstafanir, reglubundnar úttektir og samræmingu við innlend netöryggisyfirvöld.

Löggjöfin tilnefnir tiltekna lögbæra yfirvöld fyrir mismunandi geira. Þetta tryggir sérhæft eftirlit með starfsháttum í netöryggismálum.

Önnur viðeigandi lög og tilskipanir

The Tilskipun ESB um rafræna friðhelgi einkalífs bætir við GDPR með því að fjalla um friðhelgi einkalífs rafrænna samskipta. Hún krefst samþykkis fyrir vafrakökur og svipaða tækni og verndar trúnað samskiptagagna.

The laga um fjarskipti (Fjarskiptavötn) leggur sérstakar öryggisskyldur á fjarskiptafyrirtæki, þar á meðal kröfur um að vernda heilleika netsins og notendagögn. Þessi lög vinna samhliða lögum um gagnavernd til að tryggja alhliða vernd í fjarskiptageiranum.

The Lög um viðnámsþrótt mikilvægra aðila (CRA) styrkir kröfur um efnislegt öryggi og netöryggi fyrir aðila sem taldir eru mikilvægir fyrir almannaöryggi og efnahagslegan stöðugleika. Það krefst áhættumats og viðnámsþróttar umfram hefðbundnar ákvæði um netöryggi.

Þessi rammaverk skapa skyldur sem skarast. Þú verður að rata um þau þegar þú starfar á mörgum sviðum eða vinnur með mismunandi gerðir gagna.

Sértækar reglugerðir

The Lög um fjármálaeftirlit (Wet op fjármálaeftirlit) setur strangar kröfur um netöryggi og gagnavernd fyrir fjármálastofnanir. Þú verður að innleiða öflug öryggisráðstafanir, verklagsreglur við atvikum og reglulegar prófunarreglur þegar þú starfar í fjármálageiranum.

Löggæslustofnanir standa frammi fyrir sérhæfðum kröfum samkvæmt Lög um gögn lögreglu (Blautar lögregluupplýsingar) og Wet justitiële en strafvorderlijke gegevens (Lög um réttarfars- og sakamálaréttarfarsgögn). Þessi lög gilda um hvernig lögregla og dómsmálayfirvöld safna, vinna úr og vernda persónuupplýsingar við rannsóknir og sakamálaferli.

Heilbrigðisstarfsmenn verða að fylgja frekari persónuverndarreglum umfram hefðbundnar kröfur GDPR. Þetta endurspeglar viðkvæma eðli læknisfræðilegra upplýsinga.

Orku-, samgöngu- og vatnsgeirarnir standa frammi fyrir sérstökum skyldum samkvæmt innleiðingu NIS2, með sérsniðnum öryggisráðstöfunum sem henta rekstraráhættu þeirra.

Hver reglugerð sem er tiltekin í hverjum geira hefur sínar eigin kröfur varðandi eftirlit. Það er mikilvægt að bera kennsl á hvaða lög eiga við um starfsemi og gagnavinnslu fyrirtækisins.

Ábyrgðarúthlutun eftir gagnaleka

Í Hollandi fer ábyrgð vegna gagnaleka eftir hlutverki þínu í vinnslu persónuupplýsinga, þ.e. öryggisráðstafanir þú innleiddir og hvort þú fylgdir skýrslugerðarkröfum. Persónuverndarstofnun Hollands og aðrar eftirlitsstofnanir ákvarða ábyrgð út frá lagaskyldur samkvæmt GDPR og innlendum lögum um netöryggi.

Skilgreining á ábyrgð: Ábyrgðaraðilar, vinnsluaðilar og þriðju aðilar

Ábyrgð þín eftir a brot á persónuupplýsingum fer eftir því hvort þú starfar sem gagnaábyrgðaraðili eða vinnsluaðili. Ábyrgðaraðilar ákveða hvernig og hvers vegna persónuupplýsingar eru unnar, sem gerir þá aðalábyrga fyrir öryggisatvikum.

Vinnsluaðilar meðhöndla gögn fyrir hönd ábyrgðaraðila og bera ábyrgð ef þeir fara fram úr fyrirmælum eða vanrækja að innleiða fullnægjandi öryggisráðstafanir.

Þriðju aðilar eins og stafrænar þjónustuveitendur bera sérstaka ábyrgð. Ef þú notar utanaðkomandi birgja berð þú ábyrgð á gjörðum þeirra þegar þeir vinna úr gögnum fyrir þína hönd.

Samningar þínir verða að tilgreina öryggisskyldur og verklagsreglur um meðhöndlun atvika.

Þegar margir aðilar eiga í hlut getur ábyrgðin verið sameiginleg. Ef bæði þú og vinnsluaðilinn hafið ekki innleitt tæknilegar og skipulagslegar ráðstafanir gætuð þið bæði átt yfir höfði ykkur sektir frá Autoriteit Persoonsgegevens.

Eftirlitsyfirvaldið kannar hlutverk hvers aðila í brotinu til að úthluta ábyrgð.

Eftirlitsyfirvöld og hlutverk eftirlitsaðila

Persónuverndarstofnun Hollands (Autoriteit Persoonsgegevens) ber ábyrgð á að framfylgja GDPR-reglugerðinni. Þú verður að tilkynna brot á persónuupplýsingum til þessa eftirlitsstofnunar innan 72 klukkustunda frá því að þú varðst var við atvikið.

Ef þú stenst ekki frest til að tilkynna atvik eykur þú ábyrgð þína.

Þjóðarmiðstöð netöryggis (NCSC) sér um víðtækari netöryggisógn sem hafa áhrif á rekstraraðila nauðsynlegrar þjónustu. Ef þú veitir mikilvæga innviði eða stafræna þjónustu verður þú einnig að tilkynna umtalsverð öryggisatvik til NCSC.

Þessar skýrslur hjálpa til við að samhæfa viðbrögð þjóða við netógnum.

Báðar yfirvöldin framkvæma rannsóknir eftir öryggisatvik. Autoriteit Persoonsgegevens getur lagt á sektir allt að 20 milljónum evra eða 4% af árlegri heildarveltu þinni, hvort sem er hærra.

Þeir taka tillit til þátta eins og eðli brotsins, fjölda einstaklinga sem urðu fyrir áhrifum og viðbragðsaðgerða þinna.

Leiðbeiningar ENISA hafa áhrif á hvernig hollensk yfirvöld meta hvort þú uppfyllir kröfur um netöryggi.

Skipulags- og tæknilegar ráðstafanir

Innleiðing tæknilegra og skipulagslegra ráðstafana hefur bein áhrif á ákvörðun um ábyrgð. Þessar ráðstafanir fela í sér dulkóðun, aðgangsstýringu, reglulegar öryggisprófanir og þjálfun starfsfólks.

Dómstólar og eftirlitsyfirvöld meta hvort öryggi þitt hafi verið viðeigandi miðað við áhættuna sem um ræðir.

Þú verður að skjalfesta öryggisráðstafanir þínar og sýna fram á áætlanagerð um rekstrarstöðugleika. Ef þú getur ekki sýnt fram á fullnægjandi varúðarráðstafanir eykst ábyrgðin verulega.

Regluleg áhættumat hjálpar þér að bera kennsl á veikleika áður en brot eiga sér stað.

Verklagsreglur við meðhöndlun atvika eru mikilvægar. Þú þarft skýrar verklagsreglur til að greina, rannsaka og bregðast við brotum á persónuupplýsingum.

Viðbragðstími þinn og skilvirkni við að hefta öryggisatvik hefur áhrif á ákvarðanir um refsingar.

Autoriteit Persoonsgegevens (Autoriteit Persoonsgegevens) væntir þess að þú varðveitir sönnunargögn um öryggisumhverfi þitt. Án viðeigandi skjala verður erfitt að sanna að þú hafir sýnt fram á sanngjarna aðgát við rannsóknir.

Áhrif framboðskeðjunnar og þjónustuaðila

Öryggi í framboðskeðjunni skapar flókin ábyrgðarmál. Þegar þjónustuaðilar þínir verða fyrir brotum sem hafa áhrif á gögnin þín gætirðu samt sem áður þurft að takast á við afleiðingar.

Þú verður að framkvæma áreiðanleikakönnun á birgjum og fylgjast stöðugt með öryggisvenjum þeirra.

Rekstraraðilar nauðsynlegra þjónustu standa frammi fyrir strangari kröfum um stjórnun birgja. Þú verður að tryggja að stafrænir þjónustuaðilar í framboðskeðjunni þinni uppfyli stöðlum sem samsvara þínum eigin skyldum.

Í samningum ættu að vera skýr skilgreind skylda við tilkynningu atvika og úthlutun ábyrgðar.

Ef öryggisbrot á upptök sín í framboðskeðjunni þinni kannar Autoriteit Persoonsgegevens hvort þú hafir framkvæmt fullnægjandi mat á birgjum. Ábyrgð þín fer eftir því hvort þú hafir gripið til hæfilegra ráðstafana til að staðfesta öryggi birgja.

Þú getur ekki úthlutað fulla ábyrgð, jafnvel þegar þú notar þriðja aðila sem vinnsluaðila.

Fjölþættar framboðskeðjur krefjast sérstakrar árvekni. Þú þarft innsýn í undirvinnsluaðila og öryggisráðstafanir þeirra til að verjast kaflaskiptum bilunum sem stofna persónuupplýsingum í hættu á milli margra fyrirtækja.

Skyldur um tilkynningu um gagnaleka

Holland innleiðir marglaga tilkynningarkerfi samkvæmt GDPR og landslögum um netöryggi. Ábyrgðaraðilar verða að tilkynna brot til Persónuverndarstofnunar innan 72 klukkustunda ef hætta er á að réttindi skráðra gagna.

Brot með mikilli áhættu krefjast þess að viðkomandi einstaklingar verði tilkynntir beint.

Tímalínur og kröfur um málsmeðferð

Þú verður að tilkynna persónuupplýsingaeftirlitinu án ótilhlýðilegrar tafar og, ef mögulegt er, eigi síðar en 72 klukkustundum eftir að þú varðst var við öryggisbrot. Þessi skylda á við nema ólíklegt sé að öryggisbrotið leiði til áhættu fyrir réttindi og frelsi einstaklinga.

Tilkynningin verður að innihalda nákvæmar upplýsingar ef mögulegt er. Þú þarft að tilgreina flokka og áætlaðan fjölda skráðra einstaklinga sem um ræðir, flokka og áætlaðan fjölda persónuupplýsingaskráa sem um ræðir og nafn persónuverndarfulltrúa þíns eða annars tengiliðs.

Þú verður einnig að lýsa líklegum afleiðingum brotsins og þeim ráðstöfunum sem gripið hefur verið til eða fyrirhugaðar hafa verið til að bregðast við því.

Ef þú getur ekki veitt allar nauðsynlegar upplýsingar innan 72 klukkustunda frestsins geturðu sent þær inn í áföngum. Þú verður að útskýra ástæður tafa á fyrstu tilkynningunni.

Hverjum skal tilkynnt og hvenær

Þú verður að tilkynna viðkomandi einstaklingum beint þegar líklegt er að öryggisbrot á persónuupplýsingum muni leiða til mikillar áhættu fyrir réttindi þeirra og frelsi. Þessi tilkynning verður að berast án ótilhlýðilegrar tafar og á skýru og einföldu máli.

Bein tilkynning til skráðra einstaklinga er ekki krafist í þremur tilteknum tilvikum. Þú þarft ekki að tilkynna ef þú hefur innleitt viðeigandi tæknilegar og skipulagslegar verndarráðstafanir (eins og dulkóðun) sem gera gögnin óskiljanleg óviðkomandi aðilum.

Þú þarft heldur ekki að tilkynna ef þú hefur gripið til síðari ráðstafana til að tryggja að hættan á að réttindi einstaklinga steðji að verði ekki lengur til staðar, eða ef bein samskipti myndu fela í sér óhóflega fyrirhöfn. Í slíkum tilvikum er krafist opinberrar upplýsingagjafar eða svipaðra ráðstafana í staðinn.

Fjármálafyrirtæki samkvæmt lögum um fjármálaeftirlit eru undanþegin tilkynningarskyldu til skráðra einstaklinga. Þau verða samt sem áður að tilkynna til eftirlitsstofnunar.

Vinnsluaðilar hafa sérstakar skyldur. Þú verður að tilkynna ábyrgðaraðila án ótilhlýðilegrar tafar eftir að þú verður var við brot á persónuupplýsingum, óháð áhættustigi.

Þetta er bæði lögbundin krafa samkvæmt GDPR og ætti að vera innifalið í vinnslusamningi þínum.

Tilkynningarskylda eftir geira og á landsvísu

Auk skyldna samkvæmt GDPR gætir þú þurft að standa frammi fyrir frekari tilkynningarskyldu eftir því í hvaða geira þú starfar. Samkvæmt WBNI (lög um öryggi netkerfa og upplýsingakerfa) eru ákveðnir aðilar skyltir að tilkynna öryggisatvik til netöryggisyfirvalda, jafnvel þótt þessi atvik flokkist ekki sem brot á persónuupplýsingum.

Þeir sem bjóða upp á almenn fjarskiptanet verða að tilkynna það til Umhverfis- og samgöngueftirlitsins (ILT). Heilbrigðisstofnanir bera skyldu til að tilkynna Heilbrigðis- og ungmennaeftirlitinu um atvik sem hafa áhrif á öryggi lækningatækja eða sjúklingagögn.

Fjármálafyrirtæki verða að uppfylla kröfur sem gilda í hverjum geira samkvæmt lögum um fjármálaeftirlit.

Þjónustuaðilar mikilvægra innviða hafa auknar skyldur samkvæmt WBNI. Þér ber að tilkynna alvarleg atvik til viðbragðsteymis tölvuöryggis (CSIRT) sem gætu raskað nauðsynlegri þjónustu verulega.

Opinber fyrirtæki gætu þurft að tilkynna öryggisatvik sem gætu haft veruleg áhrif á ákvarðanir fjárfesta.

Þessar kröfur um einstök svið starfa oft samhliða skyldum GDPR frekar en að koma í stað þeirra. Þú gætir þurft að senda margar tilkynningar til mismunandi yfirvalda vegna sama atviks, allt eftir starfsemi fyrirtækisins og eðli brotsins.

Framfylgd og viðurlög við brotum

Hollensk yfirvöld hafa skýr heimildir til að rannsaka bilanir í netöryggi og leggja verulegar fjárhagslegar sektir á fyrirtæki sem ekki vernda persónuupplýsingar eða uppfylla ekki öryggiskröfur.

Framkvæmdarramminn felur í sér marga eftirlitsaðila með sérstaka eftirlitsábyrgð, skipulögð viðurlögakerfum og skilgreindar áfrýjunarferli fyrir stofnanir sem standa frammi fyrir viðurlögum.

Rannsóknar- og eftirlitsheimildir

Persónuverndarstofnun Hollands (Autoriteit Persoonsgegevens, eða AP) ber aðalábyrgð á að rannsaka gagnaleka og brot á GDPR.

Lögreglan getur hafið rannsóknir á grundvelli kvartana, fjölmiðlaumfjöllunar eða reglubundinna úttekta.

Meðan á rannsókn stendur getur yfirvaldið óskað eftir gögnum, framkvæmt vettvangsskoðanir og tekið viðtöl við starfsfólk.

Hvað varðar skyldur varðandi netöryggi samkvæmt nýju Cyberbeveiligingswet, þá annast eftirlitsaðilar sem eru tilteknir í hverjum geira eftirlit.

Neytenda- og markaðseftirlitið (ACM) hefur eftirlit með stafrænum innviðum og fjarskiptafyrirtækjum.

Hollenski seðlabankinn (DNB) hefur eftirlit með fjármálastofnunum.

Efnahags- og loftslagsráðherra, innviða- og vatnsmálaráðherra og heilbrigðisráðherra fara hver með framfylgdarvald innan sinna geira.

Þessir eftirlitsaðilar geta endurskoðað kerfin þín, farið yfir verklagsreglur við atvikum og metið hvort áhættustjórnun þín uppfylli lagaleg skilyrði.

Þeir geta einnig innheimt kostnað við framkvæmd frá fyrirtækinu þínu ef brot eru uppgötvuð.

Þjóðarmiðstöð netöryggis (NCSC) hefur samræmingu milli eftirlitsaðila en leggur ekki beinar viðurlög.

Stjórnsýslu- og fjárhagslegar viðurlög

Fjárhagslegar sektir eru mismunandi eftir lagalegum ramma og alvarleika brota.

Samkvæmt GDPR getur AP lagt á sektir allt að 20 milljónum evra eða 4% af árlegri alþjóðlegri veltu þinni, hvort sem er hærra.

Yfirvaldið tekur tillit til þátta eins og eðli brotsins, fjölda einstaklinga sem urðu fyrir áhrifum og samvinnu þinnar við rannsókn.

Samkvæmt netöryggislöggjöfinni fylgja refsingar stigskiptu uppbyggingu:

Eftirlitsaðilar geta einnig gefið út leiðréttingarfyrirmæli sem krefjast þess að þú innleiðir sérstakar öryggisráðstafanir innan ákveðins tímaramma.

Endurtekin mistök geta leitt til þess að brot séu nefnd og niðurlægð opinberlega.

Stjórnendur samtaka sem flokkast sem nauðsynlegir aðilar geta átt yfir höfði sér persónulega vanhæfi til að gegna stjórnarsetu í alvarlegum tilvikum.

Opinberar stofnanir eru undanþegnar fjárhagslegum viðurlögum en standa frammi fyrir leiðréttandi aðgerðum og hugsanlegri þinglegri eftirliti.

Lögfræðileg úrræði og áfrýjanir

Þú hefur rétt til að kæra ákvarðanir um framkvæmd með því að stjórnsýslukærur.

Eftir að þú hefur fengið sektartilkynningu geturðu sent inn andmæli (bezwaar) til útgáfuyfirvaldsins innan sex vikna.

Eftirlitsaðilinn verður að endurskoða ákvörðun sína og veita formlegt svar.

Ef þú ert ósammála niðurstöðu endurskoðunarinnar geturðu áfrýjað til héraðsdómstóls (rechtbank).

Dómstóllinn fer yfir hvort eftirlitsaðilinn hafi fylgt réttum verklagsreglum og beitt lögunum rétt.

Þú gætir þá ákvarðanir áfrýjunardómstóls til stjórnsýsludeildar ríkisráðsins (Afdeling bestuursrechtspraak van de Raad van State), sem starfar sem æðsti stjórnsýsludómstóll.

Í gegnum áfrýjunarferlið verður þú að halda áfram að innleiða allar leiðréttingarráðstafanir sem eftirlitsaðilar fyrirskipa.

Dómstólar geta frestað fjársektum þar til áfrýjunarúrskurður liggur fyrir, en það er ekki sjálfkrafa.

Lykilhlutverk og ábyrgð í stjórnun netöryggis

Fyrirtæki verða að skilgreina skýrt hver hefur umsjón með netöryggisverkefnum, allt frá því að skipa persónuverndarfulltrúa til að koma á ábyrgð á stjórnarstigi og þjálfa starfsmenn í öryggisreglum.

Persónuverndarfulltrúar og skipanir þeirra

Þú verður að skipa persónuverndarfulltrúa ef fyrirtæki þitt vinnur með viðkvæmar persónuupplýsingar í stórum stíl eða fylgist kerfisbundið með einstaklingum.

Persónuverndarfulltrúinn er aðal tengiliður þinn fyrir persónuverndaryfirvöld og skráða aðila.

Persónuverndarfulltrúinn þinn þarfnast sérhæfðrar menntunar í lögum um persónuvernd og upplýsingaöryggi.

Þeir verða að heyra beint undir æðstu stjórnunarstöðu þína og ekki er hægt að reka þá fyrir að gegna skyldum sínum.

Hlutverkið felur í sér að fylgjast með samræmi við GDPR, framkvæma áhrifamat á persónuvernd og veita ráðgjöf um dulkóðun og dulritunarkröfur.

Þú ættir að skrá skyldur persónuverndarfulltrúans skýrt.

Þetta felur í sér heimild þeirra til að endurskoða stafræna innviði þína og fara yfir viðbragðsáætlun þína vegna atvika.

Ef þú starfar í mörgum ESB-löndum geturðu tilnefnt einn persónuverndarfulltrúa á grundvelli faglegrar hæfni hans og þekkingar á viðeigandi lögsagnarumdæmum.

Stjórnarhættir fyrirtækja og ábyrgð

Stjórn þín ber endanlega ábyrgð á áhættustýringu í netöryggismálum.

Þeir verða að samþykkja öryggisráðstafanir, úthluta fullnægjandi fjármunum og tryggja viðeigandi eftirlit með aðgerðum til að auka viðnám gegn netöryggi.

Ábyrgð leiðtoga felur í sér:

• Samþykkja öryggisstefnur fyrir upplýsingaöryggisramma
• Yfirumsjón með áhættumati og áætlun um rekstrarþol
• Að tryggja samræmi við endurskoðun í gegnum óháðar úttektir
• Úthlutun fjárhagsáætlana fyrir stjórnun netöryggis og starfsmenntun

Þú þarft að koma á skýrum valdsviðum fyrir ákvarðanatöku í öryggismálum.

Skjalfesta hver samþykkir öryggisráðstafanir, hver hefur eftirlit með framkvæmd þeirra og hver framkvæmir úttektir.

Stjórnendur þínir verða að fara reglulega yfir frammistöðu netöryggis og aðlaga stefnur út frá síbreytilegum ógnum við stafræna innviði fyrirtækisins.

Innri stefnur og starfsþjálfun

Þú verður að búa til skjalfestar stefnur sem skilgreina öryggishlutverk innan fyrirtækisins.

Þessar stefnur ættu að tilgreina ábyrgð á gagnavernd, viðbrögðum við atvikum og viðhaldi netviðnáms.

Öryggisreglur þínar þurfa að ná yfir:

• Aðgangsstýringar og kröfur um auðkenningu
• Gögnflokkun og dulkóðunarstaðlar
• Verklagsreglur um tilkynningar um atvik
• Regluleg þjálfun í öryggisvitund

Þú ættir að veita öllum starfsmönnum reglulega þjálfun í upplýsingaöryggisráðstöfunum.

Þetta felur í sér að þekkja netveiðar tilraunir, meðhöndlun viðkvæmra gagna á réttan hátt og fylgni við viðbragðsáætlun þína vegna atvika.

Þjálfun verður að vera sniðin að tilteknum hlutverkum og tæknimenntaðir fái ítarlega kennslu í dulritun og öryggisráðstöfunum.

Stefnur þínar verða að vera endurskoðaðar reglulega og uppfærðar þegar reglugerðir breytast eða nýjar áhættur koma upp.

Þú þarft að tryggja nægilegt fjármagn bæði til innleiðingar stefnu og starfsþróunar í netöryggisstarfi.

Tegundir netöryggisatvika og nýjar ógnir

Netöryggisatvik eru allt frá villandi tölvupóstum til stórfelldra truflana á neti sem geta haft áhrif á heilu fyrirtækin.

Að skilja þessar ógnir hjálpar þér að bera kennsl á veikleika og ákvarða hver ábyrgðin liggur þegar brot á sér stað.

Netveiðar, spilliforrit og ransomware

Vefveiðar er enn ein algengasta netöryggisógnin sem þú munt rekast á.

Árásarmenn senda tölvupóst eða skilaboð sem þykjast vera frá lögmætum fyrirtækjum til að stela lykilorðum þínum, fjárhagsupplýsingum eða öðrum viðkvæmum gögnum.

Þessar árásir eru ábyrgar fyrir yfir 60 prósentum af tilvikum félagsverkfræði.

malware vísar til skaðlegs hugbúnaðar sem skemmir tölvukerfi þín eða net.

Þetta felur í sér vírusa, trójuhesta og annan skaðlegan kóða sem er hannaður til að fá aðgang að gögnum þínum eða trufla starfsemi þína.

Ransomware er ákveðin tegund af spilliforritum sem lokar fyrir aðgang að skrám þínum og krefst greiðslu fyrir endurheimt.

Jafnvel þótt þú greiðir lausnargjaldið er engin trygging fyrir því að árásarmennirnir muni endurheimta aðgang þinn eða eyða stolnum gögnum.

Á árunum 2020 til 2021 stóðu stofnanir frammi fyrir um það bil 24,000 netöryggisatvikum um allan heim, þar sem ransomware átti stóran þátt í fjárhagstjóni.

Þjónustuneitunarárásir (DoS) og dreifðar DoS-árásir (DDoS)

DoS árásir ofhlaða kerfin þín með umferð til að gera þjónustur óaðgengilegar lögmætum notendum.

Ein uppspretta flæðir netið þitt af beiðnum þar til það hrynur eða verður of hægt til að virka.

DDoS árásir Notið mörg kerfi sem hafa orðið fyrir áhrifum af hættu til að ráðast á innviði ykkar í samhæfðum árásum.

Þessar dreifðu árásir eru erfiðari að stöðva þar sem þær koma frá mörgum stöðum samtímis.

DDoS-árásir geta truflað mikilvæga þjónustu, allt frá vefsíðum stjórnvalda til reksturs einkageirans.

Þú hefur venjulega innan við 62 mínútur frá fyrstu uppgötvun til að koma í veg fyrir að öryggisatvik verði að alvarlegu broti.

Þetta þrönga gluggaval gerir skjót viðbrögð nauðsynleg þegar kemur að DoS- eða DDoS-árásum.

Svik og óheimill aðgangur

Svik í netöryggi felur í sér blekkingar til að fá óheimilan aðgang að kerfum þínum eða gögnum.

Þetta felur í sér auðkennisþjófnað, greiðslusvik og skilríkisbrot.

Óheimill aðgangur á sér stað þegar einhver brýtur gegn öryggisstefnu þinni til að fá aðgang að netum, kerfum eða gögnum án leyfis.

Þetta getur gerst með því að:

• Stolin innskráningarupplýsingar
• Misnotaðir hugbúnaðarvarnarleysi
• Öryggisstýringar voru slegnar framhjá
• Innherjaógnir frá núverandi eða fyrrverandi starfsmönnum

Þjófnaður innri gagna er oft gleymdur en getur verið jafn skaðlegur og utanaðkomandi árásir.

Árið 2021 náði meðalkostnaður við innri árásir 12.5 milljónum punda.

Jafnvel óviljandi gagnalekar starfsmanna teljast öryggisatvik samkvæmt lögum um misnotkun tölvu (1990).

Veikleikar í atvinnugreinum og framboðskeðjum

Mikilvægir innviðageirar standa frammi fyrir aukinni hættu vegna netglæpa, þar sem heilbrigðisþjónusta, orka og fjármálaþjónusta eru helstu skotmörkin.

Atvinnugeirinn upplifði næstum 3,600 atvik á árunum 2020 til 2021, sem gerir hann að þeirri atvinnugrein sem mest hefur orðið fyrir barðinu á.

Aðfangakeðjuöryggi hefur orðið sífellt mikilvægari þar sem árásarmenn miða á samstarfsaðila þína og þriðja aðila frekar en að ráðast beint á þig.

Þessar árásir frá þriðja aðila nýta sér veikari öryggisráðstafanir í samstarfsfyrirtækjum þínum til að fá aðgang að gögnum viðskiptavina þinna.

Veikleikar í framboðskeðjunni gera árásarmönnum kleift að brjótast inn í margar stofnanir með einni innbrotsaðgerð.

Þegar kerfi söluaðilans þíns tengjast þínu, verða öryggisbrestir þeirra að þínum öryggisbrestum.

Þessi samtengda áhætta þýðir að þú verður að meta ekki aðeins þínar eigin netöryggisráðstafanir heldur einnig ráðstafanir allra stofnana í framboðskeðjunni þinni.

Þjóðríki prófa og brjótast í auknum mæli inn í samkeppnisnetrými, oft undir formerkjum einkaaðila en starfa fyrir hönd stjórnvalda.

Algengar spurningar

Hollensk fyrirtæki verða að fylgja ströngum skýrslugerðarkröfum og reglufylgnistöðlum eftir gagnaleka, þar sem ábyrgð nær til margra aðila eftir hlutverkum þeirra og ábyrgð.

Að skilja þessar skyldur hjálpar stofnunum að vernda sig og einstaklinga sem verða fyrir áhrifum, en um leið viðhalda þeir samræmi við innlendar og evrópskar reglugerðir.

Hverjar eru lagalegar skyldur hollenskra fyrirtækja eftir gagnaleka?

Fyrirtæki þitt verður að tilkynna það hollenska Persónuverndarstofnuninni (Autoriteit Persoonsgegevens) innan 72 klukkustunda frá því að það varð vart við gagnaleka.

Þessi krafa á við samkvæmt GDPR, sem gildir um persónuvernd um allt Holland.

Þú þarft að gefa upp nákvæmar upplýsingar í tilkynningu þinni um brotið.

Þetta felur í sér eðli brotsins, fjölda einstaklinga sem verða fyrir áhrifum, hugsanlegar afleiðingar og þær ráðstafanir sem þú hefur gripið til eða hyggst grípa til.

Ef þú getur ekki veitt allar upplýsingar innan 72 klukkustunda verður þú að útskýra töfina og senda inn restina af upplýsingum eins fljótt og auðið er.

Þegar brotið hefur í för með sér mikla áhættu fyrir réttindi og frelsi einstaklinga verður þú einnig að upplýsa viðkomandi aðila beint.

Þú getur ekki frestað þessari tilkynningu án gildra ástæðna.

Samskipti þín við viðkomandi einstaklinga ættu að vera skýr og útskýra líklegar afleiðingar brotsins og hvaða skref þeir geta gripið til til að vernda sig.

Þú verður að halda ítarlegri skráningu um öll gagnaleka, óháð því hvort þú tilkynnir þau til yfirvalda eða ekki.

Þessi skjöl ættu að innihalda staðreyndir um brotið, áhrif þess og þær úrbætur sem gripið hefur verið til.

Persónuverndarstofnunin í Hollandi getur óskað eftir þessum gögnum við eftirlit eða rannsóknir.

Hvernig er ábyrgð á gagnalekum ákvörðuð samkvæmt hollenskum lögum?

Ábyrgð vegna gagnaleka í Hollandi fer eftir hlutverki þínu sem annað hvort ábyrgðaraðili gagna eða gagnavinnsluaðili.

Ábyrgðaraðilar gagna ákvarða tilgang og aðferðir við vinnslu persónuupplýsinga, en gagnavinnsluaðilar meðhöndla gögn fyrir hönd ábyrgðaraðila.

Your lagaleg ábyrgð mismunandi eftir þessari flokkun.

Sem ábyrgðaraðili gagna berð þú aðalábyrgð á að tryggja að farið sé að reglum um gagnavernd.

Þú verður að innleiða viðeigandi tæknilegar og skipulagslegar ráðstafanir til að vernda persónuupplýsingar.

Dómstólar meta hvort þú hafir gripið til eðlilegra ráðstafana til að koma í veg fyrir brotið og hvort þú hafir sýnt af þér gáleysi í öryggisráðstöfunum þínum.

Gagnavinnsluaðilar geta einnig átt yfir höfði sér ábyrgð ef þeir fylgja ekki fyrirmælum ábyrgðaraðila eða brjóta gegn samningsskyldum sínum.

Hins vegar bera vinnsluaðilar yfirleitt takmarkaðri ábyrgð en ábyrgðaraðilar.

Ef þú vinnur úr gögnum án viðeigandi heimildar frá ábyrgðaraðila eða vanrækir að innleiða samþykktar öryggisráðstafanir gætirðu verið ábyrgur fyrir því.

Hollenskir ​​dómstólar nota nokkra þætti þegar þeir ákvarða ábyrgð.

Þetta felur í sér alvarleika brotsins, viðkvæmni gagnanna sem urðu fyrir barðinu á brotinu, öryggisráðstafanir þínar fyrir brotið og viðbrögð þín eftir að atvikið uppgötvaðist.

Stærð og úrræði fyrirtækisins hafa einnig áhrif á það hvað dómstólar telja sanngjarnar öryggisráðstafanir.

Sameiginleg ábyrgð getur komið upp þegar margir aðilar leggja sitt af mörkum til gagnaleka.

Ef þú deilir ábyrgð með öðrum ábyrgðaraðilum eða vinnsluaðilum geta dómstólar gert hvorn aðila ábyrgan fyrir öllu tjóninu.

Þú getur þá sótt um bætur frá öðrum ábyrgðaraðilum miðað við framlag þeirra til brotsins.

Hvaða aðilar geta borið ábyrgð á atvikum í gagnaöryggi í Hollandi?

Gagnaábyrgðaraðilar bera aðalábyrgð á atvikum í gagnaöryggi.

Sem ábyrgðaraðili tekur þú ákvarðanir um hvernig persónuupplýsingar eru unnar og verður að tryggja að viðeigandi öryggisráðstafanir séu til staðar.

Fyrirtækið þitt getur átt yfir höfði sér stjórnsýslusektir, skaðabótaskyldu og orðsporstjón í kjölfar brots.

Gagnavinnsluaðilar geta verið ábyrgir ef þeir standa ekki við samningsbundnar og lagalegar skyldur sínar.

Ef þú vinnur úr gögnum fyrir hönd ábyrgðaraðila verður þú að innleiða öryggisráðstafanir sem tilgreindar eru í samningi þínum og fylgja lögmætum fyrirmælum ábyrgðaraðila.

Þú berð beina ábyrgð ef þú fer yfir heimildir þínar eða vanrækir að viðhalda fullnægjandi öryggi.

Stjórnendur og starfsmenn stofnunarinnar geta borið persónulega ábyrgð við vissar aðstæður.

Samkvæmt innleiðingu NIS2-tilskipunarinnar í Hollandi er hægt að gera stjórnendur persónulega ábyrga fyrir mistökum í stjórnun netöryggis.

Þetta felur í sér hugsanlega sviptingu hæfis til að gegna starfi stjórnarmanns ef alvarleg brot eiga sér stað.

Þjónustuaðilar utanaðkomandi aðila geta einnig borið ábyrgð á öryggisatvikum.

Ef þú treystir á skýjaþjónustu, upplýsingatækniþjónustu eða aðra utanaðkomandi þjónustuaðila, gætu þeir borið sameiginlega ábyrgð þegar mistök þeirra stuðla að öryggisbroti.

Samningar þínir við þessa þjónustuaðila ættu að skilgreina skýrt ábyrgð og ábyrgðarskilmála varðandi öryggi.

Persónuverndarstofnun Hollands gegnir hlutverki aðaleftirlitsaðila.

Þótt eftirlitið beri ekki beina ábyrgð á brotum rannsakar það atvik, gefur út leiðréttingarfyrirmæli og leggur stjórnsýslusektir á stofnanir sem fara ekki að reglum.

Hvaða afleiðingar standa stofnanir frammi fyrir ef þær fara ekki að hollenskum persónuverndarreglum?

Fyrirtæki þitt getur átt yfir höfði sér stjórnsýslusektir allt að 20 milljónum evra eða 4% af heildarársveltu fyrirtækisins, hvort sem er hærra. Persónuverndarstofnun Hollands ákvarðar sektarfjárhæðir út frá eðli brotsins, alvarleika þess, lengd þess og samvinnu þinni við rannsóknina.

Auk fjárhagslegra viðurlaga getur Eftirlitið lagt á leiðréttingaraðgerðir sem raska starfsemi þinni. Þessar ráðstafanir fela í sér tímabundnar takmarkanir á gagnavinnslu, fyrirmæli um að leiðrétta tiltekin brot og skyldubundnar endurskoðanir.

Þú gætir þurft að stöðva ákveðna starfsemi þar til þú sýnir fram á að þú uppfyllir kröfur. Fyrirtækið þitt á á hættu að skaða verulegan orðspor sitt ef það fylgir ekki reglum.

Opinber birting gagnaleka og viðurlög við eftirlitsaðilum geta dregið úr trausti viðskiptavina og skaðað viðskiptasambönd. Persónuverndarstofnun Hollands birtir ákvarðanir um framfylgd, sem eru aðgengilegar almenningi og fjölmiðlum.

Þú gætir átt yfir höfði þér einkamál frá einstaklingum sem verða fyrir barðinu á þessu og leitað bóta fyrir tjón. Einstaklingar geta krafist efnislegs og óefnislegs tjóns sem hlýst af brotum á persónuvernd.

Hollenskir ​​dómstólar hafa í auknum mæli viðurkennt kröfur um nauðsyn og missi stjórnunar á persónuupplýsingum, jafnvel án beins fjárhagstjóns. Viðskiptatækifæri þín geta verið takmörkuð eftir alvarleg brot.

Sumir geirar krefjast öryggisvottana eða eftirlitsskýrslna til að viðhalda samningum, sérstaklega þegar kemur að samskiptum við ríkisstofnanir eða eftirlitsskyldar atvinnugreinar.

Á hvaða hátt geta einstaklingar sem verða fyrir barðinu á þessu leitað réttar síns eftir gagnaleka í Hollandi?

Þú getur lagt fram kvörtun til Persónuverndarstofnunarinnar ef þú telur að stofnun hafi brotið gegn réttindum þínum varðandi persónuvernd. Stofnunin rannsakar kvartanir og getur gripið til aðgerða gegn stofnunum sem fara ekki að reglum.

Þetta ferli kostar þig ekkert og krefst ekki lögfræðiaðstoðar. Þú átt rétt á að höfða einkamál gegn þeirri stofnun sem ber ábyrgð.

Hollensk lög heimila þér að krefjast bóta fyrir bæði efnislegt og óefnislegt tjón sem hlýst af brotum á persónuvernd. Efnislegt tjón felur í sér fjárhagstjón, en óefnislegt tjón nær yfir vanlíðan, kvíða og missi stjórn á persónuupplýsingum þínum.

Þú getur fengið lögmann til að meðhöndla kröfu þína á ófyrirséðum grundvelli eða leitað lögfræðiaðstoðar ef þú uppfyllir fjárhagsleg skilyrði. Margar lögmannsstofur í Hollandi sérhæfa sig í málum sem varða persónuvernd og geta ráðlagt þér um styrk kröfu þinnar.

Hópmálsóknarferli gera hópum einstaklinga kleift að sækja mál sameiginlega. Þú getur sótt um bætur beint frá samtökunum án þess að fara fyrir dómstóla.

Margar stofnanir kjósa að semja mál í einkaeigu til að forðast málaferli og neikvæða umfjöllun. Samningsstaða þín styrkist ef fyrirtækið hefur greinilega brotið gegn reglum um gagnavernd eða ef brotið olli verulegu tjóni.

Þú getur einnig höfðað mál gegn gagnavinnsluaðilum ef þeir bera ábyrgð á brotinu. Samkvæmt GDPR geta bæði ábyrgðaraðilar og vinnsluaðilar borið ábyrgð á tjóni.

Ef margir aðilar áttu þátt í brotinu geturðu krafist fullrar upphæðar frá hverjum þeim aðila sem ber ábyrgð.

Hvernig hefur GDPR áhrif á ábyrgð og ábyrgð aðila sem starfa í Hollandi ef um gagnaleka verður?

Persónuverndarreglugerðin setur skýrar skyldur fyrir stofnanir varðandi vernd persónuupplýsinga.

Aðilar verða að innleiða viðeigandi tæknilegar og skipulagslegar ráðstafanir til að tryggja öryggi gagna.

Ef upp koma gagnaleki eru fyrirtæki skylt að tilkynna það viðeigandi eftirlitsyfirvöldum innan 72 klukkustunda.

Ef brotið hefur í för með sér mikla áhættu fyrir réttindi og frelsi einstaklinga, verður einnig að upplýsa viðkomandi einstaklinga.

Brot á þessum kröfum getur leitt til verulegra sekta og orðsporstjóns fyrir stofnunina.

Bæði ábyrgðaraðilar og vinnsluaðilar gagna bera mismunandi ábyrgð samkvæmt GDPR og samningar verða að skilgreina þessi hlutverk skýrt.