Tilkynning um netöryggisatvik: hvað verður að tilkynna og hvenær?

Samkvæmt hollensku netöryggislögunum ( Cyberbeveiligingswet , Cbw) verður stofnun sem fellur undir lögin að tilkynna alvarleg atvik til Þjóðarmiðstöðvar netöryggis (NCSC) innan sólarhrings, fylgja eftir innan 72 klukkustunda og skila lokaskýrslu innan eins mánaðar. Helsta undantekningin er fjármálageirinn: bankar og tryggingafélög tilkynna í staðinn alvarleg atvik í upplýsinga- og samskiptatækni samkvæmt DORA til De Nederlandsche Bank eða AFM.

Öryggislögin um net og upplýsingakerfi (Cbw) tóku gildi 15. ágúst 2026. Þau innleiða NIS2-tilskipun ESB og komu í stað öryggislaga um net og upplýsingakerfi ( Wet beveiliging netwerk- en informatiesystemen , Wbni). Ítarlegri leiðbeiningar okkar um NIS2 og hollensku netöryggislögin fjalla um skyldu til að gæta varúðar; þessi grein fjallar um tilkynningarskylduna.

Hvaða stofnanir verða að tilkynna atvik?

Tilkynningarskyldan á við um nauðsynlega og mikilvæga aðila í átján geirum. Stærð ræður venjulega hvort þú ert með eða ekki: stórar og meðalstórar stofnanir í skráðum geira falla undir hana, minni yfirleitt ekki.

Mikilvægir geirar eru meðal annars orka, samgöngur, bankastarfsemi, heilbrigðisþjónusta, drykkjarvatn, stafræn innviðir, stjórnun upplýsinga- og samskiptatækniþjónustu og opinber stjórnsýsla. Mikilvægir geirar eru meðal annars póstþjónusta, sorphirða, efni, matvæli, framleiðsla lækningatækja, tölva og ökutækja, og stafrænir þjónustuaðilar eins og netmarkaðir og leitarvélar.

Sumir þjónustuaðilar falla undir lögin óháð stærð, svo sem DNS þjónustuaðilar, skráningar fyrir höfuðlén, traustþjónustuaðilar og þjónustuaðilar almennra rafrænna fjarskiptaneta. Hvort sem þú ert nauðsynlegur eða mikilvægur breytir það ekki tilkynningarfrestum. Það breytir umfangi eftirlits og hámarkssektum.

Þarf maður að skrá sig áður en maður getur tilkynnt?

Já. Sérhver stofnun sem fellur undir lög um öryggi og öryggi verður að skrá sig í skrá yfir aðila sem NCSC heldur úti, ásamt geira sínum, upplýsingum um tengiliði vegna atvika og lénsheiti á netinu.

Skráin er sú sem NCSC, CSIRT atvinnugreinarinnar og umsjónarmaðurinn vita hver þú ert, og skýrslugjöf í gegnum NCSC gáttina gerir ráð fyrir að þú sért í henni. Breytingar á skráðum upplýsingum verða að vera tilkynntar áfram. Lögin setja einnig ábyrgð á stjórnarstigi: stjórnin samþykkir áhættustýringarráðstafanir, ber ábyrgð á reglufylgni og verður að sækja þjálfun í netöryggi. Varðandi refsiréttarlega hlið netöryggis, sjá athugasemd okkar um netglæpalög III og yfirlit okkar yfir reglufylgniramma sem hollenskt fyrirtæki þarf að taka tillit til.

Hvenær er atvik nógu alvarlegt til að tilkynna það?

Atvik telst alvarlegt þegar það veldur, eða getur valdið, alvarlegri röskun á þjónustu þinni eða fjárhagslegu tjóni, eða verulegu efnislegu eða óefnislegu tjóni fyrir aðra. Klukkan byrjar þegar þú verður þess var/er, ekki þegar rannsókn þinni er lokið.

Seðlabankinn notar sjálft opinn staðal; ráðherrareglugerðir fyrir hvern geira setja ítarlegri mörk. Þættir sem skipta máli eru hversu lengi þjónusta var ekki tiltæk og fyrir hversu marga notendur, hvort aðgangur var að gögnum eða þau breytt, hvort áhrif nái til annarra aðildarríkja ESB og hvort þjónusta við aðra nauðsynlega eða mikilvæga aðila raskast. Skýjaveita sem raskast vegna bilunar á sjúkrahúsi tilkynnir á grundvelli þeirrar truflunar, ekki aðeins eigin taps.

Skrifaðu niður þín eigin þröskuld áður en nokkuð gerist. Stuttur innri flokkunarstaðall, sem notaður er á samræmdan hátt, hjálpar teyminu þínu að ákveða innan nokkurra klukkustunda og sýnir yfirmanni síðar hvers vegna atvik var tilkynnt eða ekki.

Hvaða skýrslur eiga að berast og hvenær?

Skyldan skiptist í þrjú stig: viðvörun innan sólarhrings, tilkynning um atvik innan 72 klukkustunda og lokaskýrsla innan mánaðar frá tilkynningu. Hvert stig krefst frekari upplýsinga en það síðasta.

• Snemma viðvörun (24 klst.): hvort grunur leiki á að atvikið hafi verið af völdum ólögmætra eða illgjarnra athafna og hvort það geti haft áhrif yfir landamæri.
• Tilkynning um atvik (72 klukkustundir): uppfærsla með upphafsmati á alvarleika og áhrifum og, ef þær eru tiltækar, vísbendingum um ógn.
• Lokaskýrsla (einn mánuður): ítarlega lýsingu, rót vandans, ráðstafanir sem gripið hefur verið til og hugsanleg áhrif yfir landamæri. Ef atvikið er enn í gangi skaltu fyrst skila inn framvinduskýrslu og lokaskýrslu innan eins mánaðar frá því að atvikið hefur verið meðhöndlað.

Þjónustuveitendur traustþjónustu verða að tilkynna um atvik innan 24 klukkustunda í stað 72 klukkustunda. Þegar verulegt atvik hefur áhrif á þjónustuþega þína verður þú einnig að upplýsa þá án ótilhlýðilegrar tafar og, ef við á, segja þeim hvaða ráðstafanir þeir geta gripið til sjálfir.

Hver fær skýrsluna þína?

Þú tilkynnir í gegnum NCSC gáttina. Þaðan fer skýrslan sjálfkrafa til CSIRT fyrir þinn geira og til yfirmanns þíns geira.

Eftirlit er enn eftir atvinnugreinum. Hollenska eftirlitsstofnunin fyrir stafræna innviði ( Rijksinspectie Digitale Infrastructuur , RDI) hefur eftirlit með stafrænum innviðum og stafrænum þjónustuaðilum, heilbrigðis- og ungmennaeftirlitið (IGJ) hefur umsjón með heilbrigðisþjónustu og De Nederlandsche Bank og AFM hafa umsjón með fjármálageiranum. Skráðu samskiptaupplýsingar yfirmanns þíns í atviksáætlun þína fyrirfram.

Hvernig tengist Cbw GDPR og DORA?

Eitt atvik getur kallað fram nokkrar tilkynningarskyldur, hver með sína eigin heimild og þröskuld. Kortleggið þær áður en atvik á sér stað.

Ef um persónuupplýsingar er að ræða, þá krefst 33. grein GDPR þess að þú tilkynnir það hollenska persónuverndarstofnuninni ( Autoriteit Persoonsgegevens ) innan 72 klukkustunda, nema ólíklegt sé að brotið hafi í för með sér áhættu fyrir einstaklinga. Samkvæmt 34. grein GDPR verður þú einnig að tilkynna viðkomandi einstaklingum ef áhættan fyrir þá er mikil. Ef atvikið átti sér stað hjá vinnsluaðila ákveður vinnslusamningurinn hver tilkynnir hverjum; leiðbeiningar okkar um almennu persónuverndarreglugerðina útskýra nánar.

Fjármálastofnanir tilkynna stór atvik í upplýsinga- og samskiptatækni samkvæmt lögum um stafræna rekstrarþol (DORA) til De Nederlandsche Bank eða AFM og tilkynna ekki sama atvik aftur samkvæmt Cbw. Stofnanir sem eru skilgreindar sem mikilvægar einingar samkvæmt lögum um rekstrarþol mikilvægra aðila ( Wet weerbaarheid kritieke entiteiten , Wwke), sem einnig tóku gildi 15. ágúst 2026, verða að tilkynna atvik sem valda verulegum truflunum innan sólarhrings samkvæmt þeim lögum.

Hvað gerist ef þú tilkynnir þig seint eða alls ekki?

Eftirlitsaðilar geta krafist upplýsinga, fyrirskipað endurskoðun, gefið bindandi fyrirmæli, lagt á fyrirmæli sem varða viðurlögum ( síðasta fyrirmæli um dwangsom ) og lagt á stjórnsýslusektir. NIS2 krefst hámarkssekta upp á að minnsta kosti 10 milljónir evra eða 2% af árlegri veltu á heimsvísu fyrir nauðsynlega aðila og að minnsta kosti 7 milljónir evra eða 1.4% fyrir mikilvæga aðila.

Nákvæm hámarksmörk eru sett fram í Cbw. Fyrir nauðsynlega aðila getur eftirlitsaðili, sem síðasta úrræði, einnig svipt leyfi eða bannað einstaklingi tímabundið stjórnunarstörfum. Sein skýrsla getur einnig veikt stöðu þína í deilum við viðskiptavini; athugasemd okkar um lagalega ábyrgð stjórnarmanna og fyrirtækja útskýrir hvar sú ábyrgð liggur.

Hvernig býrðu til verklag sem virkar í raunverulegum atvikum?

Frestar upp á 24 og 72 klukkustundir eru aðeins virtar ef þú hefur ákveðið fyrirfram hver gerir hvað. Tilgreindu þann sem metur atvikið, þann sem samþykkir skýrsluna, þann sem skráir hana og þann sem heldur sambandi við NCSC, og skal hver með sinn staðgengil.

Útbúið sniðmát fyrir allar þrjár skýrslurnar og hafið þau aðgengileg án nettengingar. Sniðmát fyrir snemmbúna viðvörun þarf að tilgreina tímasetningu greiningar, tegund atviks, kerfin sem verða fyrir áhrifum, grun um illgjarn athæfi, hugsanleg áhrif yfir landamæri og tengilið. Haldið töfluæfingu að minnsta kosti einu sinni á ári til að prófa vinnuflæðið frá greiningu til lokaskýrslu.

Mörg tilkynningarskyld atvik byrja hjá birgja. Samningur þinn um skýjaþjónustu eða birgja ætti að skylda birgjann til að upplýsa þig tafarlaust og veita þér þær tæknilegu upplýsingar sem þú þarft fyrir þína eigin 24 tíma skýrslu. Það fellur innan víðtækari áreiðanleikakannana sem gilda í gegnum alla framboðskeðjuna.

Hvað ættuð þið sem stofnun samkvæmt Cbw að athuga?

• Hvort sem þú ert nauðsynlegur eða mikilvægur aðili og hvort þú ert skráður hjá NCSC.
• Hvort þú hafir skrifleg þröskuld fyrir verulegt atvik sem samsvarar reglugerð ráðherra fyrir þinn geira.
• Hvort tilnefndur einstaklingur og staðgengill geti sent inn snemmbúna viðvörun innan sólarhrings, einnig á nóttunni og um helgar.
• Hvaða aðrar skyldur gilda: GDPR (72 klukkustundir til Autoriteit Persoonsgegevens), DORA eða Wwke.
• Hvort stjórn þín hafi samþykkt áhættustýringarráðstafanirnar og fylgt tilskildri þjálfun.

Hvað ættir þú að athuga sem upplýsingatæknifyrirtæki?

• Hvort sem þú fellur sjálfur undir Cbw, til dæmis sem skýja-, gagnaver- eða stýrður þjónustuaðili.
• Hvaða tilkynningarfresti þú hefur samið um við viðskiptavini sem eru nauðsynlegir eða mikilvægir aðilar.
• Hvort þú getir afhent þær tæknilegu upplýsingar sem viðskiptavinir þínir þurfa innan 24 og 72 klukkustunda frests.
• Hvort samningar ykkar kveði á um hver upplýsir notendur þegar atvik hefur áhrif á þá.

Hvað getum við gert fyrir þig varðandi skýrslugerð um netöryggisatvik?

Lögfræðingar okkar í upplýsingatækni og reglufylgnideild okkar aðstoða þig fyrir, á meðan og eftir atvik.

• Við metum hvort stofnun þín falli undir Cbw og hvers konar aðila hún er.
• Við drögum saman flokkunarstaðla fyrir atvik og sniðmát fyrir skýrslurnar þrjár.
• Við skoðum viðvörun þína eða tilkynningu um atvik áður en þú sendir hana til NCSC.
• Við samræmum Cbw skýrsluna við GDPR tilkynningu þína til Autoriteit Persoonsgegevens.
• Við semjum eða endurskoðum tilkynningarákvæði í skýja- og birgjasamningum þínum.
• Við sjáum um bréfaskriftir við yfirmann eftir að skýrsla hefur borist.

Yfirlit

• Lög um borgaraleg viðskipti (Cbw) hafa verið í gildi frá 15. ágúst 2026 og koma í staðinn fyrir Wbni.
• Alvarleg atvik eru tilkynnt í gegnum NCSC: viðvörun innan sólarhrings, tilkynning innan 72 klukkustunda og lokaskýrsla innan eins mánaðar.
• Skráning í aðilaskrá NCSC kemur fyrst.
• GDPR, DORA og Wwke geta sett samhliða skyldur með sínum eigin frestum.
• Skrifleg þröskuldur, nefnd hlutverk og tilbúin sniðmát gera frestina raunhæfa.

Algengar spurningar