Skyldur um netöryggi: hvað GDPR og Cbw krefjast

Sérhvert hollenskt fyrirtæki sem vinnur með persónuupplýsingar verður að tryggja þær samkvæmt 32. grein GDPR og tilkynna gagnaleka til hollensku persónuverndarstofnunarinnar (Autoriteit Persoonsgegevens, AP) innan 72 klukkustunda samkvæmt 33. grein GDPR. Þar að auki hafa frá og með 15. ágúst 2026 yfir 8,000 nauðsynlegar stofnanir einnig verið gerðar að fara að netöryggislögum (Cyberbeveiligingswet, Cbw), sem eru innleiðing hollensku NIS2-tilskipunarinnar. Bankar og aðrir fjármálastofnanir fylgja DORA í þessum málum í staðinn.

Hvaða kröfur gerir GDPR um gagnaöryggi?

Viðeigandi tæknilegar og skipulagslegar ráðstafanir, metnar út frá nýjustu tækni, kostnaði við innleiðingu og áhættu fyrir viðkomandi einstaklinga (32. gr. GDPR). Það sem er viðeigandi fyrir tveggja manna starfsemi er frábrugðið því sem fyrirtæki sem vinnur úr heilbrigðisgögnum í stórum stíl þarfnast; staðallinn hækkar með áhættunni.

AP býst við að sjá ómerkilegar aðgerðir: aðgangsstýringu og fjölþátta auðkenningu, dulkóðun tækja og afritunar, uppfærslur, skráningu og prófað endurheimtarferli. Það sem hjálpar þér að standast eftirlit er að þessar aðgerðir voru skjalfestar og yfirfarnar áður en nokkuð fór úrskeiðis.

Hvenær þarf að tilkynna gagnaleka?

Innan 72 klukkustunda frá því að þú varðst á varðbergi, til AP, nema ólíklegt sé að brotið hafi í för með sér áhættu fyrir þá sem verða fyrir áhrifum (33. gr. GDPR). Ef áhættan fyrir þá er mikil verður þú einnig að upplýsa þá um það án ótilhlýðilegrar tafar (34. gr. GDPR).

Klukkan tekur mið af vitund, ekki frá lokiðri rannsókn, þannig að atviksferli (hver ákveður, hver er kallaður til, hvað er skráð) er meira virði en nokkur einasta tæknileg eftirlitsaðgerð. Samkvæmt 33. gr. (5) GDPR verður þú að skrá öll brot innbyrðis, þar á meðal þau sem þú tilkynnir ekki, ásamt rökstuðningi fyrir þeirri ákvörðun.

Hvað bætir netöryggislögin við?

Skráning, skylda til að gæta að upplýsingum og tilkynningar um atvik fyrir stofnanir í 18 geirum, svo sem orku, samgöngum, heilbrigðisþjónustu, stafrænum innviðum og opinberri stjórnsýslu. Lög um netöryggismál og lög um viðnámsþrótt mikilvægra aðila (Wet weerbaarheid kritieke entiteiten) tóku gildi 15. ágúst 2026. Stofnanir sem falla undir reglugerðina verða að skrá sig hjá Þjóðlegu netöryggismiðstöðinni (NCSC), grípa til aðgerða til áhættustýringar og tilkynna umtalsverð atvik til netöryggismiðstöðvarinnar (CSIRT) og yfirmanns geira síns innan lögbundins tíma.

Stjórnin verður að samþykkja og hafa eftirlit með þessum ráðstöfunum og verður að hafa næga þekkingu, þar á meðal þjálfun; hún getur ekki einfaldlega falið þetta upplýsingatæknideildinni. Innan nokkurra daga frá gildistöku höfðu aðeins um 3,200 af meira en 8,000 stofnunum skráð sig, svo athugaðu skráninguna þína núna ef þú gætir fallið undir gildissviðið.

Hvernig nær þetta til stofnana utan starfssviðs Cbw?

Með samningum. Stærri viðskiptavinir setja í auknum mæli kröfur um öryggi, endurskoðunarréttindi og tilkynningarfrest vegna brota, og vinnslusamningur samkvæmt 28. grein GDPR er skylda þegar þú vinnur persónuupplýsingar fyrir hönd einhvers annars. Mörg hollensk fyrirtæki uppfylla fyrst þessa staðla vegna þess að viðskiptavinur sem fellur undir gildissvið Cbw krafðist þeirra.

Hver getur lagt fram kröfu eftir atvik?

AP, sem getur sektað um allt að 20 milljónir evra eða 4% af heimsveltu samkvæmt 83. grein GDPR; einstaklinga, sem geta krafist bóta samkvæmt 82. grein GDPR; viðskiptavini samkvæmt samningi; og hópa með sameiginlegri aðgerð samkvæmt WAMCA. Hvort tryggingin þín greiðir greiðslur fer eftir orðalagi vátryggingarinnar og hvort þú getur sýnt fram á að samþykktar ráðstafanir hafi verið til staðar.

Hvað ættir þú að athuga sem stofnun sem fellur undir gildissvið Cbw?

• Hefur þú skráð þig hjá NCSC?
• Hefur stjórnin samþykkt áhættustýringarráðstafanirnar og lokið þjálfun?
• Veistu hver viðmiðunarmörk þín í þínu fagi eru fyrir alvarleg atvik og hverjum þú tilkynnir þau?
• Eru öryggis- og tilkynningarskyldur í samningum ykkar við birgja?
• Er einnig hægt að tilkynna öryggisbrot á persónuupplýsingum til AP innan 72 klukkustunda?

Hvað ættir þú að athuga sem birgir slíkra stofnana?

• Hvaða öryggiskröfur og endurskoðunarréttindi kveða á um í samningi viðskiptavinarins?
• Hversu fljótt verður þú að tilkynna viðskiptavini þínum um atvik?
• Er til vinnslusamningur samkvæmt 28. grein GDPR þar sem þú vinnur með persónuupplýsingar?
• Er ábyrgð þín vegna atviks takmörkuð og standa tryggingarnar þínar straum af því?

Hvað getum við gert fyrir þig varðandi skyldur varðandi netöryggi?

Lögfræðingar okkar í upplýsingatækni veita ráðgjöf um lagalega hlið netöryggis. Við getum:

• Metið hvort stofnun ykkar falli undir gildissvið Cbw.
• Gera drög að eða endurskoða vinnslusamninga og öryggisákvæði í samningum við birgja.
• Skrifið verklagsreglur ykkar um tilkynningu um atvik og brot.
• Annast tilkynningu um brot og samskipti við AP.
• Veita ráðgjöf um ábyrgð gagnvart viðskiptavinum og einstaklingum eftir atvik.

Yfirlit

• 32. grein GDPR krefst öryggisráðstafana sem eru í samræmi við nýjustu tækni og áhættu, fyrir allar stofnanir sem vinna úr persónuupplýsingum.
• Venjulega skal tilkynna gagnaleka til AP innan 72 klukkustunda frá því að vart varð við hann.
• Frá og með 15. ágúst 2026 bætir Cbw við skráningar-, áhættustýringar- og atvikatilkynningarskyldum fyrir meira en 8,000 stofnanir, með ábyrgð stjórnar.
• Atvik getur leitt til krafna frá AP, einstaklingum, viðskiptavinum og sameiginlegum aðgerðum.