Réttindi fórnarlamba netárása: tilkynningarskylda, bætur og tryggingar

Eftir Tom Meevis, lögmann hjá Law & More

Netárásir eins og ransomware, phishing, DDoS árásir og tölvuinnbrot hafa sjaldan aðeins áhrif á þá stofnun sem verður fyrir árásinni. Fórnarlömb netárása eru einnig viðskiptavinir, starfsmenn, sjúklingar, birgjar og aðrir samstarfsaðilar í framboðskeðjunni sem geta orðið fyrir tjóni, og réttarstaða þeirra er mismunandi eftir hópum. Því er ráðlagt að ákvarða fyrst nákvæmlega hverjir hafa orðið fyrir áhrifum og hvaða tjón hefur orðið.

Þessi grein fjallar um hver telst fórnarlamb, hvenær tilkynna þarf um gagnaleka, með hvaða skilyrðum réttur til bóta er fyrir hendi, hvaða aðilar geta borið ábyrgð, hvaða hlutverki refsilögin gegna, hvað nettrygging nær yfirleitt til og hvaða skref ætti að grípa til strax eftir árás.

Hverjir eru fórnarlömb netárása?

Hægt er að greina á milli þriggja hópa í netárásum.

• Fyrirtækið sjálft sem verður fyrir áhrifum, sem stendur frammi fyrir niðurtíma kerfa, tapi á veltu, kostnaði við endurheimt, kostnaði við réttarmeinafræðilegar rannsóknir og orðsporstjóni.
• Einstaklingar sem persónuupplýsingar hafa verið afhjúpaðar, svo sem viðskiptavinir, starfsmenn og sjúklingar. Þeir geta orðið fyrir fjárhagslegu tjóni, en einnig óefnislegu tjóni vegna missis stjórnunar á gögnum sínum, óvissu eða ótta við auðkennissvik.
• Þriðju aðilar sem verða fyrir áhrifum vegna samningsbundinna eða framboðskeðjusambanda, til dæmis vegna þess að þeir eru háðir birgja sem hefur bilað í kerfum sínum.

Þessi flokkun er lagalega viðeigandi. Grundvöllur allrar kröfu, og aðilinn sem hægt er að höfða hana gegn, fer eftir stöðu fórnarlambsins. Fyrirtæki sem verður fyrir áhrifum mun almennt draga upplýsingatæknibirgja sinn til ábyrgðar samkvæmt samningnum, en skráður einstaklingur getur reitt sig beint á sjálfstæðan grundvöll fyrir ábyrgð sem GDPR kveður á um.

Hvenær þarf að tilkynna um gagnaleka?

Þegar persónuupplýsingar eru notaðar í netárás verður að meta hvort um brot á persónuupplýsingum sé að ræða og hvort tilkynningarskylda sé. Í 33. grein GDPR er kveðið á um að tilkynnt skuli um brot til eftirlitsyfirvalds án ótilhlýðilegrar tafar og, ef mögulegt er, innan sjötíu og tveggja klukkustunda, nema ólíklegt sé að brotið leiði til áhættu fyrir réttindi og frelsi einstaklinga.

Að auki getur 34. gr. GDPR krafist þess að fyrirtækið upplýsi skráða einstaklinga sjálft. Sú skylda kemur til þegar líklegt er að brotið leiði til mikillar áhættu fyrir réttindi þeirra og frelsi. Hægt er að sleppa samskiptum ef viðeigandi tæknilegar ráðstafanir eins og dulkóðun voru til staðar, ef síðari ráðstafanir tryggja að mikil áhætta komi ekki lengur til eða ef einstaklingsbundin samskipti myndu fela í sér óhóflega fyrirhöfn; í því síðastnefnda tilviki nægir opinber samskipti.

Fyrir skráða einstaklinginn eru þessi samskipti meira en formsatriði. Þau gera honum kleift að grípa til eigin ráðstafana, til dæmis með því að breyta lykilorðum eða fylgjast með grunsamlegum færslum, og í reynd eru þau oft upphafspunktur allra bótakrafna.

Því verður stofnun að sýna fram á ekki aðeins að árás hafi átt sér stað, heldur einnig hvaða gögn voru fyrir áhrifum, hvort gögnum hafi í raun verið stolið og hvaða áhættu fylgir því. Óháð réttarmeinafræðileg rannsókn er oft ómissandi í því skyni.

Þetta á enn frekar við þegar árásin á sér stað á vinnsluaðila frekar en hjá fyrirtækinu sjálfu. Í samantektarmálinu milli Blauw Research og Nebu (héraðsdómur Rotterdam, 6. apríl 2023, ECLI:NL:RBROT:2023:2931) komst bráðabirgðadómarinn að þeirri niðurstöðu að samkvæmt gagnavinnslusamningnum sem gerður var milli aðila ætti ábyrgðaraðilinn rétt á meiri upplýsingum um árásina, afleiðingar hennar og ráðstafanir sem gripið var til en upphaflega höfðu verið veittar. Vinnsluaðilanum var einnig gert að láta framkvæma óháða réttarlæknisfræðilega rannsókn og skila reglulega skýrslu. Dómurinn sýnir að vel gerður gagnavinnslusamningur er í reynd mikilvægasta tækið til að afla upplýsinga tímanlega eftir atvik, einmitt vegna þess að ábyrgðaraðilinn þarfnast þessara upplýsinga til að uppfylla eigin tilkynningarskyldu.

Hvenær myndast réttur til bóta?

Skráðir aðilar geta krafist bóta frá ábyrgðaraðila eða vinnsluaðila samkvæmt 82. gr. GDPR. Netárás gefur þó ekki sjálfkrafa tilefni til kröfu. Hún verður að vera rökstudd:

• að brotið hafi verið gegn GDPR;
• að tjón hafi í raun orðið; og
• að orsakasamhengi sé milli brotsins og þess tjóns.

Efnislegt tjón getur falið í sér fjárhagstjón, kostnað við innheimtu eða tjón af völdum auðkenningarsvika. Hvað varðar óefnislegt tjón komst Evrópudómstóllinn að þeirri niðurstöðu í málinu Österreichische Post (dómstóll Evrópusambandsins 4. maí 2023, C-300/21) að engin lágmarksþröskuldur væri fyrir alvarleika tjóns, en að brot á GDPR eitt og sér væri ekki nægjanlegt til að fá úrskurðaðan sekt.

Sérstaklega mikilvægt fyrir gagnaleka í kjölfar netárásar er málið Natsionalna agentsia za prihodite (dómstóll Evrópusambandsins 14. desember 2023, C-340/21). Þar komst dómstóllinn að þeirri niðurstöðu að ótti við hugsanlega misnotkun á lekum persónuupplýsingum í framtíðinni geti í sjálfu sér talist óefnislegt tjón. Hinn skráði einstaklingur verður þó að færa rök fyrir þeim ótta og afleiðingum hans á raunverulegan hátt; það er ekki nóg að benda einungis á að gögn hafi lekið. Í sama dómi staðfesti dómstóllinn að það sé ábyrgðaraðili að sanna að öryggisráðstafanir sem gerðar voru hafi verið viðeigandi og að árás þriðja aðila leysi hann ekki í sjálfu sér undan ábyrgð.

Ábyrgð samkvæmt GDPR er til staðar samhliða borgaralegum grundvöllum samningsbrots og skaðabóta. Samkvæmt grein 6:162(1) hollenska borgaralaga verður aðili sem fremur ólögmæta athöfn að bæta tjónið sem hlýst af. Afstæðiskrafa greinar 6:163 gildir: brotið gegn reglum verður að vernda gegn þeirri tegund tjóns sem tjónþoli hefur orðið fyrir.

Mikilvægt er að hafa í huga að 82. grein GDPR er til staðar samhliða þessum stöðlum. Skráður einstaklingur er því ekki skyldugur til að byggja kröfu eingöngu á samningsbroti eða skaðabótaskyldu, heldur getur hann byggt beint á sjálfstæðum grundvelli ábyrgðar sem GDPR kveður á um. Fyrir viðkomandi stofnun þýðir þessi samsetning stöðva að nokkrir aðilar geta lagt fram kröfur samtímis eftir árás.

Hver getur verið ábyrgur?

Fyrirtækið sem um ræðir kann að bera ábyrgð ef það vanrækir samningsskyldur sínar eða hefur ekki gripið til ófullnægjandi öryggisráðstafana. Einnig kann að vera gert að draga upplýsingatækniþjónustuaðila eða vinnsluaðila til ábyrgðar. Það sem vænta má af þjónustuaðilanum ræðst fyrst og fremst af samningnum.

Innan vinnslusambands gegnir gagnavinnslusamningur lykilhlutverki. Samkvæmt 28. gr. GDPR skuli ábyrgðaraðili og vinnsluaðili gera slíkan samning, þar sem meðal annars er kveðið á um öryggisráðstafanir og meðhöndlun gagnaleka. Ef árásin stafar af ófullnægjandi öryggi hjá vinnsluaðilanum getur ábyrgðaraðili krafið vinnsluaðilann til ábyrgðar samkvæmt þeim samningi fyrir tjón sem af því hlýst.

Þetta kemur skýrt fram í málinu varðandi netárásina á sveitarfélagið Hof van Twente (Héraðsdómstóll Overijssel, 10. maí 2023, ECLI:NL:RBOVE:2023:1731). Aðilar höfðu komið sér saman um virknieftirlit, ekki öryggiseftirlit. Dómstóllinn komst að þeirri niðurstöðu að skylda upplýsingatæknistjóra nær ekki svo langt að öryggiseftirlit sé óbeint hluti af verkefni um virknieftirlit og hafnaði kröfu sveitarfélagsins. Hann lagði einnig áherslu á að sveitarfélagið hefði sjálft tekið ákvarðanir sem juku áhættuna, þar á meðal lykilorðastefnu sína og opnun RDP-tengis.

Spegilmyndin er O'Cliance-málið (héraðsdómstóll Amsterdam, 14. nóvember 2018, ECLI:NL:RBAMS:2018:10124). Þar hafði birgirinn sett upp heildstæða upplýsingatækniinnviði og tekið að sér rekstur hans. Í kjölfar ransomware-árásar þar sem afritin voru einnig dulkóðuð, komst dómstóllinn að þeirri niðurstöðu að afhending slíkrar heildarpakka hefði í för með sér víðtæka skyldu til að gæta varúðar og að einföldum aðgerðum hefði verið sleppt. Ábyrgð var þó ekki dæmd að fullu: vegna meðvirkni viðskiptavinarins voru tveir þriðju hlutar tjónsins enn á reikning birgisins.

Hversu þung sönnunarbyrðin um viðeigandi öryggi getur vegið sést af máli bílasala þar sem tölvupóstreikningur hans var tölvuþrjótaður. Í bráðabirgðadómi frá 5. nóvember 2024 (Áfrýjunardómstóll Arnhem-Leeuwarden, ECLI:NL:GHARL:2024:6812) var söluaðilanum gefinn kostur á að sanna að tölvupóstreikningur hans hefði verið nægilega öruggur í skilningi GDPR, eftir að tölvuþrjótur hafði notað þann reikning til að senda falskar greiðslufyrirmæli til kaupanda. Í framhaldsdómi frá 22. júlí 2025 (ECLI:NL:GHARL:2025:4556) komst dómstóllinn að þeirri niðurstöðu að þessi sönnun hefði ekki verið lögð fram, og að aðilar þyrftu eftir að taka á sök kaupandans. Báðir dómar varða því sömu málsmeðferðina.

Sameiginlegt er að samningsskilmálar, áhætta vinnslunnar, ráðstafanir sem gripið er til í raun, viðvaranir beggja aðila og hegðun hins tjónaða aðila sjálfs skipta öllu máli. Samhliða einkaréttarlegri ábyrgð getur Persónuverndarstofnun Hollands lagt á stjórnsýslusektir allt að 20 milljónum evra eða 4 prósentum af árlegri veltu á heimsvísu, hvort sem er hærra. Þessar sektir eru óháðar því hvort einstakir skráðir aðilar hafa orðið fyrir tjóni.

Leiðin í refsirétti

Netárás getur einnig verið refsivert brot, svo sem tölvuinnbrot, að gera gögn óaðgengileg eða að eigna sér óopinber gögn. Samkvæmt 138ab(1) grein hollensku hegningarlaganna er það refsivert brot að fá vísvitandi og ólöglega aðgang að sjálfvirku kerfi.

Fórnarlömb geta tilkynnt brotið til lögreglunnar, sem hefur sérhæfð teymi sem vinna gegn netglæpum. Þegar grunaður einstaklingur er ákærður getur hann tekið þátt í sakamálinu sem tjónvaldur og krafist bóta þar. Þessi leið kemur í veg fyrir aðskildar einkamálsmeðferðir, en niðurstaðan er háð uppgötvun, saksókn og sönnunargögnum, sem skilar oft engum árangri hjá alþjóðlega starfandi brotamönnum. Fyrir stofnanir er tilkynningar oft einnig nauðsyn, þar sem tryggingafélög og samstarfsaðilar í framboðskeðjunni biðja um það.

Hvað nær til nettrygginga?

Nettrygging getur meðal annars veitt vernd fyrir:

• viðbrögð við atvikum og réttarmeinafræðileg rannsókn;
• endurreisn kerfa og gagna;
• tap vegna rekstrarstöðvunar og tap á veltu;
• samskipti við kreppur;
• ábyrgð gagnvart þriðja aðila;
• málskostnaður; og
• í sumum tilfellum sektir, sáttargreiðslur eða lausnargjald, að því marki sem tryggingarhæft er samkvæmt gildandi lögum.

Nákvæm trygging fer eftir vátryggingarskilyrðum. Gætið að undantekningum, öryggisskilyrðum, tilkynningarfresti, sjálfsábyrgð og kröfum um ráðningu sérfræðinga. Grein 7:957(1) í hollensku borgaralögunum skyldar einnig vátryggðan aðila til að grípa til hæfilegra ráðstafana til að koma í veg fyrir eða takmarka tjón. Ef björgunarskyldunni er ekki sinnt getur vátryggjandinn lækkað greiðsluna.

Því ætti að láta nettryggingafélagið vita eins fljótt og auðið er. Að ráða utanaðkomandi sérfræðinga eða greiða lausnargjald án samþykkis tryggingafélagsins getur haft áhrif á tryggingu.

Hvað ættir þú að gera strax eftir netárás?

• Skráðu atvikið og allar viðeigandi aðgerðir vandlega.
• Einangraðu kerfin sem hafa orðið fyrir áhrifum án þess að glata sönnunargögnum.
• Fáðu réttarlækni til að ráða.
• Metið hvort um tilkynningarskyldan gagnaleki sé að ræða.
• Metið hvort upplýsa þurfi skráða einstaklinga.
• Tilkynnið brotið til lögreglunnar.
• Tilkynnið atvikið til nettryggingafélags ykkar.
• Varðveita skrár, afrit, tölvupóst og önnur viðeigandi gögn.
• Kortleggið tjónið og hugsanlega ábyrgðaraðila.
• Upplýsið viðskiptavini, starfsmenn og samstarfsaðila í framboðskeðjunni vandlega og með góðum fyrirvara.

Netárás er því ekki bara tæknilegt atvik. Hún varðar einnig gagnavernd, einkarétt, refsirétt og tryggingarétt. Skjót og vel skjalfest viðbrögð takmarka ekki aðeins tjónið heldur eru þau afgerandi fyrir tilkynningar, tryggingarvernd og sönnunarstöðu þína í öllum málsmeðferðum.

Að lokum

Réttindi og skyldur í kjölfar netárásar eru dreifðar yfir nokkur svið réttarins og niðurstaða máls er mjög háð staðreyndum málsins, efni samningsins og gæðum gagna. Dómaframkvæmd sem fjallað er um sýnir að bæði birgjar og viðskiptavinir eru dæmdir út frá eigin hegðun og að frestir eins og sjötíu og tveggja tíma tilkynningarfrestur gefa lítið svigrúm fyrir tafir.

Law & More aðstoðar stofnanir og skráða einstaklinga við lagalega meðferð netatvika: allt frá mati á tilkynningarskyldu og endurskoðun gagnavinnslusamninga til að ákvarða ábyrgð, tryggingamál og endurheimta tjón. Ert þú að glíma við netárás eða gagnaleka, eða viltu að samningar þínir verði skoðaðir með tilliti til þessara áhættuþátta fyrirfram af okkar aðila. IT lög lið? Vinsamlegast ekki hika við að tengilið Law & More fyrir óbindandi viðræðu um stöðu þína.

Algengar spurningar

Hér að neðan svörum við þeim spurningum sem okkur eru oftast spurðar um þetta efni.

Hverjir eru fórnarlömb netárásar?

Þrjú stig eru til staðar. Í fyrsta lagi er það viðkomandi stofnun sjálf, sem ber ábyrgð á niðurtíma kerfa, tapaðri veltu, kostnaði við endurheimt, kostnaði við réttarmeinafræðilegar rannsóknir og orðsporsskaða. Í öðru lagi eru það skráðir aðilar, einstaklingar sem persónuupplýsingar hafa verið afhjúpaðar, svo sem viðskiptavinir, starfsmenn og sjúklingar. Í þriðja lagi eru það þriðju aðilar sem verða fyrir tjóni vegna samningsbundinna eða framboðskeðjusambanda, til dæmis vegna þess að þeir eru háðir birgja sem hefur farið á hausinn. Sú flokkun ákvarðar á hvaða grundvelli aðili getur höfðað mál og gegn hverjum.

Innan hvaða tíma þarf ég að tilkynna gagnaleka?

Samkvæmt 33. grein GDPR skal tilkynning til eftirlitsyfirvalds án ótilhlýðilegrar tafar og, ef mögulegt er, innan sjötíu og tveggja klukkustunda frá því að vitneskju um brotið verður um það. Þessi skylda á ekki við ef ólíklegt er að brotið leiði til áhættu fyrir réttindi og frelsi einstaklinga. Sú matsgerð kallar á greiningu á eðli brotsins, flokkum gagna sem um ræðir og mögulegum afleiðingum.

Hvenær þarf ég að upplýsa skráða einstaklinga sjálfa?

Samkvæmt 34. gr. GDPR, ef líklegt er að brotið leiði til mikillar áhættu fyrir réttindi og frelsi hinna skráðu einstaklinga, má sleppa samskiptum ef viðeigandi tæknilegar ráðstafanir eins og dulkóðun voru til staðar, ef síðari ráðstafanir tryggja að mikil áhætta verði ekki lengur til staðar, eða ef einstaklingsbundin samskipti myndu fela í sér óhóflega fyrirhöfn. Í því síðastnefnda tilviki nægir opinber samskipti.

Get ég krafist upplýsinga frá birgja sem hefur verið tölvuþrjótaður?

Já, þar sem gagnavinnslusamningur kveður á um það. Í samantektarmálinu milli Blauw Research og Nebu (héraðsdómur Rotterdam, 6. apríl 2023, ECLI:NL:RBROT:2023:2931) komst bráðabirgðadómarinn að þeirri niðurstöðu að samkvæmt gagnavinnslusamningnum ætti ábyrgðaraðilinn rétt á meiri upplýsingum um árásina, afleiðingar hennar og ráðstafanir sem gripið hafði verið til en þeim sem veittar höfðu verið og fyrirskipaði vinnsluaðilanum að láta framkvæma óháða réttarlæknisfræðilega rannsókn og skila reglulega skýrslu. Þessar upplýsingar eru nauðsynlegar til að þú getir uppfyllt þína eigin tilkynningarskyldu.

Sem skráður einstaklingur, á ég sjálfkrafa rétt á bótum eftir gagnaleka?

Nei. 82. grein GDPR veitir sjálfstæða heimild, en þú verður að sýna fram á að brotið hafi verið gegn GDPR, að þú hafir í raun orðið fyrir tjóni og að orsakasamhengi sé milli brotsins og þess tjóns. Sönnunarbyrðin hvílir á kröfuhafa.

Telst ótti við auðkennissvik sem óefnislegt tjón?

Það kann að vera. Í málinu Natsionalna agentsia za prihodite (Dómstóll Evrópusambandsins 14. desember 2023, C-340/21) komst dómstóllinn að þeirri niðurstöðu að ótti við hugsanlega misnotkun á lekum persónuupplýsingum í framtíðinni geti í sjálfu sér talist óefnislegt tjón. Hinn skráði einstaklingur verður þó að færa rök fyrir þeim ótta og afleiðingum hans með raunverulegum hætti. Österreichische Post (Dómstóll Evrópusambandsins 4. maí 2023, C-300/21) bætir við að engin lágmarksþröskuldur sé fyrir alvarleika málsins, en að brot á persónuverndarreglugerðinni eitt og sér sé ekki nægjanlegt.

Hver þarf að sanna að öryggisráðstafanirnar hafi verið viðeigandi?

Ábyrgðaraðilinn. Í málinu C-340/21 staðfesti dómstóllinn að það væri ábyrgðaraðilinn að sýna fram á að öryggisráðstafanirnar sem gripið var til væru viðeigandi og að árás þriðja aðila leysi hann ekki í sjálfu sér undan ábyrgð. Í Hollandi átti þetta við í máli bílasala þar sem tölvupóstreikningur hans var tölvuþrjótaður, þar sem áfrýjunardómstóllinn í Arnhem-Leeuwarden gaf fyrst söluaðilanum tækifæri til að leggja fram þær sannanir (ECLI:NL:GHARL:2024:6812) og komst síðan að þeirri niðurstöðu að þær hefðu ekki verið lagðar fram (ECLI:NL:GHARL:2025:4556).

Ber upplýsingatæknifyrirtæki mitt ábyrgð ef það greinir ekki árás?

Það fer eftir því hvað samið var um. Í málinu sem varðaði netárásina á sveitarfélagið Hof van Twente (héraðsdómstóll Overijssel, 10. maí 2023, ECLI:NL:RBOVE:2023:1731) höfðu aðilar samið um virknieftirlit, ekki öryggiseftirlit. Dómstóllinn komst að þeirri niðurstöðu að skylda upplýsingatæknistjóra til að sinna starfi sínu nái ekki svo langt að öryggiseftirlit sé óbeint hluti af henni og hafnaði kröfunni. Þar sem víðtækari heildarpakki er veittur getur skyldan til að sinna starfi sínu í staðinn verið víðtæk, eins og í O'Cliance (héraðsdómstóll Amsterdam, 14. nóvember 2018, ECLI:NL:RBAMS:2018:10124), þar sem birgirinn var talinn ábyrgur fyrir tveimur þriðju hlutum tapsins.

Getur mín eigin hegðun dregið úr bótunum?

Já. Meðvirkni í sök gegnir endurteknu hlutverki í þessum málum. Í O'Cliance varð þriðjungur tapsins áfram fyrir reikning viðskiptavinarins og í málinu þar sem tölvupóstreikningurinn var tölvuþrjótaður þurftu aðilar að bregðast við meðvirkni kaupandans. Þín eigin lykilorðastefna, tengi sem skilin voru eftir opin eða viðvaranir sem hunsaðar voru geta því haft bein áhrif á niðurstöðuna.

Hvaða sektir getur Persónuverndarstofnunin lagt á?

Fyrir brot á persónuverndarreglugerðinni getur eftirlitsyfirvaldið lagt á stjórnsýslusektir allt að 20 milljónum evra eða 4 prósentum af alþjóðlegri ársveltu, hvort sem er hærra. Þessar sektir eru óháðar því hvort einstakir skráðir aðilar hafa raunverulega orðið fyrir tjóni og því eru þær aðskildar áhættur ásamt einkaréttarlegri ábyrgð.

Get ég tilkynnt brotið og krafist bóta fyrir tjón mitt í gegnum sakamál?

Já. Samkvæmt 138ab(1) grein hollensku hegningarlaganna er það refsivert að fá aðgang að sjálfvirku kerfi af ásettu ráði og með ólögmætum hætti. Þú getur tilkynnt brotið til lögreglu og, ef grunaður er ákærður, tekið þátt í sakamálinu sem tjónvaldur til að krefjast bóta þar. Niðurstaðan er háð uppgötvun, saksókn og sönnunargögnum, sem hjá alþjóðlega starfandi brotamönnum skilar oft engum árangri.

Hvað nær yfirleitt yfir nettryggingar?

Venjulega viðbrögð við atvikum og réttarmeinafræðileg rannsókn, endurreisn kerfa og gagna, tap vegna rekstrarstöðvunar og tap á veltu, samskipti við kreppur, ábyrgð gagnvart þriðja aðila og lögfræðikostnaður, og í sumum tilfellum sektir, uppgjörsgreiðslur eða lausnargjald að því marki sem tryggingarhæft er samkvæmt gildandi lögum. Fylgist með undantekningum, öryggisskilyrðum, tilkynningarfresti og sjálfsábyrgð og skoðið stefnuna áður en atvik á sér stað.

Get ég misst skjól með því að haga mér rangt eftir árás?

Það er mögulegt. Grein 7:957(1) í hollensku borgaralögunum skyldar vátryggðan aðila til að grípa til hæfilegra ráðstafana til að koma í veg fyrir eða takmarka tjón; ef þeirri björgunarskyldu er ekki sinnt getur tryggingafélagið lækkað greiðsluna. Að ráða utanaðkomandi sérfræðinga eða greiða lausnargjald án samþykkis tryggingafélagsins getur einnig haft áhrif á tryggingu. Láttu tryggingafélagið vita eins fljótt og auðið er.

Hvaða skref ætti ég að taka strax eftir netárás?

Skráðu atvikið og allar aðgerðir sem gripið var til, einangraðu viðkomandi kerfi án þess að glata sönnunargögnum og ráðdu réttarmeinafræðing. Metið síðan hvort um tilkynningarskyldan gagnaleka sé að ræða og hvort upplýsa þurfi skráða einstaklinga. Tilkynnið brotið, látið nettryggingafélagið ykkar vita, varðveitið skrár, afrit og bréfaskriftir, kortleggið tjónið og hugsanlega ábyrgðaraðila og upplýsið viðskiptavini, starfsmenn og samstarfsaðila í framboðskeðjunni vandlega og tímanlega.