Kibernetička sigurnost i odgovornost u Holandiji: Objašnjenje odgovornosti za povredu podataka

Kršenja podataka se dešavaju svaki dan u Holandiji. Kada se to dogodi, neko mora preduzeti mjere. odgovornost.

Prema holandskom zakonu i GDPR-u, organizacije koje kontrolišu lične podatke prvenstveno su odgovorne za njihovu zaštitu i suočavaju se značajna odgovornost kada dođe do kršenja. Ako vaše poslovanje pati od cyber napad, mogli biste se suočiti s kaznama do 20 miliona eura ili 4% vašeg globalnog godišnjeg prometa, ovisno o tome koji je iznos veći.

Razumijevanje ko snosi odgovornost nakon kršenja podataka je ključno za svaku organizaciju koja posluje u Holandiji. Odgovor nije uvijek jednostavan, jer odgovornost može da se proširi izvan vaše kompanije i da uključi treće strane koje pružaju usluge, zaposlene i druge strane uključene u obradu podataka.

Holandska Agencija za zaštitu podataka i drugi regulatori utvrđuju odgovornost na osnovu vaše uloge kao kontrolora ili obrađivača podataka, sigurnosnih mjera koje ste imali na snazi ​​i brzine kojom ste reagovali na incident.

Ovaj članak analizira pravni okvir koji reguliše sajber sigurnost u Holandiji i objašnjava kako se odgovornost dodjeljuje nakon kršenja. Saznat ćete o svojim obavezama obavještavanja, kaznama s kojima se suočavate u slučaju nepoštivanja propisa i praktičnim koracima koje možete poduzeti kako biste zaštitili svoju organizaciju od sajber napada i pravnih posljedica.

Pravni okvir za kibernetičku sigurnost i zaštitu podataka

Holandija djeluje u skladu s više slojeva zakonodavstva o kibernetičkoj sigurnosti i zaštiti podataka, kombinirajući propise na nivou EU s nacionalnim provedbenim zakonima. Ovi zakoni utvrđuju jasne obaveze za organizacije koje rukuju ličnim podacima i upravljaju kritičnom infrastrukturom.

Oni stvaraju specifične zahtjeve za različite sektore, uključujući telekomunikacije, finansije i zakon izvršenje.

Opća uredba o zaštiti podataka (GDPR) i implementacija u Holandiji

The GDPR služi kao primarni okvir za zaštitu podataka širom EU, uključujući Holandiju. Njime se uspostavljaju sveobuhvatna pravila za obradu ličnih podataka i zahtijeva od organizacija da implementiraju odgovarajuće tehničke i organizacijske mjere za zaštitu informacija.

Holandija je implementirala GDPR putem Zakon o implementaciji GDPR-a u Holandiji (Prosječna potrošnja), koji prilagođava zahtjeve EU holandskom zakonodavstvu. Ovaj zakon pruža posebne odredbe za nacionalne okolnosti, a istovremeno održava usklađenost s evropskim standardima.

Njime se određuje holandska Agencija za zaštitu podataka (Ovlaštenje za lične podatke) kao nadzorno tijelo odgovorno za sprovođenje.

Prema GDPR-u, morate prijaviti kršenje podataka nadzornom organu u roku od 72 sata od saznanja o njima. Kada kršenja predstavljaju visok rizik za prava i slobode pojedinaca, morate također obavijestiti pogođene osobe bez nepotrebnog odlaganja.

Ovi zahtjevi za obavještavanje čine osnovu odgovornosti za kršenje ugovora u Holandiji.

The Verzamelwet Gegevensbescherming (Zakon o kolektivnoj zaštiti podataka) dodatno precizira razne holandske zakone kako bi se uskladili sa standardima GDPR-a. Ovo osigurava dosljednost u različitim pravnim oblastima.

Zakon o kibernetičkoj sigurnosti i NIS2 direktiva

The Direktiva NIS2 značajno proširuje zahtjeve za kibernetičku sigurnost za bitne i važne subjekte širom EU. Holandija provodi ovu direktivu putem ažuriranja Cyberbeiligingswet (Holandski zakon o kibernetičkoj sigurnosti), koji je prvobitno transponirao prvu NIS Direktivu.

NIS2 proširuje opseg obuhvaćenih sektora i uvodi strože sigurnosne zahtjeve, obaveze prijavljivanja incidenata i odredbe o odgovornosti menadžmenta. Morate implementirati specifične mjere upravljanja rizikom i prijaviti značajne incidente u roku od 24 sata od saznanja o njima.

The Zakon o sigurnosti mreža i informacionih sistema i prateće Uredba o sigurnosti mreža i informacionih sistema utvrditi detaljne zahtjeve za operatere osnovnih usluga i pružatelje digitalnih usluga. Ovi zakoni nalažu osnovne sigurnosne mjere, redovne revizije i koordinaciju s nacionalnim tijelima za kibernetičku sigurnost.

Zakonodavstvo određuje posebne nadležne organe za različite sektore. Ovo osigurava specijalizirani nadzor nad praksama kibernetičke sigurnosti.

Ostali relevantni zakoni i direktive

The Direktiva EU o e-privatnosti dopunjuje GDPR adresiranjem privatnosti elektronskih komunikacija. Zahtijeva pristanak za kolačiće i slične tehnologije te štiti povjerljivost komunikacijskih podataka.

The Zakon o telekomunikacijama (Telekomunikacije) nameće specifične sigurnosne obaveze telekomunikacijskim provajderima, uključujući zahtjeve za zaštitu integriteta mreže i korisničkih podataka. Ovaj zakon djeluje u skladu sa zakonima o zaštiti podataka kako bi se osigurala sveobuhvatna zaštita u komunikacijskom sektoru.

The Zakon o otpornosti kritičnih subjekata (CRA) jača zahtjeve fizičke i kibernetičke sigurnosti za subjekte koji se smatraju ključnim za javnu sigurnost i ekonomsku stabilnost. Zahtijeva procjene rizika i mjere otpornosti koje prevazilaze standardne odredbe o kibernetičkoj sigurnosti.

Ovi okviri stvaraju preklapajuće obaveze. Morate se njima orijentisati kada poslujete u više sektora ili rukujete različitim vrstama podataka.

Sektorski propisi

The Zakon o finansijskom nadzoru (Wet op het financieel toezicht) uspostavlja stroge zahtjeve za kibernetičku sigurnost i zaštitu podataka za finansijske institucije. Prilikom poslovanja u finansijskom sektoru morate implementirati robusne sigurnosne kontrole, procedure za odgovor na incidente i redovne protokole testiranja.

Organizacije za provođenje zakona suočavaju se sa posebnim zahtjevima prema Zakon o policijskim podacima (Mokri policijski prostori) i Wet justitiële en strafvorderlijke gegevens (Zakon o podacima sudskih i krivičnih postupaka). Ovi zakoni uređuju način na koji policija i pravosudni organi prikupljaju, obrađuju i štite lične podatke tokom istraga i krivičnih postupaka.

Pružaoci zdravstvenih usluga moraju se pridržavati dodatnih mjera zaštite privatnosti pored standardnih zahtjeva GDPR-a. To odražava osjetljivu prirodu medicinskih informacija.

Sektori energetike, transporta i vodoprivrede suočavaju se sa specifičnim obavezama u okviru implementacije NIS2, sa prilagođenim sigurnosnim mjerama koje odgovaraju njihovim operativnim rizicima.

Svaki sektorski propis nameće jedinstvena opterećenja usklađenosti. Bitno je utvrditi koji se zakoni primjenjuju na specifične aktivnosti i operacije obrade podataka vaše organizacije.

Dodjeljivanje odgovornosti nakon kršenja podataka

U Holandiji, odgovornost za povredu podataka zavisi od vaše uloge u obradi ličnih podataka, tj. sigurnosne mjere koje ste implementirali i da li ste se pridržavali zahtjeva za izvještavanje. Holandska agencija za zaštitu podataka i druga nadzorna tijela utvrđuju odgovornost na osnovu zakonske obaveze u skladu sa GDPR-om i nacionalnim zakonima o kibernetičkoj sigurnosti.

Definisanje odgovornosti: Kontrolori, Obrađivači i Treće strane

Vaša odgovornost nakon povreda ličnih podataka zavisi od toga da li djelujete kao kontrolor podataka ili obrađivač. Kontrolori odlučuju o tome kako i zašto se lični podaci obrađuju, što ih čini prvenstveno odgovornima za sigurnosne incidente.

Obrađivači obrađuju podatke u ime kontrolora i snose odgovornost ako prekorače upute ili ne implementiraju adekvatne sigurnosne mjere.

Treće strane, poput pružatelja digitalnih usluga, snose odvojene odgovornosti. Ako koristite usluge vanjskih dobavljača, ostajete odgovorni za njihove postupke kada obrađuju podatke u vaše ime.

Vaši ugovori moraju precizirati sigurnosne obaveze i procedure za rješavanje incidenata.

Kada je uključeno više strana, odgovornost se može podijeliti. Ako ni vi ni vaš obrađivač niste implementirali tehničke i organizacijske mjere, oboje se možete suočiti s kaznama od strane Agencije za zaštitu ličnih podataka (Autoriteit Persoonsgegevens).

Nadzorni organ ispituje ulogu svake strane u kršenju kako bi utvrdio odgovornost.

Nadzorni organi i regulatorne uloge

Nadzorni organ za zaštitu podataka (Autoriteit Persoonsgegevens) služi kao holandski organ za zaštitu podataka odgovoran za provođenje usklađenosti s GDPR-om. Morate prijaviti kršenje ličnih podataka ovom nadzornom organu u roku od 72 sata od saznanja o incidentu.

Nepoštivanje rokova za prijavljivanje incidenata povećava vašu odgovornost.

Nacionalni centar za sajber sigurnost (NCSC) bavi se širim prijetnje internetske sigurnosti koji utiču na operatere osnovnih usluga. Ako pružate kritičnu infrastrukturu ili digitalne usluge, morate prijaviti i značajne sigurnosne incidente NCSC-u.

Ovi izvještaji pomažu u koordinaciji nacionalnih odgovora na sajber prijetnje.

Oba organa provode istrage nakon sigurnosnih incidenata. Autoriteit Persoonsgegevens (Autoriteit Persoonsgegevens) može izreći kazne do 20 miliona eura ili 4% vašeg godišnjeg globalnog prometa, što god je veće.

Oni uzimaju u obzir faktore poput prirode kršenja, broja pogođenih pojedinaca i vaših mjera odgovora.

Smjernice ENISA-e utiču na način na koji holandske vlasti procjenjuju vašu usklađenost sa zahtjevima za sajber sigurnost.

Organizacijske i tehničke mjere

Vaša implementacija tehničkih i organizacijskih mjera direktno utiče na utvrđivanje odgovornosti. Ove mjere uključuju šifriranje, kontrolu pristupa, redovno sigurnosno testiranje i obuku osoblja.

Sudovi i nadzorni organ procjenjuju da li je vaša sigurnost bila primjerena uključenim rizicima.

Morate dokumentirati svoje sigurnosne mjere i demonstrirati planiranje kontinuiteta poslovanja. Ako ne možete dokazati adekvatne mjere opreza, odgovornost se znatno povećava.

Redovne procjene rizika pomažu vam da identifikujete ranjivosti prije nego što dođe do kršenja.

Procedure za rješavanje incidenata su ključne. Potrebni su vam jasni protokoli za otkrivanje, istraživanje i reagovanje na povrede ličnih podataka.

Vaše vrijeme reakcije i efikasnost u suzbijanju sigurnosnih incidenata utiču na odluke o kaznama.

Agencija za zaštitu ličnih podataka očekuje od vas da vodite evidenciju o svom sigurnosnom okviru. Bez odgovarajuće dokumentacije, dokazivanje razumne pažnje postaje teško tokom istraga.

Utjecaj lanca snabdijevanja i pružatelja usluga

Sigurnost lanca snabdijevanja stvara složena pitanja odgovornosti. Kada vaši pružatelji usluga dožive povrede koje utiču na vaše podatke, i dalje se možete suočiti s posljedicama.

Morate provoditi dubinsku analizu dobavljača i kontinuirano pratiti njihove sigurnosne prakse.

Operateri osnovnih usluga suočavaju se sa strožim zahtjevima za upravljanje dobavljačima. Morate osigurati da pružatelji digitalnih usluga u vašem lancu snabdijevanja održavaju standarde koji su u skladu s vašim vlastitim obavezama.

Ugovorni sporazumi trebaju jasno definirati dužnosti prijavljivanja incidenata i raspodjelu odgovornosti.

Ako povreda potiče iz vašeg lanca snabdijevanja, Autoriteit Persoonsgegevens ispituje da li ste izvršili adekvatne procjene dobavljača. Vaša odgovornost zavisi od toga da li ste preduzeli razumne korake da provjerite sigurnost dobavljača.

Ne možete u potpunosti delegirati odgovornost čak ni kada koristite obrađivače trećih strana.

Višeslojni lanci snabdijevanja zahtijevaju dodatnu budnost. Potreban vam je uvid u podobrađivače i njihove sigurnosne mjere kako biste se zaštitili od kaskadnih grešaka koje ugrožavaju lične podatke u više organizacija.

Obaveze obavještavanja o kršenju podataka

Holandija implementira višeslojni okvir za obavještavanje u skladu sa GDPR-om i nacionalnim zakonima o kibernetičkoj sigurnosti. Kontrolori moraju prijavi kršenja Agenciji za zaštitu ličnih podataka (PDA) u roku od 72 sata kada postoji rizik za prava subjekta podataka.

Visokorizični prekršaji zahtijevaju direktno obavještavanje pogođenih osoba.

Rokovi i proceduralni zahtjevi

Morate obavijestiti PDA bez nepotrebnog odlaganja i, gdje je to izvodljivo, najkasnije 72 sata nakon što ste saznali za povredu ličnih podataka. Ova obaveza se primjenjuje osim ako je malo vjerovatno da će povreda rezultirati rizikom za prava i slobode fizičkih lica.

Obavještenje mora sadržavati konkretne informacije gdje je to moguće. Potrebno je navesti kategorije i približan broj dotičnih subjekata podataka, kategorije i približan broj pogođenih zapisa ličnih podataka, te ime vašeg službenika za zaštitu podataka ili druge kontakt osobe.

Također morate opisati vjerojatne posljedice kršenja i poduzete ili predložene mjere za njegovo rješavanje.

Ako ne možete dostaviti sve potrebne informacije u roku od 72 sata, možete ih dostaviti u fazama. Razloge svakog kašnjenja morate objasniti u svojoj početnoj obavijesti.

Ko mora biti obaviješten i kada

Morate direktno obavijestiti subjekte podataka kada postoji vjerovatnoća da će povreda ličnih podataka rezultirati visokim rizikom za njihova prava i slobode. Ovo obavještavanje mora biti učinjeno bez nepotrebnog odlaganja i korištenjem jasnog i jednostavnog jezika.

Direktno obavještavanje subjekata podataka nije potrebno u tri specifične okolnosti. Ne morate obavještavati ako ste implementirali odgovarajuće tehničke i organizacijske mjere zaštite (kao što je šifriranje) koje podatke čine nerazumljivim za neovlaštene osobe.

Također ne morate obavijestiti ako ste poduzeli naknadne mjere kojima se osigurava da se visoki rizik za prava subjekta podataka više neće materijalizirati ili ako bi direktna komunikacija zahtijevala nesrazmjeran napor. U takvim slučajevima, umjesto toga, potrebna je javna komunikacija ili slične mjere.

Finansijske kompanije su, prema Zakonu o finansijskom nadzoru, izuzete od obaveze obavještavanja subjekta podataka. One i dalje moraju podnositi izvještaje PDA.

Obrađivači imaju različite obaveze. Morate obavijestiti kontrolora bez nepotrebnog odlaganja nakon što saznate za bilo kakvo kršenje zaštite ličnih podataka, bez obzira na nivo rizika.

Ovo je zakonski zahtjev prema GDPR-u i trebalo bi biti uključeno u vaš ugovor o obradi podataka.

Sektorski i nacionalni zahtjevi za obavještavanje

Pored obaveza prema GDPR-u, možete se suočiti s dodatnim zahtjevima za izvještavanje ovisno o vašem sektoru. WBNI (Zakon o sigurnosti mreža i informacionih sistema) zahtijeva od određenih subjekata da prijave sigurnosne incidente tijelima za kibernetičku sigurnost, čak i kada se ti incidenti ne kvalificiraju kao kršenje ličnih podataka.

Pružaoci javnih elektronskih komunikacijskih mreža moraju izvještavati Inspektorat za ljudsku okolinu i transport (ILT). Zdravstvene organizacije imaju obavezu da obavijeste Inspektorat za zdravlje i zaštitu mladih o incidentima koji utiču na sigurnost medicinskih uređaja ili podatke o pacijentima.

Firme za finansijske usluge moraju se pridržavati sektorskih zahtjeva prema zakonodavstvu o finansijskom nadzoru.

Pružaoci kritične infrastrukture imaju pojačane obaveze prema WBNI-u. Morate prijaviti značajne incidente Timu za odgovor na incidente računarske sigurnosti (CSIRT) koji bi mogli značajno poremetiti osnovne usluge.

Javne kompanije će možda morati prijaviti sigurnosne incidente koji bi mogli značajno utjecati na odluke investitora.

Ovi sektorski zahtjevi često djeluju uporedo s obavezama GDPR-a, umjesto da ih zamjenjuju. Možda ćete morati podnijeti više obavještenja različitim organima vlasti za jedan incident, ovisno o aktivnostima vaše organizacije i prirodi kršenja.

Provođenje zakona i sankcije za nepoštivanje

Holandske vlasti imaju jasna ovlaštenja da istraže propuste u sajber sigurnosti i nametnu značajne finansijske kazne organizacijama koje ne štite lične podatke ili ne ispunjavaju sigurnosne zahtjeve.

Okvir za sprovođenje zakona uključuje više regulatora sa specifičnim nadzornim odgovornostima, strukturirane sheme kazni i definirane postupke žalbe za organizacije koje se suočavaju sa sankcijama.

Istražne i nadzorne ovlasti

Holandska Agencija za zaštitu podataka (Autoriteit Persoonsgegevens, ili AP) ima primarnu odgovornost za istraživanje povreda podataka i kršenja GDPR-a.

AP može pokrenuti istrage na osnovu pritužbi, medijskih izvještaja ili rutinskih revizija.

Tokom istraga, nadležni organ može tražiti dokumentaciju, provoditi inspekcije na licu mjesta i intervjuirati članove osoblja.

Za obaveze u vezi sa sajber sigurnošću prema novom Zakonu o sajber sigurnosti (Cyberbeveiligingswet), nadzor provode regulatori specifični za sektor.

Uprava za potrošače i tržišta (ACM) nadgleda digitalnu infrastrukturu i telekomunikacijske provajdere.

Holandska centralna banka (DNB) nadgleda finansijske institucije.

Ministar za ekonomska pitanja i klimu, ministar za infrastrukturu i vodoprivredu i ministar zdravstva imaju ovlaštenja za provođenje zakona u svojim sektorima.

Ovi regulatori mogu revidirati vaše sisteme, pregledati procedure za odgovor na incidente i procijeniti da li vaše upravljanje rizicima ispunjava zakonske standarde.

Također mogu naplatiti troškove provođenja zakona od vaše organizacije ako se utvrde prekršaji.

Nacionalni centar za sajber sigurnost (NCSC) koordinira između regulatora, ali ne nameće direktno kazne.

Administrativne i finansijske kazne

Novčane kazne variraju ovisno o pravnom okviru i težini prekršaja.

U skladu sa primjenom GDPR-a, AP može izreći kazne do 20 miliona eura ili 4% vašeg godišnjeg globalnog prometa, što god je veće.

Nadležno tijelo uzima u obzir faktore kao što su priroda kršenja, broj pogođenih pojedinaca i vaša saradnja tokom istrage.

Prema Zakonu o kibernetičkoj sigurnosti (Cyberbeveiligingswet), kazne slijede višeslojnu strukturu:

Regulatori također mogu izdati korektivne naloge kojima se od vas zahtijeva da implementirate određene sigurnosne mjere u određenim rokovima.

Ponovljeni propusti mogu rezultirati imenovanjem i sramoćenjem putem javnog otkrivanja kršenja.

Direktori organizacija klasifikovanih kao esencijalni subjekti mogu se suočiti sa ličnom diskvalifikacijom sa pozicija u upravnom odboru u teškim slučajevima.

Organizacije javnog sektora su izuzete od finansijskih kazni, ali se suočavaju s korektivnim mjerama provođenja zakona i potencijalnom parlamentarnom kontrolom.

Pravna sredstva i žalbe

Imate pravo osporiti odluke o izvršenju putem upravne žalbe.

Nakon što primite obavještenje o kazni, možete podnijeti prigovor (bezwaar) organu koji ju je izdao u roku od šest sedmica.

Regulator mora preispitati svoju odluku i dati formalni odgovor.

Ako se ne slažete s ishodom ponovnog razmatranja, možete se žaliti okružnom sudu (rechtbank).

Sud preispituje da li je regulator slijedio odgovarajuće procedure i ispravno primijenio zakon.

Onda možete odluke apelacionog suda Odjelu za administrativnu nadležnost Državnog vijeća (Afdeling bestuursrechtspraak van de Raad van State), koji služi kao najviši upravni sud.

Tokom cijelog procesa žalbe, morate nastaviti provoditi sve korektivne mjere koje su naredili regulatori.

Sudovi mogu obustaviti finansijske kazne do okončanja žalbenog postupka, ali to nije automatski.

Ključne uloge i odgovornosti u upravljanju kibernetičkom sigurnošću

Organizacije moraju jasno definirati ko upravlja zadacima kibernetičke sigurnosti, od imenovanja službenika za zaštitu podataka do uspostavljanja odgovornosti na nivou upravnog odbora i obuke zaposlenika o sigurnosnim protokolima.

Službenici za zaštitu podataka i imenovanja

Morate imenovati službenika za zaštitu podataka (DPO) ako vaša organizacija obrađuje osjetljive lične podatke u velikim razmjerima ili sistematski prati pojedince.

Službenik za zaštitu podataka (DPO) služi kao vaša glavna kontakt osoba za organe za zaštitu podataka i subjekte podataka.

Vaš službenik za zaštitu podataka (DPO) treba posebne kvalifikacije u zakonu o zaštiti podataka i praksama sigurnosti informacija.

Moraju direktno odgovarati vašem najvišem rukovodećem nivou i ne mogu biti otpušteni zbog obavljanja svojih dužnosti.

Uloga uključuje praćenje usklađenosti s GDPR-om, provođenje procjena utjecaja na zaštitu podataka i savjetovanje o zahtjevima za šifriranje i kriptografiju.

Trebali biste jasno dokumentirati odgovornosti službenika za zaštitu podataka.

To uključuje njihovo ovlaštenje za reviziju vaše digitalne infrastrukture i pregled vašeg plana za odgovor na incidente.

Ako poslujete u više zemalja EU, možete imenovati jednog službenika za zaštitu podataka (DPO) na osnovu njegovih profesionalnih kvaliteta i poznavanja relevantnih jurisdikcija.

Korporativno upravljanje i odgovornost

Vaš upravni odbor snosi krajnju odgovornost za upravljanje rizicima kibernetičke sigurnosti.

Moraju odobriti sigurnosne mjere, dodijeliti odgovarajuće resurse i osigurati odgovarajući nadzor nad naporima za sajber otpornost.

Odgovornost liderstva uključuje:

• Odobravanje sigurnosnih politika za okvire sigurnosti informacija
• Nadzor nad procjenama rizika i planiranje operativne otpornosti
• Osiguranje usklađenosti s revizijom putem nezavisnih recenzija
• Raspodjela budžeta za upravljanje kibernetičkom sigurnošću i obuka zaposlenih

Potrebno je uspostaviti jasne linije ovlaštenja za donošenje sigurnosnih odluka.

Dokument o tome ko odobrava sigurnosne mjere, ko nadgleda implementaciju i ko provodi revizije.

Vaš menadžment mora redovno preispitivati ​​performanse sajber sigurnosti i prilagođavati strategije na osnovu promjenjivih prijetnji vašoj digitalnoj infrastrukturi.

Interne politike i obuka zaposlenih

Morate kreirati dokumentovane politike koje definišu sigurnosne uloge u cijeloj vašoj organizaciji.

Ove politike trebaju precizirati odgovornosti za zaštitu podataka, odgovor na incidente i održavanje kibernetičke otpornosti.

Vaše sigurnosne politike trebaju pokrivati:

• Kontrole pristupa i zahtjevi za autentifikaciju
• Standardi klasifikacije i šifriranja podataka
• Procedure prijavljivanja incidenata
• Redovna obuka o sigurnosti

Trebali biste osigurati kontinuiranu obuku svim zaposlenicima o praksama informacijske sigurnosti.

Ovo uključuje prepoznavanje phishinga pokušaje, pravilno rukovanje osjetljivim podacima i praćenje plana odgovora na incidente.

Obuka mora biti prilagođena specifičnim ulogama, a tehničko osoblje mora dobiti napredne upute o kriptografiji i sigurnosnim kontrolama.

Vaše politike moraju se redovno preispitivati ​​i ažurirati kada se propisi promijene ili se pojave novi rizici.

Morate osigurati adekvatne resurse i za implementaciju politika i za razvoj osoblja u praksi kibernetičke sigurnosti.

Vrste incidenata u sajber sigurnosti i novonastale prijetnje

Incidenti u kibernetičkoj sigurnosti kreću se od obmanjujućih e-poruka do velikih poremećaja u mreži koji mogu ugroziti cijele organizacije.

Razumijevanje ovih prijetnji pomaže vam da identifikujete ranjivosti i odredite gdje leži odgovornost kada dođe do kršenja sigurnosti.

Phishing, zlonamjerni softver i ransomware

phishing ostaje jedna od najčešćih prijetnji kibernetičkoj sigurnosti s kojima ćete se susresti.

Napadači šalju e-poruke ili poruke koje se predstavljaju kao da su od legitimnih kompanija kako bi ukrali vaše lozinke, finansijske informacije ili druge osjetljive podatke.

Ovi napadi su odgovorni za preko 60 posto incidenata socijalnog inženjeringa.

malware odnosi se na štetni softver koji oštećuje vaše računarske sisteme ili mreže.

To uključuje viruse, trojance i drugi zlonamjerni kod osmišljen za pristup vašim podacima ili ometanje vaših operacija.

ransomware je specifična vrsta zlonamjernog softvera koji blokira pristup vašim datotekama i zahtijeva plaćanje za vraćanje podataka.

Čak i ako platite otkupninu, nema garancije da će napadači vratiti vaš pristup ili izbrisati ukradene podatke.

Između 2020. i 2021. godine, organizacije su se suočile s otprilike 24,000 incidenata u sajber sigurnosti širom svijeta, pri čemu je ransomware igrao značajnu ulogu u finansijskim gubicima.

Napadi uskraćivanja usluge (DoS) i distribuirani DoS (DDoS) napadi

DoS napadi preopteretiti vaše sisteme prometom kako bi usluge postale nedostupne legitimnim korisnicima.

Jedan izvor preplavljuje vašu mrežu zahtjevima sve dok se ne sruši ili postane previše spor za funkcioniranje.

DDoS napadi koristite više kompromitovanih sistema za pokretanje koordiniranih napada na vašu infrastrukturu.

Ove distribuirane napade je teže zaustaviti jer dolaze s mnogo lokacija istovremeno.

DDoS napadi mogu poremetiti kritične usluge, od vladinih web stranica do operacija privatnog sektora.

Obično imate manje od 62 minute od prvog otkrivanja da spriječite da sigurnosni incident postane veliko kršenje sigurnosti.

Zbog ovog uskog vremenskog okvira, brz odgovor je neophodan kada se suočavate s DoS ili DDoS napadima.

Prevara i neovlašteni pristup

Prevara u sajber sigurnosti uključuje obmanjujuće prakse za dobijanje neovlaštenog pristupa vašim sistemima ili podacima.

To uključuje krađu identiteta, prevaru s plaćanjem i kompromitiranje akreditiva.

Neovlašteni pristup se dešava kada neko prekrši vaše sigurnosne politike kako bi pristupio mrežama, sistemima ili podacima bez dozvole.

Ovo se može dogoditi putem:

• Ukradene vjerodajnice za prijavu
• Iskorištene ranjivosti softvera
• Zaobiđene sigurnosne kontrole
• Insajderske prijetnje od strane sadašnjih ili bivših zaposlenika

Krađa insajderskih podataka se često zanemaruje, ali može biti jednako štetna kao i vanjski napadi.

U 2021. godini, prosječni trošak insajderskih napada dostigao je 12.5 miliona funti.

Čak i nenamjerno curenje podataka od strane zaposlenika smatra se sigurnosnim incidentima prema Zakonu o zloupotrebi računara (1990).

Ranjivosti sektora i lanca snabdijevanja

Sektori kritične infrastrukture suočavaju se s povećanim rizicima od sajber kriminala, a glavne mete su zdravstvo, energetika i finansijske usluge.

Profesionalni sektor je doživio gotovo 3,600 incidenata između 2020. i 2021. godine, što ga čini najnapadanijom industrijom.

Sigurnost lanca snabdijevanja postalo je sve važnije jer napadači ciljaju vaše partnere i dobavljače trećih strana, umjesto da napadaju direktno vas.

Ovi napadi trećih strana iskorištavaju slabije sigurnosne mjere u vašim partnerskim organizacijama kako bi pristupili podacima vaših klijenata.

Ranjivosti u lancu snabdijevanja omogućavaju napadačima da ugroze više organizacija jednim probojem.

Kada se sistemi vašeg dobavljača povežu s vašim, njihove sigurnosne slabosti postaju vaše sigurnosne slabosti.

Ovaj međusobno povezani rizik znači da morate procijeniti ne samo vlastite mjere kibernetičke sigurnosti, već i mjere svake organizacije u vašem lancu snabdijevanja.

Nacionalne države sve više testiraju i prodiru u rivalske sajber prostore, često djelujući pod krinkom privatnih subjekata dok istovremeno djeluju u ime vlada.

Često Postavljena Pitanja

Holandske kompanije moraju se pridržavati strogih zahtjeva za izvještavanje i standarda usklađenosti nakon kršenja podataka, a odgovornost se proteže na više strana u zavisnosti od njihovih uloga i odgovornosti.

Razumijevanje ovih obaveza pomaže organizacijama da zaštite sebe i pogođene pojedince, a istovremeno održavaju usklađenost s nacionalnim i evropskim propisima.

Koje su zakonske obaveze holandskih kompanija nakon kršenja podataka?

Vaša organizacija mora obavijestiti holandsku agenciju za zaštitu podataka (Autoriteit Persoonsgegevens) u roku od 72 sata od saznanja o povredi podataka.

Ovaj zahtjev se primjenjuje u skladu sa GDPR-om, koji reguliše zaštitu podataka širom Holandije.

U obavijesti o kršenju sigurnosti morate navesti konkretne informacije.

To uključuje prirodu kršenja, broj pogođenih pojedinaca, potencijalne posljedice i mjere koje ste poduzeli ili planirate poduzeti.

Ako ne možete dostaviti sve detalje u roku od 72 sata, morate objasniti kašnjenje i dostaviti preostale informacije što je prije moguće.

Kada kršenje predstavlja visok rizik za prava i slobode pojedinaca, morate i direktno obavijestiti pogođene osobe.

Ne možete odgoditi ovo obavještenje bez opravdanih razloga.

Vaša komunikacija s pogođenim osobama treba biti jasna i objasniti vjerojatne posljedice kršenja sigurnosti i korake koje mogu poduzeti da bi se zaštitili.

Morate voditi detaljnu dokumentaciju o svim povredama podataka, bez obzira na to da li ih prijavljujete vlastima.

Ova dokumentacija treba da sadrži činjenice koje se odnose na kršenje, njegove posljedice i poduzete korektivne mjere.

Holandski organ za zaštitu podataka može zatražiti ovu dokumentaciju tokom inspekcija ili istraga.

Kako se utvrđuje odgovornost za povrede podataka prema holandskom zakonu?

Odgovornost za povrede podataka u Holandiji zavisi od vaše uloge kao kontrolora podataka ili obrađivača podataka.

Kontrolori podataka određuju svrhe i sredstva obrade ličnih podataka, dok obrađivači podataka obrađuju podatke u ime kontrolora.

Tvoj pravne odgovornosti razlikuju se na osnovu ove klasifikacije.

Kao kontrolor podataka, snosite primarnu odgovornost za osiguranje usklađenosti s propisima o zaštiti podataka.

Morate primijeniti odgovarajuće tehničke i organizacijske mjere za zaštitu ličnih podataka.

Sudovi procjenjuju da li ste preduzeli razumne korake da spriječite kršenje sigurnosti i da li ste postupali nemarno u svojim sigurnosnim praksama.

Obrađivači podataka također mogu snositi odgovornost ako ne slijede upute kontrolora ili prekrše svoje ugovorne obaveze.

Međutim, obrađivači obično imaju ograničeniju odgovornost od kontrolora.

Ako obrađujete podatke bez odgovarajućeg odobrenja kontrolora ili ne primijenite dogovorene sigurnosne mjere, možete biti direktno odgovorni.

Holandski sudovi primjenjuju nekoliko faktora prilikom utvrđivanja odgovornosti.

To uključuje ozbiljnost povrede, osjetljivost kompromitovanih podataka, vaše sigurnosne mjere prije povrede i vaš odgovor nakon otkrivanja incidenta.

Veličina i resursi vaše organizacije također utječu na to što sudovi smatraju razumnim sigurnosnim mjerama.

Zajednička odgovornost može nastati kada više strana doprinese povredi podataka.

Ako dijelite odgovornost s drugim kontrolorima ili obrađivačima, sudovi mogu svaku stranu smatrati odgovornom za cjelokupnu štetu.

Zatim možete tražiti odštetu od drugih odgovornih strana na osnovu njihovog doprinosa kršenju.

Koje strane mogu biti odgovorne za incidente u vezi sa sigurnošću podataka u Holandiji?

Kontrolori podataka snose primarnu odgovornost za incidente sigurnosti podataka.

Kao kontrolor, donosite odluke o tome kako se lični podaci obrađuju i morate osigurati da su na snazi ​​odgovarajuće sigurnosne mjere.

Vaša organizacija se može suočiti s administrativnim kaznama, građanskom odgovornošću i štetom od ugleda nakon kršenja.

Obrađivači podataka mogu biti odgovorni kada ne ispune svoje ugovorne i zakonske obaveze.

Ako obrađujete podatke u ime kontrolora, morate implementirati sigurnosne mjere navedene u vašem ugovoru i pridržavati se zakonitih uputa kontrolora.

Suočavate se s direktnom odgovornošću ako prekoračite svoja ovlaštenja ili ne održavate adekvatnu sigurnost.

Direktori i službenici vaše organizacije mogu se suočiti s ličnom odgovornošću u određenim okolnostima.

Prema implementaciji NIS2 direktive u Holandiji, menadžment može biti lično odgovoran za propuste u upravljanju sajber bezbednošću.

To uključuje potencijalnu diskvalifikaciju iz funkcije direktora ako dođe do ozbiljnih kršenja propisa.

Pružaoci usluga trećih strana također mogu snositi odgovornost za sigurnosne incidente.

Ako se oslanjate na usluge u oblaku, IT podršku ili druge vanjske pružatelje usluga, oni mogu dijeliti odgovornost kada njihovi propusti doprinesu kršenju sigurnosti.

Vaši ugovori s ovim pružateljima usluga trebaju jasno definirati sigurnosne odgovornosti i uvjete odgovornosti.

Holandska Agencija za zaštitu podataka služi kao glavno tijelo za sprovođenje zakona.

Iako nije direktno odgovorno za prekršaje, Uprava istražuje incidente, izdaje korektivne naloge i nameće administrativne kazne organizacijama koje ne poštuju propise.

Koje su posljedice za organizacije zbog nepoštivanja holandskih propisa o zaštiti podataka?

Vaša organizacija se može suočiti s administrativnim kaznama do 20 miliona eura ili 4% vašeg globalnog godišnjeg prometa, ovisno o tome koji je iznos veći. Holandska agencija za zaštitu podataka određuje iznose kazni na osnovu prirode, težine, trajanja i vaše saradnje tokom istrage.

Pored finansijskih kazni, Uprava može nametnuti korektivne mjere koje ometaju vaše poslovanje. Ove mjere uključuju privremena ograničenja aktivnosti obrade podataka, naloge za ispravljanje određenih prekršaja i obavezne revizije.

Možda ćete morati obustaviti određene poslovne aktivnosti dok ne dokažete usklađenost. Vaša organizacija rizikuje značajnu reputacijsku štetu zbog neusklađenosti.

Javno objavljivanje povreda podataka i regulatornih kazni može narušiti povjerenje kupaca i oštetiti poslovne odnose. Holandska agencija za zaštitu podataka objavljuje odluke o sprovođenju zakona, koje ostaju dostupne javnosti i medijima.

Možete se suočiti s građanskim tužbama od strane pogođenih pojedinaca koji traže naknadu štete. Pojedinci mogu tražiti materijalnu i nematerijalnu štetu nastalu usljed kršenja zaštite podataka.

Holandski sudovi sve češće priznaju tužbe za naknadu štete i gubitak kontrole nad ličnim podacima, čak i bez direktnih finansijskih gubitaka. Vaše poslovne mogućnosti mogu biti ograničene nakon ozbiljnih kršenja.

Neki sektori zahtijevaju sigurnosne certifikate ili evidenciju usklađenosti kako bi održavali ugovore, posebno kada se radi o poslovanju s vladinim subjektima ili reguliranim industrijama.

Na koje načine pogođene osobe mogu tražiti pravnu zaštitu nakon kršenja podataka u Holandiji?

Možete podnijeti žalbu holandskoj Agenciji za zaštitu podataka ako smatrate da je neka organizacija prekršila vaša prava na zaštitu podataka. Agencija istražuje žalbe i može poduzeti mjere protiv organizacija koje ne poštuju pravila.

Ovaj proces vas ništa ne košta i ne zahtijeva pravno zastupanje. Imate pravo pokrenuti građansku parnicu protiv odgovorne organizacije.

Holandski zakon vam omogućava da tražite naknadu i za materijalnu i za nematerijalnu štetu nastalu usljed kršenja zaštite podataka. Materijalna šteta uključuje finansijske gubitke, dok nematerijalna šteta pokriva patnju, anksioznost i gubitak kontrole nad vašim ličnim podacima.

Možete angažovati advokata da se pozabavi vašim zahtjevom na osnovu slučaja ili zatražiti pravnu pomoć ako ispunjavate finansijske kriterije podobnosti. Mnoge advokatske firme u Holandiji specijalizovane su za slučajeve zaštite podataka i mogu vas savjetovati o osnovanosti vašeg zahtjeva.

Mehanizmi kolektivne tužbe omogućavaju grupama pogođenih pojedinaca da kolektivno podnose zahtjeve. Možete tražiti odštetu direktno od organizacije bez odlaska na sud.

Mnoge organizacije preferiraju privatno rješavanje potraživanja kako bi izbjegle troškove sudskog postupka i negativan publicitet. Vaša pregovaračka pozicija jača ako je organizacija očigledno prekršila propise o zaštiti podataka ili ako je kršenje prouzrokovalo značajnu štetu.

Također možete podnijeti tužbe protiv obrađivača podataka ako snose odgovornost za kršenje. Prema GDPR-u, i kontrolori i obrađivači mogu biti odgovorni za štetu.

Ako je više strana doprinijelo kršenju, možete tražiti puni iznos od bilo koje odgovorne strane.

Kako GDPR utiče na odgovornost i obaveze u slučaju kršenja podataka za subjekte koji posluju u Holandiji?

GDPR utvrđuje jasne obaveze za organizacije u vezi sa zaštitom ličnih podataka.

Entiteti moraju implementirati odgovarajuće tehničke i organizacijske mjere kako bi osigurali sigurnost podataka.

U slučaju kršenja sigurnosti podataka, organizacije su dužne obavijestiti nadležni nadzorni organ u roku od 72 sata.

Ako kršenje predstavlja visok rizik za prava i slobode pojedinaca, pogođene osobe također moraju biti obaviještene.

Nepoštivanje ovih zahtjeva može rezultirati značajnim kaznama i narušavanjem ugleda organizacije.

I kontrolori podataka i obrađivači imaju različite odgovornosti prema GDPR-u, a ugovori moraju jasno definirati te uloge.