Küberturvalisuse ja andmekaitse õigusraamistik
Isikuandmete kaitse üldmäärus (GDPR) ja selle rakendamine Hollandis
. GDPR toimib peamise andmekaitseraamistik kogu ELis, sealhulgas Madalmaades. See kehtestab isikuandmete töötlemise terviklikud eeskirjad ja nõuab organisatsioonidelt teabe kaitsmiseks asjakohaste tehniliste ja korralduslike meetmete rakendamist. Madalmaad rakendasid isikuandmete kaitse üldmäärust (GDPR) Hollandi isikuandmete kaitse üldmääruse rakendusseadus (Välistingimustes mõõdetav AVG), mis kohandab ELi nõuded Hollandi õigusega. See seadus sätestab konkreetsed sätted siseriiklike olude jaoks, säilitades samal ajal kooskõla Euroopa standarditega. See määrab Hollandi andmekaitseasutuse (Isikuandmete volitus) kui järelevalveasutus, kes vastutab jõustamise eest. Isikuandmete kaitse üldmääruse kohaselt peate teatama andmete rikkumisi järelevalveasutusele 72 tunni jooksul pärast nendest teadasaamist. Kui rikkumised kujutavad endast suurt ohtu üksikisikute õigustele ja vabadustele, peate teavitama ka mõjutatud isikuid põhjendamatu viivituseta. Need teavitamisnõuded moodustavad Madalmaades rikkumisvastutuse aluse. Verzamelwet Gegevensbescherming (Kollektiivse andmekaitse seadus) täiustab mitmesuguseid Hollandi seadusi, et need vastaksid isikuandmete kaitse üldmääruse (GDPR) standarditele. See tagab järjepidevuse eri õigusvaldkondades.Küberturvalisuse seadus ja NIS2 direktiiv
. NIS2 direktiiv laiendab oluliselt küberturvalisuse nõudeid olulistele ja olulistele üksustele kogu ELis. Madalmaad võtsid selle üle Küberveilimise märg (Hollandi küberturvalisuse seadus), mis jõustus 15. augustil 2026 koos kriitiliste üksuste vastupanuvõime seadusega (Wet weerbaarheid kritieke entiteiten). Armuaega ei ole: kohustused hakkavad kehtima alates sellest kuupäevast. Kolm kohustust on kõige olulisemad. Te peate oma organisatsiooni registreerima riiklikus üksuste registris, mida haldab Riiklik küberkaitsekeskus. Te peate võtma asjakohaseid tehnilisi ja korralduslikke meetmeid oma võrgu- ja infosüsteemide riskide haldamiseks – see on hoolsuskohustus, mida seadus pigem sõnastab kui turu hooleks jätab. Samuti peate olulisest intsidendist teatama 24 tunni jooksul pärast sellest teadasaamist, millele järgneb 72 tunni jooksul täielikum teavitus ja seejärel lõpparuanne. Madalmaades kuulub reguleerimisalasse oluliste või oluliste üksustena ligikaudu kaheksa tuhat organisatsiooni, millest paljud jäid eelmise korra reguleerimisalast täielikult välja. See, kas te kuulute reguleerimisalasse, ei ole otsus, mille teete mulje põhjal. See tuleneb seaduse sektorist ja suuruskriteeriumidest ning tarnija, kes jääb reguleerimisalast välja, saab siiski lepinguliselt kaasata kliendi poolt, kes seda ei kuulu. Küberturvalisuse seadus asendas võrgu- ja infosüsteemide turvalisuse seaduse (Wet beveiliging netwerk- en informatiesystemen, Wbni), seega viitavad viited Wbni-le vanemates lepingutes, poliitikates ja auditiaruannetes nüüd režiimile, mida enam ei eksisteeri. Kontrollige neid. Järelevalve on jaotatud sektorite kaupa, mitte koondatud ühte reguleerivasse asutusse. Hollandi Digitaalse Taristu Amet (Rijksinspectie Digitale Infrastructuur, teadus- ja arendustegevus ning innovatsioon) teostab järelevalvet digitaalse taristu, IKT-teenuste haldamise, digitaalsete pakkujate ja valitsussektori üle, samas kui teistel sektoritel on oma määratud juhendaja. Määrake enda oma enne intsidenti, mitte selle ajal.Muud asjakohased seadused ja direktiivid
. ELi e-privaatsuse direktiiv täiendab isikuandmete kaitse üldmäärust (GDPR), käsitledes elektroonilise side privaatsust. See nõuab küpsiste ja sarnaste tehnoloogiate kasutamiseks nõusolekut ning kaitseb sideandmete konfidentsiaalsust. Telekommunikatsiooniseadus (Telekommunikatsioonivaade) kehtestab telekommunikatsiooniteenuse pakkujatele konkreetsed turvakohustused, sealhulgas nõuded võrgu terviklikkuse ja kasutajaandmete kaitsmiseks. See seadus toimib koos andmekaitseseadustega, et tagada sidesektoris igakülgne kaitse. Kriitiliste üksuste vastupidavuse seadus (Wet weerbaarheid kritieke entiteiten), millega rakendatakse direktiivi (EL) 2022/2557 ja mis jõustus samal päeval kui küberturvalisuse seadus, käsitleb pigem füüsilist vastupidavust kui digitaalset turvalisust. See kohustab kriitilise tähtsusega üksusi läbi viima riskihindamise, võtma vastupidavusmeetmeid ja teatama häirivatest intsidentidest. Organisatsiooni võivad korraga hõlmata mõlemad seadused ja need kaks kohustuste komplekti ei ühine. Need raamistikud loovad kattuvaid kohustusi. Mitmes sektoris tegutsedes või erinevat tüüpi andmeid käsitledes tuleb neis orienteeruda.Valdkonnaspetsiifiline määrus
. Finantsjärelevalve seadus (Wet op het financieel toezicht) kehtestab finantsasutustele ranged küberturvalisuse ja andmekaitse nõuded. Finantssektoris tegutsedes peate rakendama tugevaid turvakontrolle, intsidentidele reageerimise protseduure ja regulaarseid testimisprotokolle. Õiguskaitseorganitele esitatakse seaduse alusel erinõuded. Politseiandmete seadus (Märg politseimeetmed) Ja Wet justitiële en strafvorderlijke gegevens (Kohtu- ja kriminaalmenetluse andmete seadus). Need seadused reguleerivad, kuidas politsei ja kohtuasutused uurimiste ja kriminaalmenetluste ajal isikuandmeid koguvad, töötlevad ja kaitsevad. Tervishoiuteenuse osutajad peavad lisaks GDPR-i standardnõuetele järgima täiendavaid privaatsuskaitsemeetmeid. See peegeldab meditsiinilise teabe tundlikku olemust. Energia-, transpordi- ja veesektoril on NIS2 rakendamisega seoses spetsiifilised kohustused koos nende tegevusriskidele vastavate kohandatud turvameetmetega. Iga sektorispetsiifiline regulatsioon kehtestab ainulaadse vastavuskoormuse. Oluline on kindlaks teha, millised seadused kehtivad teie organisatsiooni konkreetse tegevuse ja andmetöötlustoimingute suhtes.Vastutuse määramine pärast andmetega seotud rikkumist
Vastutuse määratlemine: vastutavad töötlejad, volitatud töötlejad ja kolmandad isikud
Teie vastutus pärast isikuandmete rikkumine oleneb sellest, kas tegutsed nagu andmetöötleja või volitatud töötleja. Vastutavad töötlejad otsustavad, kuidas ja miks isikuandmeid töödeldakse, mistõttu vastutavad turvaintsidentide eest peamiselt nemad. Volitatud töötlejad töötlevad andmeid vastutavate töötlejate nimel ja kannavad vastutust, kui nad ületavad juhiseid või ei rakenda piisavaid turvameetmeid. Kolmandatel isikutel, näiteks digitaalsete teenuste pakkujatel, on eraldi vastutus. Kui kasutate väliseid tarnijaid, jääte vastutavaks nende tegevuse eest, kui nad töötlevad andmeid teie nimel. Teie lepingutes peavad olema sätestatud turvanõuded ja intsidentide käsitlemise protseduurid. Kui tegemist on mitme osapoolega, saab vastutust jagada. Kui nii teie kui ka teie volitatud töötleja ei ole rakendanud tehnilisi ja korralduslikke meetmeid, võidakse teile mõlemale määrata karistusi Autoriteit Persoonsgegevensilt. Järelevalveasutus uurib iga osapoole rolli rikkumises, et määrata vastutus.Järelevalveasutused ja regulatiivsed rollid
Autoriteit Persoonsgegevens on Hollandi andmekaitseasutus, mis vastutab isikuandmete kaitse üldmääruse (GDPR) järgimise tagamise eest. Te peate isikuandmete rikkumistest teatama sellele järelevalveasutusele 72 tunni jooksul alates intsidendi teadasaamisest. Intsidentide teatamise tähtaegade mittetäitmine suurendab teie vastutust. Riiklik küberturvalisuse keskus (NCSC) tegeleb laiema... küberturvalisuse ohud mis mõjutavad oluliste teenuste operaatoreid. Kui pakute kriitilist taristut või digiteenuseid, peate olulistest turvaintsidentidest teatama ka NCSC-le. Need aruanded aitavad koordineerida riiklikke reageeringuid küberohtudele. Mõlemad asutused viivad pärast turvaintsidente läbi uurimisi. Autoriteit Persoonsgegevens võib määrata trahve kuni 20 miljonit eurot või 4% teie aastasest ülemaailmsest käibest, olenevalt sellest, kumb on suurem. Nad võtavad arvesse selliseid tegureid nagu rikkumise iseloom, mõjutatud isikute arv ja teie reageerimismeetmed. ENISA suunised mõjutavad seda, kuidas Hollandi ametiasutused hindavad teie vastavust küberturvalisuse nõuetele.Korralduslikud ja tehnilised meetmed
Teie rakendatud tehnilised ja korralduslikud meetmed mõjutavad otseselt vastutuse kindlaksmääramist. Nende meetmete hulka kuuluvad krüpteerimine, juurdepääsu kontroll, regulaarne turvatestimine ja töötajate koolitamine. Kohtud ja järelevalveasutus hindavad, kas teie turvalisus oli kaasnevate riskide jaoks asjakohane. Te peate dokumenteerima oma turvameetmed ja näitama üles äritegevuse järjepidevuse planeerimist. Kui te ei suuda tõestada piisavaid ettevaatusabinõusid, suureneb vastutus oluliselt. Regulaarsed riskihindamised aitavad teil tuvastada haavatavusi enne rikkumiste toimumist. Intsidentide käsitlemise protseduurid on üliolulised. Teil on vaja selgeid protokolle isikuandmete rikkumiste avastamiseks, uurimiseks ja neile reageerimiseks. Teie reageerimisaeg ja turvaintsidentide ohjeldamise tõhusus mõjutavad karistusotsuseid. Autoriteit Personsgegevens eeldab, et säilitate tõendeid oma turvaraamistiku kohta. Ilma nõuetekohase dokumentatsioonita on mõistliku hoolsuse tõendamine uurimise ajal keeruline.Tarneahel ja teenusepakkujad
Tarneahela turvalisus tekitab keerulisi vastutusküsimusi. Isegi kui teie teenusepakkujad kogevad teie andmeid mõjutavaid rikkumisi, võite ikkagi tagajärgedega silmitsi seista. Peate tarnijate suhtes rakendama hoolsuskohustust ja pidevalt jälgima nende turvapraktikaid. Oluliste teenuste operaatoritele esitatakse tarnijate haldamisel rangemad nõuded. Peate tagama, et teie tarneahela digitaalsete teenuste pakkujad järgivad teie enda kohustustele vastavaid standardeid. Lepingulistes kokkulepetes tuleks selgelt määratleda intsidentidest teatamise kohustused ja vastutuse jaotus. Kui rikkumine pärineb teie tarneahelast, uurib Autoriteit Persoonsgegevens, kas olete teinud piisavaid tarnijate hindamisi. Teie vastutus sõltub sellest, kas olete võtnud mõistlikke meetmeid tarnija turvalisuse kontrollimiseks. Te ei saa vastutust täielikult delegeerida isegi kolmandate osapoolte töötlejate kasutamisel. Mitmetasandilised tarneahelad nõuavad erilist valvsust. Teil on vaja nähtavust alltöötlejate ja nende turvameetmete osas, et kaitsta end kaskaadsete tõrgete eest, mis kahjustavad isikuandmeid mitmes organisatsioonis.Andmetega seotud rikkumisest teatamise kohustused
Holland rakendab mitmekihilist teavitamisraamistikku vastavalt isikuandmete kaitse üldmäärusele ja riiklikele küberturvalisuse seadustele. Vastutavad töötlejad peavad rikkumistest teatama Hollandi andmekaitseasutusele (AP) 72 tunni jooksul, kui on oht andmesubjekti õigused. Kõrge riskiga rikkumised nõuavad mõjutatud isikute otsest teavitamist.Ajagraafikud ja menetlusnõuded
Te peate AP-d teavitama põhjendamatu viivituseta ja võimaluse korral hiljemalt 72 tunni jooksul pärast isikuandmete rikkumisest teadasaamist. See kohustus kehtib välja arvatud juhul, kui rikkumine tõenäoliselt ei kujuta endast ohtu füüsiliste isikute õigustele ja vabadustele. Teade peab võimaluse korral sisaldama konkreetset teavet. Peate esitama asjaomaste andmesubjektide kategooriad ja ligikaudse arvu, mõjutatud isikuandmete kirjete kategooriad ja ligikaudse arvu ning oma andmekaitseametniku või muu kontaktpunkti nime. Samuti peate kirjeldama rikkumise tõenäolisi tagajärgi ja selle lahendamiseks võetud või kavandatud meetmeid. Kui te ei saa kogu nõutavat teavet 72 tunni jooksul esitada, võite selle esitada etappidena. Esialgses teates peate selgitama viivituse põhjuseid.Keda ja millal tuleb teavitada
Kui isikuandmete rikkumine võib tõenäoliselt kaasa tuua suure ohu nende õigustele ja vabadustele, peate mõjutatud andmesubjekte otse teavitama. See teavitamine peab toimuma põhjendamatu viivituseta ning selges ja lihtsas keeles. Andmesubjektide otsest teavitamist ei ole vaja kolmel konkreetsel juhul. Te ei pea teavitama, kui olete rakendanud asjakohaseid tehnilisi ja korralduslikke kaitsemeetmeid (nt krüpteerimine), mis muudavad andmed volitamata isikutele loetamatuks. Samuti ei pea te teavitama, kui olete võtnud edasisi meetmeid, et tagada, et andmesubjekti õigustele avalduv suur oht tõenäoliselt enam ei realiseeru, või kui otsene teavitamine nõuaks ebaproportsionaalselt suuri pingutusi. Sellistel juhtudel on vaja avalikku teavitamist või sarnaseid meetmeid. Andmesubjektide teavitamise kohustusest ei ole sektoripõhist erandit; vana isikuandmete kaitse seaduse alusel finantsettevõtetele kehtinud erand ei jäänud isikuandmete kaitse üldmääruse kehtivusaja lõppedes kehtima. Volitatud töötlejatel on selged kohustused. Te peate vastutavat töötlejat teavitama põhjendamatu viivituseta pärast mis tahes isikuandmete rikkumisest teadasaamist, olenemata riskitasemest. See on nii isikuandmete kaitse üldmääruse kohaselt seadusjärgne nõue kui ka see peaks olema lisatud teie töötlemislepingusse.Valdkondlikud ja riiklikud teavitamisnõuded
Lisaks isikuandmete kaitse üldmääruse (GDPR) kohustustele võite olenevalt sektorist silmitsi seista täiendavate aruandlusnõuetega. Küberturvalisuse seadus nõuab, et olulised ja olulised üksused teataksid olulisest intsidendist oma sektori järelevalveasutusele ja CSIRT-ile 24 tunni jooksul ning põhjalikuma teavituse esitamist 72 tunni jooksul, isegi kui isikuandmeid üldse ei puudutatud. Avalike elektrooniliste sidevõrkude pakkujad annavad aru Hollandi digitaalse taristu ametile (RDI), mis teostab järelevalvet digitaalse taristu sektori üle. Tervishoiuorganisatsioonidel on kohustus teavitada tervise- ja noortehoiu inspektsiooni meditsiiniseadmete ohutust või patsiendiandmeid mõjutavatest intsidentidest. Finantsteenuste ettevõtted peavad järgima finantsjärelevalve õigusaktide kohaseid sektoripõhiseid nõudeid. Kriitilisteks üksusteks määratud üksustel on kohustusi ka kriitiliste üksuste vastupidavuse seaduse alusel. Olulistest intsidentidest, mis võivad olulisi teenuseid oluliselt häirida, peate teatama arvutiturbe intsidentidele reageerimise meeskonnale (CSIRT). Avalikud ettevõtted võivad olla sunnitud teatama turvaintsidentidest, mis võivad oluliselt mõjutada investorite otsuseid. Need sektoripõhised nõuded toimivad sageli koos isikuandmete kaitse üldmääruse (GDPR) kohustustega, mitte ei asenda neid. Sõltuvalt teie organisatsiooni tegevusest ja rikkumise olemusest peate võib-olla ühe intsidendi kohta esitama mitu teatist erinevatele asutustele.Jõustamine ja sanktsioonid
Hollandi ametivõimudel on selged volitused küberturvalisuse puuduste uurimiseks ja märkimisväärsete rahaliste karistuste määramiseks organisatsioonidele, kes ei kaitse isikuandmeid või ei täida turvanõudeid. Jõustamisraamistik hõlmab mitut reguleerivat asutust, kellel on konkreetsed järelevalvekohustused, struktureeritud karistusskeemid ja määratletud apellatsioonimenetlused organisatsioonidele, kellele määratakse sanktsioone.Uurimis- ja järelevalvevolitused
Hollandi andmekaitseamet (Autoriteit Persoonsgegevens ehk AP) kannab peamist vastutust andmetega seotud rikkumiste ja isikuandmete kaitse üldmääruse (GDPR) rikkumiste uurimise eest. AP võib algatada uurimisi kaebuste, meediakajastuse või rutiinsete auditite põhjal. Uurimiste käigus võib amet nõuda dokumente, läbi viia kohapealseid kontrolle ja intervjueerida töötajaid. Uue Cyberbeveiligingswet'i kohaste küberturvalisuse kohustuste täitmise järelevalvet teostavad sektoripõhised reguleerivad asutused. Hollandi digitaalse taristu amet (RDI) teostab järelevalvet digitaalse taristu, IKT-teenuste haldamise, digitaalsete pakkujate ja valitsussektori üle. Hollandi keskpank (DNB) teostab järelevalvet finantsasutuste üle. Teistel sektoritel on oma määratud järelevalveasutus, mille jõustamisvolitused kuuluvad vastutavale ministrile või ministri nimel tegutsevale inspektsioonile. Need reguleerivad asutused saavad auditeerida teie süsteeme, vaadata läbi intsidentidele reageerimise protseduure ja hinnata, kas teie riskijuhtimine vastab seaduslikele standarditele. Samuti võivad nad rikkumiste tuvastamise korral teie organisatsioonilt jõustamiskulud sisse nõuda. Riiklik küberturvalisuse keskus (NCSC) koordineerib reguleerivate asutuste vahelist tegevust, kuid ei määra otse karistusi.Haldus- ja rahalised karistused
Rahatrahvid varieeruvad sõltuvalt õigusraamistikust ja rikkumiste raskusastmest. Isikuandmete kaitse üldmääruse (GDPR) jõustamise kohaselt võib AP määrata trahve kuni 20 miljonit eurot või 4% teie aastasest ülemaailmsest käibest, olenevalt sellest, kumb on suurem. Asutus võtab arvesse selliseid tegureid nagu rikkumise laad, mõjutatud isikute arv ja teie koostöö uurimise ajal. Küberkuritegevuse seaduse (Cyberbeveiligingswet) kohaselt järgivad karistused astmelist struktuuri:| Üksuste klassifikatsioon | Maksimaalne trahv | Käibe alternatiiv |
|---|---|---|
| Olulised üksused (EE) | € 10 miljonit | 2% globaalne käive |
| Üldised üksused (BE) | € 7 miljonit | 1.4% globaalne käive |
Õiguskaitse ja apellatsioonid
Teil on õigus vaidlustada täitemenetluse otsuseid, kasutades järgmist: halduskaebusedPärast trahviteate saamist saate esitada väljastavale asutusele vastuväite (bezwaar) kuue nädala jooksul. Reguleeriv asutus peab oma otsuse uuesti läbi vaatama ja andma ametliku vastuse. Kui te ei nõustu uuesti läbivaatamise tulemusega, võite esitada apellatsiooni ringkonnakohtule (rechtbank). Kohus kontrollib, kas reguleeriv asutus järgis nõuetekohast menetlust ja kohaldas seadust õigesti. Seejärel võite apellatsioonikohtu otsused Riiginõukogu halduskohtualluvuse osakonnale (Afdeling bestuursrechtspraak van de Raad van State), kus otsus tehti isikuandmete kaitse üldmääruse rakendusseaduse alusel. See, milline apellatsioonikohus on pädev, sõltub seadusest, mille alusel otsus tehti, seega tehke see kindlaks enne kuue nädala pikkuse perioodi möödumist. Apellatsiooniprotsessi vältel peate jätkama reguleerivate asutuste määratud parandusmeetmete rakendamist. Kohtud võivad rahaliste karistuste määramise kuni apellatsiooni tulemuste selgumiseni peatada, kuid see ei ole automaatne.Küberturvalisuse haldamise peamised rollid ja vastutusvaldkonnad
Organisatsioonid peavad selgelt määratlema, kes haldab küberturvalisuse ülesandeid, alates andmekaitseametnike määramisest kuni juhatuse tasandil vastutuse kehtestamise ja töötajate koolitamiseni turvaprotokollide osas.Andmekaitseametnikud
Kui teie organisatsioon töötleb tundlikke isikuandmeid ulatuslikult või jälgib üksikisikuid süstemaatiliselt, peate määrama andmekaitseametniku. Andmekaitseametnik on teie peamine kontaktpunkt andmekaitseasutuste ja andmesubjektide jaoks. Teie andmekaitseametnikul peab olema andmekaitseõiguse ja infoturbe tavade alal erikvalifikatsioon. Ta peab aru andma otse teie kõrgeimale juhtimistasandile ja teda ei saa oma ülesannete täitmise pärast vallandada. Rolli hulka kuulub isikuandmete kaitse üldmääruse (GDPR) järgimise jälgimine, andmekaitse mõjuhinnangute tegemine ning krüpteerimis- ja krüptograafianõuete nõustamine. Andmekaitseametniku kohustused tuleks selgelt dokumenteerida. See hõlmab tema volitusi auditeerida teie digitaalset infrastruktuuri ja vaadata läbi teie intsidentidele reageerimise plaan. Kui tegutsete mitmes ELi riigis, saate määrata ühe andmekaitseametniku, tuginedes tema professionaalsetele omadustele ja asjakohaste jurisdiktsioonide tundmisele.Ühingu juhtimine ja vastutus
Teie juhatusel on küberturvalisuse riskijuhtimise eest lõplik vastutus. Nad peavad heaks kiitma turvameetmed, eraldama piisavalt ressursse ja tagama küberturvalisuse jõupingutuste nõuetekohase järelevalve. Juhtkonna vastutus hõlmab järgmist:- Turvapoliitikate kinnitamine infoturbe raamistike jaoks
- Riskianalüüside järelevalve ja operatiivse vastupidavuse planeerimine
- Auditi nõuetele vastavuse tagamine sõltumatute arvustuste kaudu
- Eelarvete eraldamine küberturvalisuse haldamise ja töötajate koolitus
Sise-eeskirjad ja töötajate koolitus
Peate looma dokumenteeritud poliitikad, mis määratlevad turvarollid kogu teie organisatsioonis. Need poliitikad peaksid täpsustama andmekaitse, intsidentidele reageerimise ja küberturvalisuse säilitamise kohustused. Teie turvapoliitikad peavad hõlmama järgmist:- Juurdepääsu kontroll ja autentimisnõuded
- Andmete klassifitseerimise ja krüpteerimise standardid
- Juhtumite teatamise protseduurid
- Regulaarne turvateadlikkuse koolitus
Küberturvalisuse intsidentide tüübid ja tekkivad ohud
Küberturvalisuse intsidendid ulatuvad petlikest meilidest kuni ulatuslike võrgukatkestusteni, mis võivad kahjustada terveid organisatsioone. Nende ohtude mõistmine aitab teil tuvastada haavatavusi ja määrata kindlaks, kes rikkumise korral vastutuse kannab.Andmepüük, pahavara ja lunavara
Phishing on endiselt üks levinumaid küberturvalisuse ohte, millega kokku puutute. Ründajad saadavad e-kirju või sõnumeid, mis teesklevad end olevat seaduslikelt ettevõtetelt, et varastada teie paroole, finantsteavet või muid tundlikke andmeid. Andmepüük on ka suure osa järgnevate lunavarajuhtumite sisenemispunkt, mistõttu käsitleb järelevalveasutus edukat andmepüügirünnakut pigem tõendina teie kontrollide kohta kui halva õnnena. malware viitab kahjulikule tarkvarale, mis kahjustab teie arvutisüsteeme või võrke. See hõlmab viiruseid, troojalasi ja muud pahatahtlikku koodi, mis on loodud teie andmetele juurdepääsuks või teie tegevuse häirimiseks. väljapressimisvaraga on teatud tüüpi pahavara, mis blokeerib juurdepääsu teie failidele ja nõuab taastamise eest tasu. Isegi kui maksate lunaraha, pole mingit garantiid, et ründajad taastavad teie juurdepääsu või kustutavad varastatud andmed. Maksmine tekitab ka omaette õiguslikke küsimusi, sealhulgas saaja sanktsioonide kontrollimise ning makse raamatupidamise ja avalikustamise kohta.Teenusetõkestusrünnakud ja hajutatud teenusetõkestusrünnakud
DoS-rünnakud Üle koormata oma süsteeme liiklusega, et muuta teenused õigustatud kasutajatele kättesaamatuks. Üks allikas uputab teie võrgu päringutega üle, kuni see kokku jookseb või muutub toimimiseks liiga aeglaseks. DDoS rünnakud Kasutage mitut ohustatud süsteemi, et algatada oma infrastruktuuri vastu koordineeritud rünnakuid. Neid hajutatud rünnakuid on raskem peatada, kuna need tulevad mitmest asukohast samaaegselt. DDoS-rünnakud võivad häirida kriitilisi teenuseid, alates valitsuse veebisaitidest kuni erasektori tegevuseni. Ajavahemik avastamise ja materiaalse kahju tekitamise vahel on lühike ning küberturvalisuse seaduse kohane teavituskell algab 24 tunnist. See lühike ajavahemik muudab kiire reageerimise DoS- või DDoS-rünnakute korral hädavajalikuks.Pettus ja volitamata juurdepääs
Pettus Küberturvalisuse valdkonnas hõlmab see pettusi, mille eesmärk on saada volitamata juurdepääs teie süsteemidele või andmetele. See hõlmab identiteedivargust, maksepettust ja volituste ohtu seadmist. Volitamata juurdepääs toimub siis, kui keegi rikub teie turvapoliitikaid, et pääseda juurde võrkudele, süsteemidele või andmetele ilma loata. See võib juhtuda järgmiselt:- Varastatud sisselogimismandaadid
- Kasutatud tarkvara haavatavused
- Turvakontrollidest mööda hiilimine
- Praeguste või endiste töötajate siseringiohud
Sektori ja tarneahela haavatavused
Kriitilise infrastruktuuri sektorid seisavad silmitsi suurenenud küberkuritegevuse riskidega, kusjuures peamisteks sihtmärkideks on tervishoid, energeetika ja finantsteenused. Professionaalsete teenuste ettevõtted on korduv sihtmärk just seetõttu, et neil on kontsentreeritud kliendiandmed. Tarneahela turvalisus on muutunud üha olulisemaks, kuna ründajad sihivad teie partnereid ja kolmandate osapoolte tarnijaid, selle asemel et teid otse rünnata. Need kolmandate osapoolte tarnijate rünnakud kasutavad teie partnerorganisatsioonide nõrgemaid turvameetmeid ära, et pääseda juurde teie klientide andmetele. Tarneahela haavatavused võimaldavad ründajatel ühe rikkumise kaudu ohtu seada mitu organisatsiooni. Kui teie tarnija süsteemid ühenduvad teie omaga, muutuvad nende turvanõrkused teie enda turvanõrkusteks. See omavahel seotud risk tähendab, et peate hindama mitte ainult oma küberturvalisuse meetmeid, vaid ka iga teie tarneahela organisatsiooni omi. Rahvusriigid testivad ja tungivad üha enam konkureerivatesse küberruumidesse, tegutsedes sageli eraettevõtete varjus, tegutsedes samal ajal valitsuste nimel.Korduma kippuvad küsimused
Hollandi ettevõtted peavad pärast andmetega seotud rikkumist järgima rangeid aruandlusnõudeid ja vastavusstandardeid, kusjuures vastutus laieneb mitmele osapoolele olenevalt nende rollist ja vastutusest. Nende kohustuste mõistmine aitab organisatsioonidel kaitsta ennast ja mõjutatud isikuid, järgides samal ajal riiklikke ja Euroopa eeskirju.Millised on Hollandi ettevõtete juriidilised kohustused pärast andmetega seotud rikkumist?
Teie organisatsioon peab andmetega seotud rikkumisest teada saamisest 72 tunni jooksul teavitama Hollandi andmekaitseasutust (Autoriteit Persoonsgegevens).
See nõue kehtib isikuandmete kaitse üldmääruse (GDPR) alusel, mis reguleerib andmekaitset kogu Hollandis.
Rikkumisteates peate esitama konkreetse teabe.
See hõlmab rikkumise olemust, mõjutatud isikute arvu, võimalikke tagajärgi ja meetmeid, mida olete võtnud või kavatsete võtta.
Kui te ei saa kõiki andmeid 72 tunni jooksul esitada, peate viivituse põhjust selgitama ja ülejäänud teabe esitama nii kiiresti kui võimalik.
Kui rikkumine kujutab endast suurt ohtu üksikisikute õigustele ja vabadustele, peate sellest teavitama ka otse mõjutatud isikuid.
Te ei saa selle teavitusega viivitada ilma mõjuva põhjuseta.
Teie suhtlus mõjutatud isikutega peaks olema selge ja selgitama rikkumise tõenäolisi tagajärgi ning samme, mida nad saavad enda kaitsmiseks astuda.
Te peate säilitama üksikasjaliku dokumentatsiooni kõigi andmetega seotud rikkumiste kohta, olenemata sellest, kas te neist ametivõimudele teatate.
See dokumentatsioon peaks sisaldama rikkumisega seotud fakte, selle tagajärgi ja võetud parandusmeetmeid.
Hollandi andmekaitseamet võib neid dokumente kontrollide või uurimiste käigus nõuda.
Kuidas määratakse Hollandi õiguse kohaselt vastutus andmetega seotud rikkumiste eest?
Vastutus andmetega seotud rikkumiste eest Hollandis sõltub teie rollist kas andmetöötlejana või andmetöötlejana.
Andmetöötlejad määravad isikuandmete töötlemise eesmärgid ja vahendid, samas kui andmetöötlejad töötlevad andmeid vastutavate töötlejate nimel.
Teie juriidilised kohustused erinevad selle klassifikatsiooni põhjal.
Andmetöötlejana kannate esmast vastutust andmekaitse-eeskirjade järgimise tagamise eest.
Te peate rakendama isikuandmete kaitsmiseks asjakohaseid tehnilisi ja korralduslikke meetmeid.
Kohtud hindavad, kas astusite rikkumise ärahoidmiseks mõistlikke samme ja kas tegutsesite oma turvapraktikates hooletult.
Andmetöötlejad võivad vastutada ka siis, kui nad ei järgi vastutava töötleja juhiseid või rikuvad oma lepingulisi kohustusi.
Volitatud töötlejatel on aga tavaliselt piiratum vastutus kui vastutavatel töötlejatel.
Kui töötlete andmeid ilma vastutava töötleja nõuetekohase loata või ei rakenda kokkulepitud turvameetmeid, võidakse teid otseselt vastutavaks pidada.
Hollandi kohtud arvestavad vastutuse kindlaksmääramisel mitmete teguritega.
Nende hulka kuuluvad rikkumise tõsidus, ohustatud andmete tundlikkus, teie turvameetmed enne rikkumist ja teie reageering pärast intsidendi avastamist.
Teie organisatsiooni suurus ja ressursid mõjutavad samuti seda, milliseid turvameetmeid kohtud mõistlikeks peavad.
Ühine vastutus võib tekkida siis, kui andmetega seotud rikkumisele on kaasa aidanud mitu osapoolt.
Kui jagate vastutust teiste vastutavate töötlejate või volitatud töötlejatega, võivad kohtud iga poole kogu kahju eest vastutavaks pidada.
Seejärel saate nõuda hüvitist teistelt vastutavatelt osapooltelt vastavalt nende vastavale panusele rikkumisse.
Milliseid osapooli saab Madalmaades andmeturbeintsidentide eest vastutavaks pidada?
Andmeturbeintsidentide eest vastutavad peamiselt andmekontrolörid.
Vastutava töötlejana langetate otsuseid isikuandmete töötlemise kohta ja peate tagama asjakohaste turvameetmete olemasolu.
Teie organisatsioonile võidakse rikkumise korral määrata haldustrahve, tsiviilvastutust ja mainekahju.
Andmetöötlejaid saab vastutusele võtta, kui nad ei täida oma lepingulisi ja seadusest tulenevaid kohustusi.
Kui töötlete andmeid vastutava töötleja nimel, peate rakendama oma lepingus täpsustatud turvameetmeid ja järgima vastutava töötleja seaduslikke juhiseid.
Teil lasub otsene vastutus, kui te ületate oma volitusi või ei taga piisavat turvalisust.
Teie organisatsiooni direktorid ja ametnikud võivad teatud asjaoludel isiklikult vastutada.
NIS2 direktiivi rakendamise kohaselt Madalmaades saab juhtkonda pidada isiklikult vastutavaks küberturvalisuse juhtimise puuduste eest.
See hõlmab võimalikku direktorina tegutsemisest diskvalifitseerimist tõsiste rikkumiste korral.
Turvaintsidentide eest võivad vastutada ka kolmanda osapoole teenusepakkujad.
Kui tuginete pilveteenustele , IT-toele või muudele välistele pakkujatele, võivad nad jagada vastutust, kui nende vead aitavad kaasa rikkumisele.
Teie lepingud nende pakkujatega peaksid selgelt määratlema turvakohustused ja vastutuse tingimused.
Peamine jõustamisasutus on Hollandi andmekaitseamet.
Kuigi amet ei vastuta rikkumiste eest otseselt, uurib ta intsidente, annab välja parandusmeetmeid ja määrab nõuetele mittevastavatele organisatsioonidele haldustrahve.
Millised tagajärjed võivad organisatsioonidele tekkida Hollandi andmekaitse-eeskirjade mittejärgimise korral?
Teie organisatsioonile võidakse määrata haldustrahv kuni 20 miljonit eurot või 4% teie ülemaailmsest aastakäibest, olenevalt sellest, kumb summa on suurem. Hollandi andmekaitseamet määrab trahvisummad rikkumise laadi, raskusastme, kestuse ja teie koostöö põhjal uurimise ajal.
Lisaks rahalistele karistustele võib amet kehtestada parandusmeetmeid, mis häirivad teie tegevust. Nende meetmete hulka kuuluvad ajutised andmetöötlustegevuse piiramised, korraldus konkreetsete rikkumiste kõrvaldamiseks ja kohustuslikud auditid.
Teil võib tekkida vajadus teatud äritegevused peatada, kuni olete vastavuse tõendanud. Teie organisatsiooni maine võib nõuetele mittevastavuse korral oluliselt kahjustuda.
Andmetega seotud rikkumiste ja regulatiivsete karistuste avalikustamine võib õõnestada klientide usaldust ja kahjustada ärisuhteid. Hollandi andmekaitseamet avaldab täiteotsuseid, mis jäävad avalikkusele ja meediale kättesaadavaks.
Mõjutatud isikud võivad esitada teile tsiviilhagi kahju hüvitamise nõudmisega. Üksikisikud saavad nõuda andmekaitse rikkumistest tuleneva materiaalse ja mittemateriaalse kahju hüvitamist.
Hollandi kohtud on üha enam tunnustanud isikuandmete üle kontrolli kaotamise ja kahju hüvitamise nõudeid isegi ilma otsese rahalise kahjuta. Teie ärivõimalused võivad pärast tõsiseid rikkumisi olla piiratud.
Mõned sektorid nõuavad lepingute haldamiseks turvasertifikaate või vastavusdokumente, eriti valitsusasutuste või reguleeritud tööstusharudega suhtlemisel.
Kuidas saavad mõjutatud isikud Hollandis pärast andmetega seotud rikkumist hüvitist taotleda?
Kui arvate, et organisatsioon on rikkunud teie andmekaitseõigusi, võite esitada kaebuse Hollandi andmekaitseasutusele. Andmekaitseasutus uurib kaebusi ja võib võtta eeskirju rikkuvate organisatsioonide vastu jõustamismeetmeid.
See protsess ei maksa teile midagi ega nõua õigusabi. Teil on õigus algatada vastutava organisatsiooni vastu tsiviilhagi.
Hollandi seadus lubab teil nõuda hüvitist nii varalise kui ka mittevaralise kahju eest, mis on tekkinud andmekaitse rikkumise tagajärjel. Varaline kahju hõlmab rahalist kahju, mittevaraline kahju aga stressi, ärevust ja kontrolli kaotust oma isikuandmete üle.
Hollandi advokaadid ei pruugi üldiselt töötada põhimõttel „ravi ei toimu ega maksta“, kuid subsideeritud õigusabi on saadaval, kui vastate õigusabi nõukogu kehtestatud sissetuleku- ja kapitalikriteeriumidele.
Masskahjude hüvitamise seaduse ( WAMCA ) alusel esitatavad kollektiivhagid võimaldavad sihtasutusel või ühingul esitada nõude kindlaksmääratud grupi nimel ning mitu sellist andmelekkega seotud hagi on juba Hollandi kohtutes menetluses. Teil on võimalik taotleda hüvitist otse organisatsioonilt ilma kohtusse pöördumata.
Paljud organisatsioonid eelistavad kohtukulude ja negatiivse reklaami vältimiseks vaidlusi eraviisiliselt lahendada. Teie läbirääkimispositsioon tugevneb, kui organisatsioon rikkus selgelt andmekaitse-eeskirju või kui rikkumine põhjustas olulist kahju.
Samuti võite esitada nõudeid andmetöötlejate vastu, kui nemad vastutavad rikkumise eest. GDPR-i kohaselt saab nii vastutavaid töötlejaid kui ka volitatud töötlejaid kahjude eest vastutavaks pidada.
Kui rikkumisele kaasa aitas mitu osapoolt, võite nõuda kogu summat ükskõik milliselt vastutavalt osapoolelt.
Kuidas mõjutab isikuandmete kaitse üldmäärus Madalmaades tegutsevate üksuste vastutust ja ülesandeid andmetega seotud rikkumise korral?
Isikuandmete kaitse üldmäärus (GDPR) kehtestab organisatsioonidele selged kohustused isikuandmete kaitse osas.
Üksused peavad andmete turvalisuse tagamiseks rakendama asjakohaseid tehnilisi ja korralduslikke meetmeid.
Andmetega seotud rikkumise korral on organisatsioonid kohustatud sellest 72 tunni jooksul teavitama asjakohast järelevalveasutust.
Kui rikkumine kujutab endast suurt ohtu üksikisikute õigustele ja vabadustele, tuleb sellest teavitada ka mõjutatud üksikisikuid.
Nende nõuete eiramine võib kaasa tuua märkimisväärseid trahve ja kahju organisatsiooni mainele.
Nii andmetöötlejatel kui ka volitatud töötlejatel on GDPR-i kohaselt erinevad kohustused ning lepingutes tuleb need rollid selgelt määratleda.
Kuidas Law & More saab teid sellega aidata, on selgitatud meie lehel IT-jurist lehel.
