Kibernetinio saugumo įsipareigojimai: ko reikalauja BDAR ir Kibernetinio saugumo įstatymas

Kiekviena Nyderlandų įmonė, tvarkanti asmens duomenis, privalo juos apsaugoti pagal BDAR 32 straipsnį ir per 72 valandas pranešti apie duomenų saugumo pažeidimą Nyderlandų duomenų apsaugos institucijai (Autoriteit Persoonsgegevens, AP) pagal BDAR 33 straipsnį. Be to, nuo 2026 m. rugpjūčio 15 d. daugiau nei 8,000 esminių ir svarbių organizacijų taip pat privalo laikytis Kibernetinio saugumo įstatymo (Cyberbeveiligingswet, Cbw), kuris yra ES NIS2 direktyvos įgyvendinimo Nyderlanduose įstatymas; bankai ir kiti finansų subjektai šiais klausimais vadovaujasi DORA.

Ko reikalauja BDAR duomenų saugumui?

Tinkamos techninės ir organizacinės priemonės, įvertintos atsižvelgiant į naujausius technologijų pasiekimus, įgyvendinimo sąnaudas ir riziką atitinkamiems asmenims (BDAR 32 straipsnis). Tai, kas tinka dviejų asmenų praktikai, skiriasi nuo to, ko reikia įmonei, tvarkančiai sveikatos duomenis dideliu mastu; standartas kyla kartu su rizika.

AP tikisi pamatyti nereikšmingas priemones: prieigos kontrolę ir daugiafaktorinį autentifikavimą, įrenginių ir atsarginių kopijų šifravimą, pataisymų diegimą, registravimą ir patikrintą atkūrimo procedūrą. Tai, kas padeda atlaikyti patikrinimą, yra tai, kad šios priemonės buvo dokumentuotos ir peržiūrėtos dar prieš įvykstant jokiems gedimams.

Kada reikia pranešti apie duomenų saugumo pažeidimą?

Per 72 valandas nuo sužinojimo apie pažeidimą AP, nebent pažeidimas neturėtų kelti pavojaus nukentėjusiems asmenims (BDAR 33 straipsnis). Kai jiems kyla didelė rizika, taip pat turite nedelsdami informuoti tuos asmenis (BDAR 34 straipsnis).

Laikrodis skaičiuojamas nuo informuotumo apie incidentą, o ne nuo atlikto tyrimo, todėl incidento procedūra (kas nusprendžia, kas iškviečiamas, kas įrašoma) yra vertingesnė nei bet kokia techninė kontrolė. Pagal BDAR 33(5) straipsnį, privalote užregistruoti kiekvieną pažeidimą viduje, įskaitant ir tuos, apie kuriuos nepranešate, ir pagrįsti tokį sprendimą.

Ką prideda „Cyberbeveiligingswet“?

Registracija, rūpestingumo ir incidentų pranešimo pareiga organizacijoms 18 sektorių, tokių kaip energetika, transportas, sveikatos apsauga, skaitmeninė infrastruktūra ir viešasis administravimas. 2026 m. rugpjūčio 15 d. įsigaliojo Kritinių subjektų atsparumo įstatymas (sl. Wet weerbaarheid kritieke entiteiten) ir Įstatymas dėl kritinių subjektų atsparumo įsigaliojo 2026 m. rugpjūčio 15 d. Organizacijos, kurioms taikomas šis įstatymas, privalo užsiregistruoti Nacionaliniame kibernetinio saugumo centre (NCSC), imtis rizikos valdymo priemonių ir pranešti apie reikšmingus incidentus CSIRT ir savo sektoriaus priežiūros institucijai per įstatymų nustatytus laikotarpius.

Valdančioji taryba privalo patvirtinti ir prižiūrėti šias priemones ir turėti pakankamai žinių, įskaitant mokymus; ji negali tiesiog deleguoti šios užduoties IT skyriui. Per kelias dienas nuo įsigaliojimo užsiregistravo tik apie 3,200 iš daugiau nei 8,000 organizacijų, todėl patikrinkite savo registraciją dabar, jei galite patekti į taikymo sritį.

Kaip tai pasiekia organizacijas, nepatenkančias į Cbw taikymo sritį?

Per sutartis. Didesni klientai vis dažniau taiko saugumo reikalavimus, audito teises ir pranešimų apie pažeidimus laikotarpius, o duomenų tvarkymo sutartis pagal BDAR 28 straipsnį yra privaloma, kai tvarkote asmens duomenis kito asmens vardu. Daugelis Nyderlandų įmonių pirmiausia laikosi šių standartų, nes to reikalavo klientas, kuriam taikomas Cbw.

Kas gali pateikti ieškinį po incidento?

AP, kuri pagal BDAR 83 straipsnį gali skirti baudą iki 20 mln. EUR arba 4 % pasaulinės apyvartos; asmenys, kurie gali reikalauti kompensacijos pagal BDAR 82 straipsnį; klientai pagal sutartį; ir grupės, pateikdamos kolektyvinius ieškinius pagal WAMCA. Ar jūsų draudimas išmokės kompensaciją, priklauso nuo poliso formuluotės ir nuo to, ar galite įrodyti, kad sutartos priemonės buvo taikomos.

Ką turėtumėte patikrinti kaip organizacija, patenkanti į Cbw taikymo sritį?

• Ar esate užsiregistravęs NCSC?
• Ar valdyba patvirtino rizikos valdymo priemones ir baigė mokymus?
• Ar žinote savo sektoriaus reikšmingo incidento ribas ir kam apie tai pranešate?
• Ar jūsų tiekėjų sutartys numato saugumo ir pranešimo pareigas?
• Ar taip pat galite pranešti apie asmens duomenų saugumo pažeidimą AP per 72 valandas?

Į ką turėtumėte atkreipti dėmesį būdami tokių organizacijų tiekėjais?

• Kokius saugumo reikalavimus ir audito teises nustato jūsų kliento sutartis?
• Kaip greitai turite informuoti klientą apie incidentą?
• Ar yra sudaryta duomenų tvarkymo sutartis pagal BDAR 28 straipsnį, kai tvarkote asmens duomenis?
• Ar jūsų atsakomybė už įvykį yra apribota ir ar jūsų draudimas ją padengia?

Ką galime padaryti dėl jūsų kibernetinio saugumo įsipareigojimų?

Mūsų IT teisininkai konsultuoja kibernetinio saugumo teisiniais klausimais. Mes galime:

• Įvertinkite, ar jūsų organizacija patenka į Cbw taikymo sritį.
• Parengti arba peržiūrėti tiekėjų sutarčių apdorojimo sutartis ir saugumo sąlygas.
• Aprašykite savo incidentų ir pažeidimų pranešimo procedūrą.
• Tvarkyti pranešimą apie pažeidimą ir susirašinėjimą su AP.
• Konsultuoti klientų ir asmenų atsakomybės klausimais po incidento.

Santrauka

• BDAR 32 straipsnis reikalauja, kad kiekviena organizacija, tvarkanti asmens duomenis, imtųsi saugumo priemonių, atitinkančių naujausius technikos laimėjimus ir riziką.
• Apie duomenų saugumo pažeidimą paprastai reikia pranešti AP per 72 valandas nuo sužinojimo apie jį.
• Nuo 2026 m. rugpjūčio 15 d. Cbw įpareigoja daugiau nei 8 000 organizacijų registruoti, valdyti riziką ir pranešti apie incidentus, o už tai atskaitinga valdyba.
• Incidentas gali išprovokuoti AP, asmenų, klientų pretenzijas ir kolektyvinius ieškinius.