Autorius Tom Meevis, advokatas Law & More
Kibernetinės atakos, tokios kaip išpirkos reikalaujanti programinė įranga, sukčiavimas apsimetant, DDoS atakos ir kompiuteriniai įsilaužimai, retai paveikia tik atakuojamą organizaciją. Kibernetinių atakų aukomis taip pat tampa klientai, darbuotojai, pacientai, tiekėjai ir kiti tiekimo grandinės partneriai, kurie gali patirti nuostolių, o jų teisinė padėtis kiekvienoje grupėje skiriasi. Todėl kiekvienam, norinčiam po atakos nustatyti, kokie įsipareigojimai taikomi ir kokie reikalavimai egzistuoja, patartina pirmiausia tiksliai nustatyti, kas nukentėjo ir kokia žala atsirado.
Šiame straipsnyje aptariama, kas laikomas auka, kada reikia pranešti apie duomenų saugumo pažeidimą, kokiomis sąlygomis atsiranda teisė į kompensaciją, kurios šalys gali būti atsakingos, kokį vaidmenį atlieka baudžiamoji teisė, ką paprastai apima kibernetinio draudimo polisas ir kokių veiksmų reikėtų imtis nedelsiant po išpuolio.
Kas yra kibernetinių atakų aukos?
Kibernetinėje atakoje galima išskirti tris grupes.
- Pati nukentėjusi organizacija, kuriai gresia sistemos prastovos, prarasta apyvarta, atkūrimo išlaidos, teismo ekspertizės tyrimo išlaidos ir žala reputacijai.
- Fiziniai asmenys, kurių asmens duomenys buvo paviešinti, pavyzdžiui, klientai, darbuotojai ir pacientai. Jie gali patirti finansinių nuostolių, bet ir neturtinę žalą dėl duomenų kontrolės praradimo, netikrumo ar baimės dėl tapatybės sukčiavimo.
- Trečiosios šalys, kurioms įtakos turi sutartiniai arba tiekimo grandinės santykiai, pavyzdžiui, dėl to, kad jos priklauso nuo tiekėjo, kurio sistemos sugedo.
Ši klasifikacija yra teisiškai reikšminga. Bet kokio ieškinio pagrindas ir šalis, kuriai jis gali būti pareikštas, priklauso nuo nukentėjusiojo padėties. Nukentėjusi organizacija paprastai laikys savo IT tiekėją atsakingu pagal sutartį, o duomenų subjektas gali tiesiogiai remtis atskiru atsakomybės pagrindu, kurį numato BDAR.
Kada reikia pranešti apie duomenų saugumo pažeidimą?
Kai kibernetinė ataka paveikia asmens duomenis, turi būti įvertinta, ar įvyko asmens duomenų saugumo pažeidimas ir ar pranešimas yra privalomas. BDAR 33 straipsnis reikalauja, kad apie pažeidimą priežiūros institucijai būtų pranešta nepagrįstai nedelsiant ir, jei įmanoma, per septyniasdešimt dvi valandas, nebent pažeidimas neturėtų kelti pavojaus fizinių asmenų teisėms ir laisvėms.
Be to, pagal BDAR 34 straipsnį organizacija gali būti įpareigota pati informuoti duomenų subjektus. Ši prievolė atsiranda, kai pažeidimas gali sukelti didelį pavojų jų teisėms ir laisvėms. Pranešimas gali būti neteikiamas, kai buvo įdiegtos tinkamos techninės priemonės, pvz., šifravimas, kai vėlesnės priemonės užtikrina, kad didelis pavojus nebekils, arba kai individualus pranešimas pareikalautų neproporcingų pastangų; pastaruoju atveju pakanka viešo pranešimo.
Duomenų subjektui toks bendravimas yra daugiau nei formalumas. Jis leidžia jam imtis savo priemonių, pavyzdžiui, pakeisti slaptažodžius arba stebėti įtartinus sandorius, ir praktiškai tai dažnai yra bet kokio kompensacijos reikalavimo atspirties taškas.
Todėl organizacija turi nustatyti ne tik tai, kad ataka įvyko, bet ir kokie duomenys buvo paveikti, ar duomenys iš tikrųjų buvo nufiltruoti ir kokia rizika kyla dėl to. Šiuo tikslu dažnai būtinas nepriklausomas teismo ekspertizė.
Tai ypač pasakytina apie atvejus, kai ataka nukreipiama prieš duomenų tvarkytoją, o ne į pačią organizaciją. Sutrumpintame procese tarp „Blauw Research“ ir „Nebu“ (Roterdamo apygardos teismas, 2023 m. balandžio 6 d., ECLI:NL:RBROT:2023:2931) laikinųjų apsaugos priemonių teisėjas nusprendė, kad pagal šalių sudarytą duomenų tvarkymo sutartį duomenų valdytojas turėjo teisę gauti daugiau informacijos apie ataką, jos pasekmes ir imtas priemones, nei buvo pateikta iš pradžių. Duomenų tvarkytojui taip pat buvo nurodyta atlikti nepriklausomą teismo ekspertizę ir periodiškai teikti ataskaitas. Sprendimas rodo, kad gerai parengta duomenų tvarkymo sutartis praktiškai yra svarbiausia priemonė laiku gauti informaciją po incidento, būtent todėl, kad duomenų valdytojui ši informacija reikalinga, kad jis galėtų įvykdyti savo pranešimo pareigas.
Kada atsiranda teisė į kompensaciją?
Duomenų subjektai gali reikalauti kompensacijos iš duomenų valdytojo arba tvarkytojo pagal BDAR 82 straipsnį. Tačiau kibernetinė ataka nebūtinai suteikia pagrindą reikalauti žalos atlyginimo. Ji turi būti pagrįsta:
- kad buvo pažeistas BDAR;
- kad žala iš tikrųjų buvo patirta; ir
- kad tarp to pažeidimo ir tos žalos yra priežastinis ryšys.
Materialinė žala gali būti finansiniai nuostoliai, išieškojimo išlaidos arba nuostoliai, atsiradę dėl tapatybės sukčiavimo. Kalbant apie neturtinę žalą, Europos Sąjungos Teisingumo Teismas byloje Österreichische Post (ESTT 2023 m. gegužės 4 d., C-300/21) nusprendė, kad nėra minimalios pažeidimo sunkumo ribos, tačiau vien BDAR pažeidimo nepakanka, kad būtų priteista kompensacija.
Ypač aktuali duomenų saugumo pažeidimams po kibernetinės atakos yra Nacionalinės agentės byla (ESTT 2023 m. gruodžio 14 d., C-340/21). Joje Teismas nusprendė, kad baimė dėl galimo nutekėjusių asmens duomenų netinkamo naudojimo ateityje savaime gali būti laikoma neturtine žala. Tačiau duomenų subjektas turi konkrečiai pagrįsti šią baimę ir jos pasekmes; vien nurodyti, kad duomenys buvo nutekinti, nepakanka. Tame pačiame sprendime Teismas patvirtino, kad duomenų valdytojas turi įrodyti, jog imtasi saugumo priemonių buvo tinkamos, ir kad trečiosios šalies ataka savaime neatleidžia duomenų valdytojo nuo atsakomybės.
Atsakomybė pagal BDAR egzistuoja kartu su civilinės teisės pagrindais – sutarties pažeidimu ir deliktu. Pagal Nyderlandų civilinio kodekso 6:162(1) straipsnį šalis, atlikusi priskirtiną neteisėtą veiksmą, privalo atlyginti padarytą žalą. Taikomas 6:163 straipsnio reliatyvumo reikalavimas: pažeista norma turi apsaugoti nuo tokio pobūdžio žalos, kokią patyrė nukentėjusi šalis.
Svarbu tai, kad kartu su šiais pagrindais egzistuoja ir BDAR 82 straipsnis. Todėl duomenų subjektas neprivalo pagrįsti ieškinio vien sutarties pažeidimu ar civilinės teisės pažeidimu, bet gali tiesiogiai remtis atskiru atsakomybės pagrindu, kurį numato BDAR. Nukentėjusiai organizacijai šis pagrindų derinys reiškia, kad po išpuolio kelios šalys gali vienu metu pareikšti ieškinius.
Kas gali būti atsakingas?
Nukentėjusi organizacija gali būti atsakinga, jei nevykdo savo sutartinių įsipareigojimų arba ėmėsi nepakankamų saugumo priemonių. IT paslaugų teikėjas arba duomenų tvarkytojas taip pat gali būti patrauktas atsakomybėn. Ko galima tikėtis iš to paslaugų teikėjo, pirmiausia ir svarbiausia nustatoma sutartyje.
Tvarkymo santykiuose duomenų tvarkymo sutartis atlieka pagrindinį vaidmenį. BDAR 28 straipsnis reikalauja, kad duomenų valdytojas ir tvarkytojas sudarytų tokią sutartį, kurioje, be kita ko, būtų reglamentuojamos saugumo priemonės ir duomenų saugumo pažeidimų tvarkymas. Jei ataka kyla dėl nepakankamo duomenų tvarkytojo saugumo, duomenų valdytojas pagal tą sutartį gali reikalauti, kad duomenų tvarkytojas atsakytų už dėl to atsiradusius nuostolius.
Tai aiškiai matyti iš bylos dėl kibernetinės atakos prieš Hof van Twente savivaldybę (Overeiselio apylinkės teismas, 2023 m. gegužės 10 d., ECLI:NL:RBOVE:2023:1731). Šalys susitarė dėl funkcinės stebėsenos, o ne dėl saugumo stebėsenos. Teismas nusprendė, kad IT administratoriaus rūpestingumo pareiga neapsiriboja tiek, kad saugumo stebėsena būtų numanoma funkcinės stebėsenos pavedimo dalis, ir atmetė savivaldybės ieškinį. Jis taip pat atsižvelgė į tai, kad pati savivaldybė priėmė sprendimus, kurie padidino riziką, įskaitant slaptažodžių politiką ir RDP prievado atidarymą.
Veidrodinis atspindys yra O'Cliance byla (Apygardos teismas Amsterdam, 2018 m. lapkričio 14 d., ECLI:NL:RBAMS:2018:10124). Ten tiekėjas įdiegė visą IT infrastruktūrą ir perėmė jos valdymą. Po išpirkos reikalaujančios programinės įrangos atakos, kurios metu atsarginės kopijos taip pat buvo užšifruotos, teismas nusprendė, kad tokio viso paketo teikimas buvo laikomas toli siekiančia rūpestingumo pareiga ir kad nebuvo imtasi paprastų priemonių. Tačiau visa atsakomybė nebuvo priteista: dėl kliento kaltės du trečdaliai žalos liko tiekėjo sąskaita.
Kokia didelė gali būti įrodymo našta dėl tinkamo saugumo, iliustruoja automobilių pardavėjo nulaužtos el. pašto paskyros atvejis. 2024 m. lapkričio 5 d. tarpiniame sprendime (Arnhemo-Leuvardeno apeliacinis teismas, ECLI:NL:GHARL:2024:6812) pardavėjui buvo suteikta galimybė įrodyti, kad jo el. pašto paskyra buvo tinkamai apsaugota pagal BDAR, po to, kai įsilaužėlis, pasinaudodamas ta paskyra, išsiuntė pirkėjui melagingą mokėjimo nurodymą. Vėlesniame 2025 m. liepos 22 d. sprendime (ECLI:NL:GHARL:2025:4556) teismas nustatė, kad šis įrodymas nebuvo pateiktas, po to šalys vis dar turėjo spręsti pirkėjo kaltės klausimą. Todėl abu sprendimai susiję su ta pačia byla.
Bendra idėja yra ta, kad svarbūs yra sutartiniai susitarimai, tvarkymo rizika, faktiškai imtasi priemonės, abiejų šalių pateikti įspėjimai ir pačios nukentėjusios šalies elgesys. Be civilinės atsakomybės, Nyderlandų duomenų apsaugos institucija gali skirti administracines baudas iki 20 mln. EUR arba 4 proc. metinės pasaulinės apyvartos, atsižvelgiant į tai, kuri suma didesnė. Šios baudos nepriklauso nuo to, ar individualūs duomenų subjektai patyrė žalą.
Baudžiamosios teisės kelias
Kibernetinė ataka taip pat gali būti laikoma nusikalstama veika, pavyzdžiui, įsilaužimas į kompiuterį, duomenų neprieinamumas ar neviešų duomenų pasisavinimas. Nyderlandų baudžiamojo kodekso 138ab(1) straipsnis numato, kad tyčinis ir neteisėtas prisijungimas prie automatizuotos sistemos yra nusikaltimas.
Aukos gali pranešti apie nusikaltimą policijai, kuri turi specializuotas kibernetinių nusikaltimų komandas. Kai įtariamasis yra patrauktas baudžiamojon atsakomybėn, auka gali prisijungti prie baudžiamojo proceso kaip nukentėjusioji šalis ir ten reikalauti kompensacijos. Šis būdas leidžia išvengti atskiro civilinio proceso, tačiau rezultatas priklauso nuo nusikaltimų atskleidimo, baudžiamojo persekiojimo ir įrodymų, kurie tarptautiniu mastu veikiančių nusikaltėlių atveju dažnai neduoda rezultatų. Organizacijoms pranešimas dažnai yra ir praktinė būtinybė, nes to prašo draudikai ir tiekimo grandinės partneriai.
Ką apima kibernetinis draudimas?
Kibernetinio draudimo polisas, be kita ko, gali apimti:
- reagavimas į incidentus ir teismo ekspertizė;
- sistemų ir duomenų atkūrimas;
- verslo pertraukimo nuostoliai ir prarasta apyvarta;
- krizių komunikacija;
- atsakomybė trečiųjų šalių atžvilgiu;
- teisinės išlaidos ir
- kai kuriais atvejais baudos, atsiskaitymo mokėjimai arba išpirka, tiek, kiek tai draudžiama pagal taikomus įstatymus.
Tiksli draudimo apsauga priklauso nuo draudimo poliso. Atkreipkite dėmesį į išimtis, saugumo sąlygas, pranešimo laikotarpius, išskaitas ir reikalavimus ekspertams. Nyderlandų civilinio kodekso 7:957(1) straipsnis taip pat įpareigoja apdraustąjį asmenį imtis pagrįstų priemonių nuostoliams išvengti arba juos apriboti. Jei ši gelbėjimo pareiga nesilaikoma, draudikas gali sumažinti išmoką.
Todėl kibernetinių incidentų draudiką reikėtų kuo greičiau informuoti. Išorės ekspertų pasitelkimas arba išpirkos mokėjimas be draudiko sutikimo gali turėti įtakos draudimo apsaugai.
Ką reikėtų daryti iškart po kibernetinės atakos?
- Atidžiai užrašykite įvykį ir visus susijusius veiksmus.
- Izoliuokite paveiktas sistemas neprarandant įrodymų.
- Pasitelkite teismo medicinos ekspertą.
- Įvertinkite, ar yra duomenų saugumo pažeidimas, apie kurį reikia pranešti.
- Įvertinkite, ar duomenų subjektai turi būti informuoti.
- Praneškite apie nusikaltimą policijai.
- Praneškite apie incidentą savo kibernetinio draudimo bendrovei.
- Išsaugokite žurnalus, atsargines kopijas, el. laiškus ir kitus svarbius duomenis.
- Nubraižykite žalos žemėlapį ir potencialiai atsakingas šalis.
- Atidžiai ir laiku informuokite klientus, darbuotojus ir tiekimo grandinės partnerius.
Todėl kibernetinė ataka yra ne tik techninis incidentas. Tai taip pat duomenų apsaugos, civilinės teisės, baudžiamosios teisės ir draudimo teisės klausimas. Greitas ir gerai dokumentuotas reagavimas ne tik sumažina žalą, bet ir yra lemiamas pranešimams, draudimo apsaugai ir jūsų įrodymų padėčiai bet kokiame procese.
Baigdamas
Teisės ir pareigos po kibernetinės atakos apima kelias teisės sritis, o bylos baigtis labai priklauso nuo konkrečių faktų, sutarties turinio ir įrašų kokybės. Aptarta teismų praktika rodo, kad tiek tiekėjas, tiek klientas yra vertinami pagal savo elgesį ir kad tokie terminai kaip septyniasdešimt dviejų valandų pranešimo laikotarpis nepalieka daug laiko vėlavimui.
Law & More Padedame organizacijoms ir duomenų subjektams spręsti kibernetinių incidentų teisinius klausimus: nuo pranešimo pareigų įvertinimo ir duomenų tvarkymo sutarčių peržiūros iki atsakomybės nustatymo, draudimo klausimų sprendimo ir nuostolių atlyginimo. Ar susiduriate su kibernetine ataka ar duomenų saugumo pažeidimu, ar norėtumėte, kad mūsų specialistai iš anksto peržiūrėtų jūsų sutartis atsižvelgiant į šias rizikas? IT įstatymas komanda? Nedvejodami kontaktas Law & More neįpareigojančiam Jūsų situacijos aptarimui.
Dažnai užduodami klausimai
Žemiau atsakysime į dažniausiai šia tema užduodamus klausimus.
Kas yra kibernetinės atakos aukos?
Yra trys lygmenys. Pirma, pati nukentėjusi organizacija, kuriai tenka sistemos prastovos, prarasta apyvarta, atkūrimo išlaidos, teismo ekspertizės tyrimo išlaidos ir žala reputacijai. Antra, duomenų subjektai – fiziniai asmenys, kurių asmens duomenys buvo paviešinti, pavyzdžiui, klientai, darbuotojai ir pacientai. Trečia, trečiosios šalys, patiriančios nuostolių dėl sutartinių ar tiekimo grandinės santykių, pavyzdžiui, dėl to, kad jos priklauso nuo tiekėjo, kuris neveikia. Ši klasifikacija lemia, kokiu pagrindu šalis gali pareikšti ieškinį ir kam.
Per kokį laikotarpį turiu pranešti apie duomenų saugumo pažeidimą?
BDAR 33 straipsnyje reikalaujama pranešti priežiūros institucijai nedelsiant ir, kai įmanoma, per septyniasdešimt dvi valandas nuo sužinojimo apie pažeidimą. Ši pareiga netaikoma, kai pažeidimas neturėtų kelti pavojaus fizinių asmenų teisėms ir laisvėms. Atliekant šį vertinimą, reikia išanalizuoti pažeidimo pobūdį, paveiktų duomenų kategorijas ir galimas pasekmes.
Kada privalau informuoti pačius duomenų subjektus?
Pagal BDAR 34 straipsnį, kai pažeidimas gali sukelti didelį pavojų duomenų subjektų teisėms ir laisvėms, pranešimas gali būti neperduotas, kai buvo įdiegtos tinkamos techninės priemonės, pvz., šifravimas, kai vėlesnės priemonės užtikrina, kad didelis pavojus nebekils, arba kai individualus pranešimas pareikalautų neproporcingų pastangų. Pastaruoju atveju pakanka viešo pranešimo.
Ar galiu išgauti informaciją iš tiekėjo, kurio duomenys buvo nulaužti?
Taip, kai tai numatyta duomenų tvarkymo sutartyje. Sutrumpintame procese tarp „Blauw Research“ ir „Nebu“ (Roterdamo apygardos teismas, 2023 m. balandžio 6 d., ECLI:NL:RBROT:2023:2931) laikinųjų apsaugos priemonių teisėjas nusprendė, kad pagal duomenų tvarkymo sutartį duomenų valdytojas turėjo teisę gauti daugiau informacijos apie ataką, jos pasekmes ir imtas priemones, nei buvo pateikta, ir įpareigojo duomenų tvarkytoją atlikti nepriklausomą teismo ekspertizės tyrimą ir periodiškai teikti ataskaitas. Ši informacija reikalinga jūsų pačių pranešimo pareigoms įvykdyti.
Ar, kaip duomenų subjektas, aš automatiškai turiu teisę į kompensaciją po duomenų saugumo pažeidimo?
Ne. BDAR 82 straipsnis suteikia savarankišką pagrindą, tačiau jūs turite įrodyti, kad BDAR buvo pažeistas, kad jūs iš tikrųjų patyrėte žalą ir kad yra priežastinis ryšys tarp pažeidimo ir tos žalos. Įrodinėjimo našta tenka ieškovui.
Ar baimė dėl tapatybės sukčiavimo gali būti laikoma neturtine žala?
Gali būti. Byloje „Natsionalna agentsia za prihodite“ (ESTT 2023 m. gruodžio 14 d., C-340/21) Teisingumo Teismas nusprendė, kad baimė dėl galimo nutekėjusių asmens duomenų netinkamo panaudojimo ateityje pati savaime gali būti laikoma neturtine žala. Tačiau duomenų subjektas turi konkrečiai pagrįsti šią baimę ir jos pasekmes. Byloje „Österreichische Post“ (ESTT 2023 m. gegužės 4 d., C-300/21) priduriama, kad nėra minimalios pažeidimo sunkumo ribos, tačiau vien BDAR pažeidimo nepakanka.
Kas turi įrodyti, kad saugumo priemonės buvo tinkamos?
Duomenų valdytojas. Byloje C-340/21 Teisingumo Teismas patvirtino, kad duomenų valdytojas turi įrodyti, jog imtasi saugumo priemonių buvo tinkamos, ir kad trečiosios šalies ataka savaime neatleidžia jo nuo atsakomybės. Nyderlanduose tai buvo atvejis, kai buvo nulaužta automobilių pardavėjo el. pašto paskyra, kai Arnhemo-Leuvardeno apeliacinis teismas pirmiausia suteikė pardavėjui galimybę pateikti šį įrodymą (ECLI:NL:GHARL:2024:6812), o vėliau nusprendė, kad jis nebuvo pateiktas (ECLI:NL:GHARL:2025:4556).
Ar mano IT tiekėjas yra atsakingas, jei neaptiko atakos?
Tai priklauso nuo to, kas buvo susitarta. Byloje dėl kibernetinės atakos prieš Hof van Twente savivaldybę (Overeiselio apygardos teismas, 2023 m. gegužės 10 d., ECLI:NL:RBOVE:2023:1731) šalys susitarė dėl funkcinės stebėsenos, o ne dėl saugumo stebėsenos. Teismas nusprendė, kad IT administratoriaus rūpestingumo pareiga neapsiriboja tiek, kad saugumo stebėsena būtų numanoma jos dalis, ir atmetė ieškinį. Kai teikiamas platesnis bendras paketas, rūpestingumo pareiga gali būti plataus masto, kaip byloje O'Cliance (Overeiselio apygardos teismas...). Amsterdam, 2018 m. lapkričio 14 d., ECLI:NL:RBAMS:2018:10124), kur tiekėjas buvo pripažintas atsakingu už du trečdalius nuostolių.
Ar mano paties elgesys gali sumažinti kompensaciją?
Taip. Prisidėjusioji kaltė šiais atvejais vaidina pasikartojantį vaidmenį. „O'Cliance“ byloje trečdalis nuostolių liko kliento paskyrai, o nulaužtos el. pašto paskyros atveju šalys turėjo pašalinti pirkėjo prisidėjusiąją kaltę. Todėl jūsų pačių slaptažodžių politika, palikti atidaryti prievadai ar ignoruojami įspėjimai gali tiesiogiai paveikti rezultatą.
Kokias baudas gali skirti duomenų apsaugos institucija?
Už BDAR pažeidimus priežiūros institucija gali skirti administracines baudas iki 20 mln. EUR arba 4 proc. metinės pasaulinės apyvartos, atsižvelgiant į tai, kuri suma didesnė. Šios baudos nepriklauso nuo to, ar atskiri duomenų subjektai iš tikrųjų patyrė žalą, todėl kartu su civiline atsakomybe kelia atskirą riziką.
Ar galiu pranešti apie nusikaltimą ir reikalauti atlyginti savo nuostolius baudžiamojo proceso tvarka?
Taip. Nyderlandų baudžiamojo kodekso 138ab(1) straipsnis numato nusikaltimą, kai tyčia ir neteisėtai gaunama prieiga prie automatizuotos sistemos. Galite pranešti apie nusikaltimą policijai ir, jei įtariamasis yra patrauktas baudžiamojon atsakomybėn, prisijungti prie baudžiamojo proceso kaip nukentėjusioji šalis, kad ten pareikalautumėte kompensacijos. Rezultatas priklauso nuo nusikaltimų atskleidimo, baudžiamojo persekiojimo ir įrodymų, o tarptautiniu mastu veikiančių nusikaltėlių atveju tai dažnai neduoda jokių rezultatų.
Ką paprastai padengia kibernetinis draudimas?
Paprastai tai incidentų reagavimas ir teismo ekspertizė, sistemų ir duomenų atkūrimas, verslo sutrikdymo nuostoliai ir prarasta apyvarta, krizinė komunikacija, atsakomybė trečiosioms šalims ir teisinės išlaidos, o kai kuriais atvejais baudos, atsiskaitymai arba išpirka tiek, kiek draudžiama pagal galiojančius įstatymus. Atkreipkite dėmesį į išimtis, saugumo sąlygas, pranešimo laikotarpius ir išskaitas bei peržiūrėkite politiką prieš įvykstant incidentui.
Ar galiu prarasti priedangą, jei po atakos elgiuosi neteisingai?
Tai įmanoma. Nyderlandų civilinio kodekso 7:957(1) straipsnis įpareigoja apdraustąjį asmenį imtis pagrįstų priemonių nuostoliams išvengti arba juos apriboti; jei ši gelbėjimo pareiga nesilaikoma, draudikas gali sumažinti išmoką. Išorės ekspertų pasitelkimas arba išpirkos sumokėjimas be draudiko sutikimo taip pat gali turėti įtakos draudimo apsaugai. Kuo greičiau informuokite savo draudiką.
Kokių veiksmų turėčiau imtis iškart po kibernetinės atakos?
Užregistruokite incidentą ir visus atliktus veiksmus, izoliuokite paveiktas sistemas neprarasdami įrodymų ir pasamdykite teismo ekspertą. Tada įvertinkite, ar įvyko praneštinas duomenų saugumo pažeidimas ir ar duomenų subjektai turi būti informuoti. Praneškite apie pažeidimą, informuokite savo kibernetinio draudimo bendrovę, išsaugokite žurnalus, atsargines kopijas ir korespondenciją, nustatykite žalos ir potencialiai atsakingų šalių sąrašą, taip pat atidžiai ir laiku informuokite klientus, darbuotojus ir tiekimo grandinės partnerius.
