Nīderlandes uzņēmumiem ir trīs kiberdrošības pienākumi, kas ir spēkā gandrīz neatkarīgi no nozares: personas datu drošība, savlaicīga ziņošana par pārkāpumiem un spēja pierādīt, ka abi šie pienākumi ir izpildīti. Kopš 2026. gada 15. augusta aptuveni 8,000 norīkotām organizācijām ir pievienots ceturtais pienākums: Cyberbeveiligingswet (Cbw), kas ir ES NIS2 direktīvas ieviešanas instruments Nīderlandē.
Ko GDPR pieprasa datu drošībai?
GDPR paredz atbilstošus tehniskus un organizatoriskus pasākumus personas datu aizsardzībai, kas tiek izvērtēti, ņemot vērā jaunākās tehnoloģijas, ieviešanas izmaksas un risku attiecīgajām personām. Tas, kas ir piemērots divu cilvēku praksei, nav piemērots uzņēmumam, kas apstrādā veselības datus plašā mērogā, un standarts pieaug līdz ar riska pieaugumu.
Praksē uzraudzības iestāde sagaida, ka pasākumi ir neievērojami: piekļuves kontrole un daudzfaktoru autentifikācija, ierīču un dublējumu šifrēšana, ielāpu ieviešana, vides nodalīšana, reģistrēšana un pārbaudīta atjaunošanas procedūra. Organizāciju, kas iztur pārbaudi, atšķir tas, ka šie pasākumi tika dokumentēti un pārskatīti, pirms kaut kas nogāja greizi.
Kad ir jāziņo par datu noplūdi?
Par personas datu pārkāpumu ir jāziņo Nīderlandes Datu aizsardzības iestādei (Autoriteit Persoonsgegevens) septiņdesmit divu stundu laikā pēc tam, kad par to uzzinājāt, izņemot gadījumus, kad tas, visticamāk, neradīs risku skartajām personām. Ja risks šīm personām ir augsts, šīs personas ir jāinformē arī bez nepamatotas kavēšanās.
Septiņdesmit divas stundas ir īss laiks, un pulkstenis skaitās no informētības brīža, nevis no pabeigtas izmeklēšanas. Tāpēc incidenta procedūra – kas pieņem lēmumu, kas tiek izsaukts, kas tiek reģistrēts – ir vērtīgāka par jebkuru atsevišķu tehnisko kontroli. Katrs pārkāpums ir jāreģistrē iekšēji, tostarp tie, par kuriem netiek ziņots regulatoram, kā arī jānorāda šāda lēmuma pamatojums.
Ko pievieno Cyberbeveiligingswet?
Likums “Cyberbeveiligingswet” un ar to saistītie noteikumi “Wet weerbaarheid kritieke entiteiten” stājās spēkā 2026. gada 15. augustā, aizstājot iepriekšējos tīklu un informācijas sistēmu drošības noteikumus. Organizācijām, kas ietilpst tā darbības jomā – būtiskām un svarīgām vienībām tādās nozarēs kā enerģētika, transports, veselības aprūpe, digitālā infrastruktūra un valsts pārvalde –, ir jāreģistrējas iestādēs, jāveic atbilstoši riska pārvaldības pasākumi un jāziņo par būtiskiem incidentiem valsts CSIRT un tās nozares uzraugam.
Vadības institūcijas ir personīgi atbildīgas par šo pasākumu apstiprināšanu un pārraudzību; to nevar vienkārši deleģēt IT nodaļai. Finanšu iestādēm tā vietā ir piemērojams savs ES operacionālās noturības režīms (DORA), nevis Cyberbeveiligingswet.
Kā tas sasniedz organizācijas ārpus Cyberbeveiligingswet darbības jomas?
Pat ārpus noteiktajām nozarēm tie paši standarti parasti tiek noteikti līgumos. Lielāki klienti arvien biežāk savos līgumos nosaka drošības prasības, audita tiesības un pārkāpumu paziņošanas periodus, un apstrādes līgums ir obligāts ikreiz, kad personas dati tiek apstrādāti kāda cita vārdā. Praksē daudzi Nīderlandes uzņēmumi vispirms ievēro šos standartus tāpēc, ka tos pieprasīja darījuma partneris, nevis tāpēc, ka to izdarīja regulators.
Kas var iesniegt prasību pēc negadījuma?
Incidents var izraisīt prasības vienlaikus no vairākiem virzieniem: no regulatora, no personām, kuru dati ir tikuši atklāti, no līgumslēdzējiem un arvien biežāk kolektīvu prasību veidā. Apdrošināšanas reakcija ir atkarīga no polises formulējuma un no tā, vai apdrošinātājs var norādīt uz nespēju ievērot saskaņotos pasākumus – vēl viens iemesls, lai spētu pierādīt, kas bija spēkā.
Kas jums jādara vispirms?
Trīs lietas ir visnozīmīgākās, taču tām ir jāpieliek vismazākās pūles: rakstiska incidentu procedūra, kurā norādītas personas, nevis lomas; aktuāls apstrādes darbību un izmantoto apstrādātāju reģistrs; un pārbaudīta atjaunošana, jo atšķirība starp incidentu un katastrofu parasti ir tā, vai dublējumkopijas darbojās. Ja jūsu organizācija varētu ietilpt Cyberbeveiligingswet darbības jomā, nekavējoties pārbaudiet savu reģistrācijas pienākumu.
Rezumējot
- GDPR pieprasa drošības pasākumus, kas atbilst jaunākajām tehnoloģijām un ar to saistītajam riskam, ikvienai organizācijai, kas apstrādā personas datus.
- Datu pārkāpums parasti jāziņo Autoriteit Personsgegevens septiņdesmit divu stundu laikā pēc tā uzzināšanas.
- Kopš 2026. gada 15. augusta Cyberbeveiligingswet ir pievienojis reģistrācijas, riska pārvaldības un incidentu ziņošanas pienākumus aptuveni 8,000 norīkotām organizācijām, paredzot personisku atbildību par vadību.
- Finanšu iestādes ietilpst DORA, nevis Cyberbeveiligingswet darbības jomā.
- Incidents var izraisīt prasības no regulatoru, skarto personu, līgumpartneru puses un arvien biežāk kolektīvas prasības.
Padoms
Mēs konsultējam par drošības un apstrādes līgumiem, pārkāpumu paziņošanu un regulējošo iestāžu saraksti, atbilstību kiberdrošības prasībām un atbildību pēc incidenta.
Neesat pārliecināts par savu situāciju? Pastāstiet mums par savu situāciju. Mēs jūs informēsim par jūsu iespējām vienas darba dienas laikā.
Cik Law & More var jums palīdzēt, ir paskaidrots mūsu IT jurists lappuse.
