Autors Toms Mīviss, advokāts uzņēmumā Law & More
Kiberuzbrukumi, piemēram, izspiedējvīrusi, pikšķerēšana, DDoS uzbrukumi un datoru ielaušanās, reti ietekmē tikai uzbrukumam pakļauto organizāciju. Kiberuzbrukumu upuru vidū ir arī klienti, darbinieki, pacienti, piegādātāji un citi piegādes ķēdes partneri, kuriem var rasties zaudējumi, un viņu tiesiskais stāvoklis dažādās grupās atšķiras. Tāpēc ikvienam, kurš pēc uzbrukuma vēlas noskaidrot, kādi pienākumi ir piemērojami un kādas prasības pastāv, ieteicams vispirms precīzi noteikt, kas ir cietis un kādi zaudējumi ir radušies.
Šajā rakstā pēc kārtas ir aplūkoti jautājumi par to, kas kvalificējas kā cietušais, kad ir jāpaziņo par datu noplūdi, kādos apstākļos pastāv tiesības uz kompensāciju, kuras puses var būt atbildīgas, kāda ir krimināltiesību loma, ko parasti sedz kiberdrošības polise un kādi pasākumi jāveic nekavējoties pēc uzbrukuma.
Kas ir kiberuzbrukumu upuri?
Kiberuzbrukumā var izšķirt trīs grupas.
- Pati skartā organizācija, kurai draud sistēmas dīkstāve, apgrozījuma samazināšanās, atkopšanas izmaksas, tiesu medicīnas izmeklēšanas izmaksas un reputācijas kaitējums.
- Fiziskas personas, kuru personas dati ir tikuši atklāti, piemēram, klienti, darbinieki un pacienti. Viņiem var rasties finansiāli zaudējumi, bet arī nemateriāli zaudējumi, jo viņi zaudē kontroli pār saviem datiem, ir neskaidrības vai bailes no identitātes krāpšanas.
- Trešās personas, kuras skar līgumattiecības vai piegādes ķēdes attiecības, piemēram, tāpēc, ka tās ir atkarīgas no piegādātāja, kura sistēmas nedarbojas pareizi.
Šī klasifikācija ir juridiski nozīmīga. Jebkuras prasības pamats un puse, pret kuru to var celt, ir atkarīga no cietušā statusa. Skartā organizācija parasti sauks pie atbildības savu IT piegādātāju saskaņā ar līgumu, savukārt datu subjekts var tieši paļauties uz GDPR paredzēto atsevišķo atbildības pamatu.
Kad ir jāpaziņo par datu noplūdi?
Ja personas dati ir iesaistīti kiberuzbrukumā, ir jāizvērtē, vai ir noticis personas datu pārkāpums un vai paziņošana ir obligāta. VDAR 33. pants nosaka, ka par pārkāpumu ir jāpaziņo uzraudzības iestādei bez nepamatotas kavēšanās un, ja iespējams, septiņdesmit divu stundu laikā, ja vien pārkāpums, visticamāk, neradīs risku fizisku personu tiesībām un brīvībām.
Turklāt VDAR 34. pants var paredzēt, ka organizācijai pašai jāinformē datu subjekti. Šis pienākums rodas, ja pārkāpums varētu radīt augstu risku viņu tiesībām un brīvībām. Saziņu var nesniegt, ja ir ieviesti atbilstoši tehniski pasākumi, piemēram, šifrēšana, ja turpmāki pasākumi nodrošina, ka augstais risks vairs nematerializēsies, vai ja individuāla saziņa prasītu nesamērīgi lielas pūles; pēdējā gadījumā pietiek ar publisku saziņu.
Datu subjektam šī saziņa ir vairāk nekā tikai formalitāte. Tā ļauj viņam veikt savus pasākumus, piemēram, mainīt paroles vai novērot aizdomīgus darījumus, un praksē tā bieži vien ir jebkura kompensācijas pieprasījuma sākumpunkts.
Tāpēc organizācijai ir jāpierāda ne tikai uzbrukuma fakts, bet arī tas, kuri dati ir skarti, vai dati faktiski ir tikuši nozagti un kādi riski no tā izriet. Šim nolūkam bieži vien ir nepieciešama neatkarīga kriminālistiskā izmeklēšana.
Tas jo īpaši attiecas uz gadījumiem, kad uzbrukums notiek pret apstrādātāju, nevis pret pašu organizāciju. Kopsavilkuma tiesvedībā starp Blauw Research un Nebu (Roterdamas apgabaltiesa, 2023. gada 6. aprīlis, ECLI:NL:RBROT:2023:2931) pagaidu noregulējuma tiesnesis lēma, ka saskaņā ar pušu noslēgto datu apstrādes līgumu pārzinim ir tiesības saņemt vairāk informācijas par uzbrukumu, tā sekām un veiktajiem pasākumiem, nekā sākotnēji tika sniegts. Apstrādātājam tika arī uzdots veikt neatkarīgu kriminālistisko izmeklēšanu un periodiski ziņot. Spriedums liecina, ka labi izstrādāts datu apstrādes līgums praksē ir vissvarīgākais instruments informācijas iegūšanai laikā pēc incidenta, tieši tāpēc, ka pārzinim šī informācija ir nepieciešama, lai izpildītu savus paziņošanas pienākumus.
Kad rodas tiesības uz kompensāciju?
Datu subjekti var pieprasīt kompensāciju no pārziņa vai apstrādātāja saskaņā ar VDAR 82. pantu. Tomēr kiberuzbrukums ne vienmēr rada prasības pamatu. Tam jābūt pamatotam:
- ka ir pārkāpta GDPR;
- ka kaitējums ir faktiski nodarīts; un
- ka pastāv cēloņsakarība starp šo pārkāpumu un šo kaitējumu.
Materiālais kaitējums var ietvert finansiālus zaudējumus, atgūšanas izmaksas vai identitātes krāpšanas radītus zaudējumus. Attiecībā uz nemateriālo kaitējumu Eiropas Savienības Tiesa lietā Österreichische Post (EST 2023. gada 4. maijs, C-300/21) lēma, ka nav noteikta minimālā pārkāpuma smaguma sliekšņa, bet GDPR pārkāpums vien nav pietiekams, lai piešķirtu kompensāciju.
Īpaši svarīga datu noplūde pēc kiberuzbrukuma ir lieta Natsionalna agentsia za prihodite (EST 2023. gada 14. decembris, C-340/21). Tajā Tiesa lēma, ka bailes no iespējamās personas datu noplūdes nākotnē var radīt nemateriālu kaitējumu. Tomēr datu subjektam ir konkrēti jāpamato šīs bailes un to sekas; tikai norāde uz faktu, ka dati ir nopludināti, nav pietiekama. Tajā pašā spriedumā Tiesa apstiprināja, ka pārzinim ir jāpierāda, ka veiktie drošības pasākumi bija atbilstoši, un ka trešās personas uzbrukums pats par sevi neatbrīvo pārzini no atbildības.
Atbildība saskaņā ar GDPR pastāv līdzās civiltiesībām, kas saistītas ar līguma pārkāpumu un deliktu. Saskaņā ar Nīderlandes Civilkodeksa 6:162. panta 1. punktu pusei, kas izdarījusi attiecināmu prettiesisku darbību, ir jāatlīdzina nodarītie zaudējumi. Piemērojama 6:163. panta relativitātes prasība: pārkāptajai normai ir jāaizsargā pret tāda veida zaudējumiem, kādu cietusī puse ir cietusi.
Svarīgi ir tas, ka līdzās šiem pamatiem pastāv arī VDAR 82. pants. Tādēļ datu subjektam nav pienākuma pamatot prasību tikai ar līguma pārkāpumu vai deliktu, bet gan var tieši paļauties uz VDAR paredzēto atsevišķo atbildības pamatu. Skartajai organizācijai šī pamatu kombinācija nozīmē, ka vairākas puses pēc uzbrukuma var celt prasības vienlaikus.
Kas var būt atbildīgs?
Skartā organizācija var tikt saukta pie atbildības, ja tā nepilda savas līgumsaistības vai ir veikusi nepietiekamus drošības pasākumus. Atbildību var saukt arī pie IT pakalpojumu sniedzēja vai apstrādātāja. Tas, ko varētu sagaidīt no šī pakalpojumu sniedzēja, pirmkārt un galvenokārt ir noteikts līgumā.
Apstrādes attiecībās datu apstrādes līgumam ir būtiska loma. VDAR 28. pants nosaka, ka pārzinim un apstrādātājam ir jānoslēdz šāds līgums, kas cita starpā regulē drošības pasākumus un datu pārkāpumu apstrādi. Ja uzbrukums rodas apstrādātāja nepietiekamas drošības dēļ, pārzinis saskaņā ar šo līgumu var saukt apstrādātāju pie atbildības par radušajiem zaudējumiem.
Tas spilgti izriet no lietas par kiberuzbrukumu Hof van Twente pašvaldībai (Overeiselas apgabaltiesa, 2023. gada 10. maijs, ECLI:NL:RBOVE:2023:1731). Puses bija vienojušās par funkcionālo uzraudzību, nevis drošības uzraudzību. Tiesa lēma, ka IT administratora rūpības pienākums nesniedzas tik tālu, ka drošības uzraudzība ir netieša funkcionālās uzraudzības cesijas sastāvdaļa, un noraidīja pašvaldības prasību. Tā arī norādīja, ka pašvaldība pati ir pieņēmusi lēmumus, kas palielina risku, tostarp par tās paroļu politiku un RDP porta atvēršanu.
Spoguļattēls ir O'Cliance lieta (Apgabaltiesa Amsterdam, 2018. gada 14. novembris, ECLI:NL:RBAMS:2018:10124). Tur piegādātājs bija uzstādījis pilnīgu IT infrastruktūru un pārņēmis tās pārvaldību. Pēc izspiedējvīrusa uzbrukuma, kurā tika šifrētas arī dublējumkopijas, tiesa lēma, ka šāda pilnīga pakalpojumu komplekta piegāde ietver tālejošu rūpības pienākumu un ka vienkārši pasākumi ir izlaisti. Tomēr atbildība netika piespriesta pilnībā: klienta vainas dēļ divas trešdaļas no zaudējumiem palika piegādātāja rēķina.
To, cik liels var būt pierādīšanas pienākums attiecībā uz atbilstošu drošību, ilustrē automašīnu tirgotāja uzlauztā e-pasta konta gadījums. 2024. gada 5. novembra starpposma spriedumā (Arnhemas-Leuvardenas Apelācijas tiesa, ECLI:NL:GHARL:2024:6812) tirgotājam tika dota iespēja pierādīt, ka tā e-pasta konts ir bijis pienācīgi aizsargāts GDPR izpratnē pēc tam, kad hakeris bija izmantojis šo kontu, lai nosūtītu pircējam nepatiesu maksājuma norādījumu. 2025. gada 22. jūlija turpmākajā spriedumā (ECLI:NL:GHARL:2025:4556) tiesa konstatēja, ka šis pierādījums nav iesniegts, pēc kā pusēm joprojām bija jāizskata pircēja līdzatbildība. Tāpēc abi spriedumi attiecas uz vienu un to pašu tiesvedību.
Kopīgā iezīme ir tā, ka svarīgas ir gan līgumiskās vienošanās, gan apstrādes riski, gan faktiski veiktie pasākumi, abu pušu sniegtie brīdinājumi, gan cietušās puses rīcība. Papildus civiltiesiskajai atbildībai Nīderlandes Datu aizsardzības iestāde var uzlikt administratīvus naudas sodus līdz 20 miljoniem eiro vai 4% no gada apgrozījuma visā pasaulē, atkarībā no tā, kura summa ir lielāka. Šie naudas sodi nav atkarīgi no tā, vai atsevišķiem datu subjektiem ir nodarīts kaitējums.
Krimināltiesību ceļš
Kiberuzbrukums var būt arī kriminālpārkāpums, piemēram, datora ielaušanās, datu nepieejamības padarīšana vai nepublisko datu piesavināšanās. Nīderlandes Kriminālkodeksa 138.ab(1) pants paredz, ka tīša un nelikumīga piekļuve automatizētai sistēmai ir noziegums.
Cietušie var ziņot par nodarījumu policijai, kurai ir specializētas kibernoziegumu apkarošanas komandas. Ja aizdomās turētais tiek saukts pie atbildības, cietušais var pievienoties kriminālprocesam kā cietušā puse un pieprasīt kompensāciju. Šis veids ļauj izvairīties no atsevišķas civilprocesa, taču rezultāts ir atkarīgs no atklāšanas, kriminālvajāšanas un pierādījumiem, kas starptautiski darbojošos likumpārkāpēju gadījumā bieži vien nedod rezultātu. Organizācijām ziņošana bieži vien ir arī praktiska nepieciešamība, jo to pieprasa apdrošinātāji un piegādes ķēdes partneri.
Ko sedz kiberapdrošināšana?
Kiberdrošības polise var segt, cita starpā:
- incidentu reaģēšana un tiesu medicīniska izmeklēšana;
- sistēmu un datu atjaunošana;
- zaudējumi uzņēmējdarbības pārtraukuma dēļ un apgrozījuma samazināšanās;
- krīzes komunikācija;
- atbildība pret trešajām personām;
- juridiskās izmaksas; un
- dažos gadījumos naudas sodi, izlīguma maksājumi vai izpirkuma maksa, ciktāl tas ir apdrošināms saskaņā ar piemērojamajiem tiesību aktiem.
Precīzs segums ir atkarīgs no polises. Pievērsiet uzmanību izņēmumiem, drošības nosacījumiem, paziņošanas periodiem, pašriska summām un prasībām attiecībā uz ekspertu piesaisti. Nīderlandes Civilkodeksa 7:957(1) pants arī uzliek apdrošinātajai personai pienākumu veikt saprātīgus pasākumus, lai novērstu vai ierobežotu zaudējumus. Ja šis glābšanas pienākums netiek ievērots, apdrošinātājs var samazināt izmaksu.
Tāpēc kiberdrošības apdrošinātājs ir jāinformē pēc iespējas ātrāk. Ārējo ekspertu piesaistīšana vai izpirkuma maksas maksāšana bez apdrošinātāja piekrišanas var ietekmēt seguma darbību.
Kas jums jādara tūlīt pēc kiberuzbrukuma?
- Rūpīgi reģistrējiet incidentu un visas ar to saistītās darbības.
- Izolēt skartās sistēmas, nezaudējot pierādījumus.
- Piesaistiet tiesu medicīnas ekspertu.
- Novērtējiet, vai ir notikusi datu noplūde, par kuru jāpaziņo.
- Izvērtējiet, vai datu subjekti ir jāinformē.
- Ziņot par pārkāpumu policijai.
- Paziņojiet par incidentu savam kiberdrošības apdrošinātājam.
- Saglabājiet žurnālus, dublējumus, e-pastus un citus atbilstošus datus.
- Kartējiet bojājumus un potenciāli atbildīgās personas.
- Rūpīgi un savlaicīgi informējiet klientus, darbiniekus un piegādes ķēdes partnerus.
Tāpēc kiberuzbrukums nav tikai tehnisks incidents. Tas ir arī datu aizsardzības, civiltiesību, krimināltiesību un apdrošināšanas tiesību jautājums. Ātra un labi dokumentēta reaģēšana ne tikai ierobežo zaudējumus, bet arī ir izšķiroša paziņojumiem, apdrošināšanas segumam un jūsu pierādīšanas pozīcijai jebkurā procesā.
Noslēgumā
Tiesības un pienākumi pēc kiberuzbrukuma ir izplatīti vairākās tiesību jomās, un lietas iznākums lielā mērā ir atkarīgs no konkrētiem faktiem, līguma satura un dokumentu kvalitātes. Apspriestā judikatūra liecina, ka gan piegādātājs, gan klients tiek vērtēti pēc viņu pašu rīcības un ka tādi termiņi kā septiņdesmit divu stundu iepriekšējs paziņošanas periods atstāj maz vietas kavējumiem.
Law & More palīdz organizācijām un datu subjektiem kiberincidentu juridiskajā risināšanā: sākot ar paziņošanas pienākumu novērtēšanu un datu apstrādes līgumu pārskatīšanu līdz atbildības noteikšanai, apdrošināšanas jautājumiem un zaudējumu atgūšanai. Vai jūs saskaraties ar kiberuzbrukumu vai datu noplūdi, vai arī vēlaties, lai mūsu speciālisti iepriekš pārskatītu jūsu līgumus, ņemot vērā šos riskus? IT likums komanda? Lūdzu, jūtieties brīvi kontakts Law & More lai bez jebkādām saistībām apspriestu jūsu situāciju.
Biežāk uzdotie jautājumi
Zemāk mēs atbildēsim uz jautājumiem, kas mums tiek uzdoti visbiežāk par šo tēmu.
Kas ir kiberuzbrukuma upuri?
Pastāv trīs slāņi. Pirmkārt, pati skartā organizācija, kas sedz sistēmas dīkstāves, zaudētā apgrozījuma, atgūšanas izmaksas, kriminālistikas izmeklēšanas izmaksas un reputācijas kaitējumu. Otrkārt, datu subjekti, fiziskās personas, kuru personas dati ir tikuši atklāti, piemēram, klienti, darbinieki un pacienti. Treškārt, trešās personas, kas cieš zaudējumus līgumsaistību vai piegādes ķēdes attiecību dēļ, piemēram, tāpēc, ka tās ir atkarīgas no piegādātāja, kura darbība ir pārtraukta. Šī klasifikācija nosaka, uz kāda pamata puse var celt prasību un pret ko.
Kādā termiņā man jāpaziņo par datu noplūdi?
VDAR 33. pants paredz, ka uzraudzības iestāde ir jāpaziņo bez nepamatotas kavēšanās un, ja iespējams, septiņdesmit divu stundu laikā no brīža, kad pārkāpums ir kļuvis zināms. Šis pienākums neattiecas uz gadījumiem, kad pārkāpums, visticamāk, neradīs risku fizisku personu tiesībām un brīvībām. Lai veiktu šo novērtējumu, ir jāanalizē pārkāpuma raksturs, skarto datu kategorijas un iespējamās sekas.
Kad man ir jāinformē paši datu subjekti?
Saskaņā ar VDAR 34. pantu, ja pārkāpums varētu radīt augstu risku datu subjektu tiesībām un brīvībām, saziņu var nesniegt, ja ir ieviesti atbilstoši tehniski pasākumi, piemēram, šifrēšana, ja turpmāki pasākumi nodrošina, ka augstais risks vairs nematerializēsies, vai ja individuāla saziņa prasītu nesamērīgi lielas pūles. Pēdējā gadījumā pietiek ar publisku saziņu.
Vai es varu pieprasīt informāciju no piegādātāja, kura dati ir nozagti?
Jā, ja to paredz datu apstrādes līgums. Kopsavilkuma tiesvedībā starp Blauw Research un Nebu (Roterdamas rajona tiesa, 2023. gada 6. aprīlis, ECLI:NL:RBROT:2023:2931) pagaidu noregulējuma tiesnesis lēma, ka saskaņā ar datu apstrādes līgumu pārzinim ir tiesības saņemt vairāk informācijas par uzbrukumu, tā sekām un veiktajiem pasākumiem, nekā bija sniegts, un lika apstrādātājam veikt neatkarīgu tiesu izmeklēšanu un periodiski ziņot. Šī informācija ir nepieciešama, lai izpildītu jūsu pašu paziņošanas pienākumus.
Vai man kā datu subjektam automātiski pienākas kompensācija pēc datu pārkāpuma?
Nē. GDPR 82. pants nodrošina patstāvīgu pamatu, taču jums ir jāpierāda, ka GDPR ir pārkāpta, ka jums faktiski ir nodarīts kaitējums un ka pastāv cēloņsakarība starp pārkāpumu un šo kaitējumu. Pierādīšanas pienākums ir prasītājam.
Vai bailes no identitātes krāpšanas kvalificējas kā nemateriāls kaitējums?
Tas var būt. Lietā Natsionalna agentsia za prihodite (EST 2023. gada 14. decembris, C-340/21) Tiesa lēma, ka bailes no iespējamās turpmākās nopludināto personas datu ļaunprātīgas izmantošanas pašas par sevi var radīt nemateriālu kaitējumu. Tomēr datu subjektam ir konkrēti jāpamato šīs bailes un to sekas. Österreichische Post (EST 2023. gada 4. maijs, C-300/21) piebilst, ka nav noteikta minimālā pārkāpuma smaguma sliekšņa, bet ar VDAR pārkāpumu vien nepietiek.
Kam jāpierāda, ka drošības pasākumi bija atbilstoši?
Pārzinis. Lietā C-340/21 Tiesa apstiprināja, ka pārzinim ir jāpierāda, ka veiktie drošības pasākumi bija atbilstoši, un ka trešās personas uzbrukums pats par sevi neatbrīvo to no atbildības. Nīderlandē tas notika automašīnu tirgotāja uzlauztā e-pasta konta gadījumā, kur Arnhemas-Leuvardenas Apelācijas tiesa vispirms deva tirgotājam iespēju iesniegt šos pierādījumus (ECLI:NL:GHARL:2024:6812) un pēc tam lēma, ka tie nav iesniegti (ECLI:NL:GHARL:2025:4556).
Vai mans IT piegādātājs ir atbildīgs, ja tas nav atklājis uzbrukumu?
Tas atkarīgs no vienošanās. Lietā par kiberuzbrukumu Hof van Twente pašvaldībai (Overeiselas rajona tiesa, 2023. gada 10. maijs, ECLI:NL:RBOVE:2023:1731) puses bija vienojušās par funkcionālo uzraudzību, nevis drošības uzraudzību. Tiesa lēma, ka IT administratora rūpības pienākums nesniedzas tik tālu, lai drošības uzraudzība būtu tā netieša sastāvdaļa, un noraidīja prasību. Ja tiek nodrošināts plašāks kopējais pakalpojumu klāsts, rūpības pienākums var būt tālejošs, kā tas bija lietā O'Cliance (Overeiselas rajona tiesa...). Amsterdam, 2018. gada 14. novembris, ECLI:NL:RBAMS:2018:10124), kur piegādātājs tika atzīts par atbildīgu par divām trešdaļām zaudējumu.
Vai mana rīcība var samazināt kompensāciju?
Jā. Šādos gadījumos līdzvainība spēlē atkārtotu lomu. O'Cliance lietā viena trešdaļa zaudējumu palika klienta kontam, un uzlauztā e-pasta konta lietā pusēm bija jānovērš pircēja līdzvainība. Tādēļ jūsu pašu paroļu politika, atvērtās pieslēgvietas vai ignorētie brīdinājumi var tieši ietekmēt iznākumu.
Kādus sodus var piemērot datu aizsardzības iestāde?
Par GDPR pārkāpumiem uzraudzības iestāde var piemērot administratīvus naudas sodus līdz 20 miljoniem eiro vai 4% no gada apgrozījuma pasaulē, atkarībā no tā, kura summa ir lielāka. Šie naudas sodi nav atkarīgi no tā, vai atsevišķiem datu subjektiem faktiski ir nodarīts kaitējums, un tāpēc tie rada atsevišķu risku līdzās civiltiesiskajai atbildībai.
Vai es varu ziņot par nodarījumu un pieprasīt zaudējumu atlīdzināšanu kriminālprocesa ceļā?
Jā. Nīderlandes Kriminālkodeksa 138.ab(1) pants paredz, ka tīša un nelikumīga piekļuve automatizētai sistēmai ir noziegums. Jūs varat ziņot par nodarījumu policijai un, ja aizdomās turētais tiek saukts pie atbildības, pievienoties kriminālprocesam kā cietušajai personai, lai pieprasītu kompensāciju. Rezultāts ir atkarīgs no atklāšanas, kriminālvajāšanas un pierādījumiem, kas starptautiski darbojošos likumpārkāpēju gadījumā bieži vien nedod nekādu rezultātu.
Ko parasti sedz kiberapdrošināšana?
Parasti incidentu reaģēšana un kriminālistiskā izmeklēšana, sistēmu un datu atjaunošana, uzņēmējdarbības pārtraukuma zaudējumi un apgrozījuma zudums, krīzes komunikācija, atbildība pret trešajām personām un juridiskās izmaksas, kā arī dažos gadījumos naudas sodi, izlīguma maksājumi vai izpirkuma maksa tādā apmērā, kādā to paredz piemērojamie tiesību akti. Pirms incidenta rašanās pievērsiet uzmanību izņēmumiem, drošības nosacījumiem, paziņošanas periodiem un pašriskam, kā arī pārskatiet politiku.
Vai es varu zaudēt segumu, rīkojoties nepareizi pēc uzbrukuma?
Tas ir iespējams. Nīderlandes Civilkodeksa 7:957(1) pants uzliek apdrošinātajai personai pienākumu veikt saprātīgus pasākumus, lai novērstu vai ierobežotu zaudējumus; ja šis glābšanas pienākums netiek ievērots, apdrošinātājs var samazināt izmaksu. Ārējo ekspertu piesaistīšana vai izpirkuma maksas samaksa bez apdrošinātāja piekrišanas var ietekmēt arī segumu. Pēc iespējas ātrāk informējiet savu apdrošinātāju.
Kādi pasākumi man jāveic nekavējoties pēc kiberuzbrukuma?
Reģistrējiet incidentu un visas veiktās darbības, izolējiet skartās sistēmas, nezaudējot pierādījumus, un piesaistiet tiesu medicīnas ekspertu. Pēc tam novērtējiet, vai ir noticis ziņojams datu pārkāpums un vai ir jāinformē datu subjekti. Ziņojiet par pārkāpumu, informējiet savu kiberdrošības apdrošinātāju, saglabājiet žurnālus, dublējumus un saraksti, kartējiet zaudējumus un potenciāli atbildīgās puses, kā arī rūpīgi un savlaicīgi informējiet klientus, darbiniekus un piegādes ķēdes partnerus.
