التزامات الأمن السيبراني للشركات الهولندية

لم يعد الأمن السيبراني مجرد مسألة تقنية بالنسبة للشركات الهولندية، بل أصبح مجموعة من الواجبات القانونية التي تخضع لإشراف جهات رقابية. وتسري ثلاثة التزامات على جميع المؤسسات تقريباً، بغض النظر عن القطاع: الحفاظ على أمان البيانات الشخصية، والإبلاغ عن خروقات البيانات، والقدرة على إثبات الالتزام بكلا الأمرين.

أمن البيانات الشخصية

يتطلب النظام الأوروبي العام لحماية البيانات (GDPR) اتخاذ تدابير تقنية وتنظيمية مناسبة لحماية البيانات الشخصية، تُقيّم وفقًا لأحدث التقنيات، وتكلفة التنفيذ، والمخاطر التي قد يتعرض لها الأفراد المعنيون. فما يُعدّ مناسبًا لعيادة صغيرة يديرها شخصان لا يُعدّ مناسبًا لشركة تعالج بيانات صحية على نطاق واسع، ويرتفع مستوى الحماية مع ازدياد المخاطر.

عمليًا، لا تُعدّ الإجراءات التي تتوقعها جهة الرقابة استثنائية: التحكم في الوصول والمصادقة متعددة العوامل، وتشفير الأجهزة والنسخ الاحتياطية، وتحديث البرامج، وفصل بيئات العمل، وتسجيل البيانات، وإجراءات استعادة مُختبرة. ما يُميّز المؤسسة التي تجتاز التدقيق بنجاح هو توثيق هذه الإجراءات ومراجعتها قبل وقوع أي مشكلة.

الإبلاغ عن خرق البيانات

يجب الإبلاغ عن أي خرق للبيانات الشخصية إلى هيئة حماية البيانات الهولندية في غضون 72 ساعة من اكتشافه، إلا إذا كان من غير المرجح أن يُعرّض المتضررين للخطر. وفي حال كان الخطر عليهم مرتفعاً، يجب إبلاغهم أيضاً دون تأخير.

72 ساعة مدة قصيرة، والوقت يبدأ من لحظة اكتشاف الحادثة لا من لحظة اكتمال التحقيق. لذا، فإنّ إجراءات التعامل مع الحوادث - من يقرر، ومن يُستدعى، وما يُسجّل - أهم من أي إجراء تقني منفرد. يجب تسجيل كل خرق داخليًا، بما في ذلك ما لم يُبلّغ عنه، مع توضيح أسباب هذا القرار.

التزامات القطاع وسلسلة التوريد

تواجه المنظمات في القطاعات المصنفة كقطاعات أساسية أو مهمة بموجب الإطار الأوروبي لأمن الشبكات والمعلومات واجبات إضافية تتعلق بإدارة المخاطر، والإبلاغ عن الحوادث، ومساءلة الإدارة، وذلك عند تطبيق هذا الإطار في القانون الهولندي. كما تواجه المؤسسات المالية نظامها الخاص بالمرونة التشغيلية.

حتى خارج هذه القطاعات، تنشأ الالتزامات بموجب العقود. يفرض العملاء الكبار الآن متطلبات أمنية، وحقوق تدقيق، وفترات إخطار بالاختراقات في عقودهم، كما أن اتفاقية المعالجة إلزامية كلما تمت معالجة البيانات الشخصية نيابةً عن جهة أخرى. عمليًا، تلتزم معظم الشركات الهولندية بهذه المعايير أولًا لأن طرفًا مقابلًا طلبها، وليس لأن جهة تنظيمية فعلت ذلك.

المسؤوليات القانونية بعد وقوع حادث

قد يُؤدي حادثٌ ما إلى مطالباتٍ من جهاتٍ عديدةٍ في آنٍ واحد: من الجهة التنظيمية، ومن الأفراد الذين سُرّبت بياناتهم، ومن العملاء المتعاقدين، وبشكلٍ متزايدٍ من خلال الدعاوى الجماعية. ويعتمد ردّ شركات التأمين على بنود وثيقة التأمين، وعلى قدرة شركة التأمين على إثبات عدم الالتزام بالتدابير المتفق عليها، وهو سببٌ آخر لضرورة تقديم الأدلة على ما كان مُطبّقاً.

ما يجب القيام به أولا

ثلاثة أشياء لها أكبر قدر من الأهمية بأقل جهد: إجراء مكتوب للحوادث يحدد الأشخاص بدلاً من الأدوار؛ سجل حالي لأنشطة المعالجة والمعالجات التي تستخدمها؛ واستعادة مختبرة، لأن الفرق بين الحادث والكارثة عادة ما يكون ما إذا كانت النسخ الاحتياطية قد نجحت أم لا.

نصائح

نقدم الاستشارات بشأن اتفاقيات الأمن ومعالجة البيانات، والإبلاغ عن الاختراقات والمراسلات التنظيمية، والمسؤولية القانونية بعد وقوع أي حادث. يرجى التواصل معنا. Law & More.