Detyrimet e sigurisë kibernetike: çfarë kërkojnë GDPR dhe Cbw

Çdo biznes holandez që përpunon të dhëna personale duhet t'i sigurojë ato sipas Nenit 32 të GDPR-së dhe të raportojë një shkelje të të dhënave te Autoriteti Holandez i Mbrojtjes së të Dhënave (Autoriteit Persoonsgegevens, AP) brenda 72 orëve sipas Nenit 33 të GDPR-së. Për më tepër, që nga 15 gushti 2026, më shumë se 8,000 organizata thelbësore dhe të rëndësishme duhet të jenë në përputhje me Aktin e Sigurisë Kibernetike (Cyberbeveiligingswet, Cbw), zbatimin holandez të direktivës NIS2 të BE-së; bankat dhe subjektet e tjera financiare ndjekin DORA-n për këto çështje.

Çfarë kërkon GDPR për sigurinë e të dhënave?

Masat e duhura teknike dhe organizative, të vlerësuara në krahasim me gjendjen aktuale të teknologjisë, koston e zbatimit dhe rrezikun për personat e përfshirë (Neni 32 i GDPR-së). Ajo që është e përshtatshme për një praktikë me dy persona ndryshon nga ajo që i duhet një kompanie që përpunon të dhëna shëndetësore në shkallë të gjerë; standardi rritet me rrezikun.

AP pret të shohë masa të parëndësishme: kontroll të aksesit dhe vërtetim shumëfaktorësh, enkriptim të pajisjeve dhe kopjeve rezervë, patch-im, regjistrim dhe një procedurë të testuar rivendosjeje. Ajo që ju ndihmon t'i mbijetoni shqyrtimit është se këto masa janë dokumentuar dhe rishikuar përpara se të shkojë ndonjë gjë keq.

Kur duhet të raportohet një shkelje e të dhënave?

Brenda 72 orëve nga marrja dijeni për këtë, te AP-ja, përveç nëse shkelja nuk ka gjasa të rezultojë në rrezik për personat e prekur (Neni 33 i GDPR-së). Kur rreziku për ta është i lartë, ju duhet t'i informoni edhe ata persona pa vonesë të panevojshme (Neni 34 i GDPR-së).

Koha fillon nga ndërgjegjësimi, jo nga një hetim i përfunduar, kështu që një procedurë incidenti (kush vendos, kush thirret, çfarë regjistrohet) vlen më shumë se çdo kontroll i vetëm teknik. Sipas Nenit 33(5) të GDPR-së, ju duhet të regjistroni çdo shkelje brenda kompanisë, duke përfshirë ato që nuk i raportoni, me arsyetimin për atë vendim.

Çfarë shton Cyberbeveiligingswet?

Regjistrimi, një detyrim kujdesi dhe raportimi incidentesh për organizatat në 18 sektorë, siç janë energjia, transporti, kujdesi shëndetësor, infrastruktura dixhitale dhe administrata publike. Cbw dhe Akti i Rezistencës së Subjekteve Kritike (Wet weerbaarheid kritike entiteiten) hynë në fuqi më 15 gusht 2026. Organizatat brenda fushëveprimit duhet të regjistrohen në Qendrën Kombëtare të Sigurisë Kibernetike (NCSC), të marrin masa për menaxhimin e riskut dhe të raportojnë incidente të rëndësishme te CSIRT dhe mbikëqyrësi i sektorit të tyre brenda afateve statutore.

Bordi drejtues duhet të miratojë dhe mbikëqyrë këto masa dhe duhet të ketë njohuri të mjaftueshme, përfshirë trajnimin; nuk mund t'ia delegojë këtë thjesht departamentit të IT-së. Brenda disa ditësh nga hyrja në fuqi, vetëm rreth 3,200 nga më shumë se 8,000 organizata ishin regjistruar, prandaj kontrolloni regjistrimin tuaj tani nëse mund të jeni brenda fushëveprimit.

Si i arrin kjo organizatat jashtë fushëveprimit të Cbw-së?

Përmes kontratave. Klientët më të mëdhenj gjithnjë e më shumë imponojnë kërkesa sigurie, të drejta auditimi dhe periudha njoftimi për shkelje, dhe një marrëveshje përpunimi sipas Nenit 28 të GDPR është e detyrueshme sa herë që përpunoni të dhëna personale në emër të dikujt tjetër. Shumë kompani holandeze i përmbushin këto standarde së pari sepse një klient në fushën e Cbw i kërkoi ato.

Kush mund të paraqesë një padi pas një incidenti?

AP-ja, e cila mund të gjobisë deri në 20 milionë euro ose 4% të xhiros botërore sipas Nenit 83 të GDPR-së; individët, të cilët mund të kërkojnë kompensim sipas Nenit 82 të GDPR-së; klientët sipas kontratës; dhe grupet përmes një veprimi kolektiv sipas WAMCA-së. Nëse sigurimi juaj paguan varet nga formulimi i polisës dhe nëse mund të tregoni se masat e rëna dakord ishin në fuqi.

Çfarë duhet të kontrolloni si organizatë në kuadër të Cbw-së?

• A jeni regjistruar në NCSC?
• A i ka miratuar bordi masat e menaxhimit të riskut dhe a ka përfunduar trajnimin?
• A i dini pragjet e sektorit tuaj për një incident të rëndësishëm dhe kujt ia raportoni?
• A imponojnë kontratat tuaja me furnizuesit detyrime sigurie dhe njoftimi?
• A mund të raportoni gjithashtu një shkelje të të dhënave personale te AP brenda 72 orëve?

Çfarë duhet të kontrolloni si furnizues për organizata të tilla?

• Cilat kërkesa sigurie dhe të drejta auditimi imponon kontrata juaj me klientin?
• Sa shpejt duhet ta njoftoni klientin tuaj për një incident?
• A ekziston ndonjë marrëveshje përpunimi sipas Nenit 28 të GDPR-së ku ju trajtoni të dhëna personale?
• A është përgjegjësia juaj për një incident e kufizuar dhe a e mbulon sigurimi juaj atë?

Çfarë mund të bëjmë për ju me detyrimet e sigurisë kibernetike?

Avokatët tanë të IT-së japin këshilla mbi anën ligjore të sigurisë kibernetike. Ne mund të:

• Vlerësoni nëse organizata juaj bie brenda fushëveprimit të Cbw-së.
• Hartoni ose rishikoni marrëveshjet e përpunimit dhe klauzolat e sigurisë në kontratat e furnizuesit.
• Shkruani procedurën tuaj të njoftimit për incidentin dhe shkeljen.
• Trajtoni njoftimin për shkelje dhe korrespondencën me AP-në.
• Këshilloni mbi përgjegjësinë ndaj klientëve dhe individëve pas një incidenti.

përmbledhje

• Neni 32 i GDPR-së kërkon masa sigurie të përputhshme me gjendjen aktuale të teknologjisë dhe rrezikun, për çdo organizatë që përpunon të dhëna personale.
• Një shkelje e të dhënave normalisht duhet t'i raportohet AP-së brenda 72 orëve nga marrja e dijenisë për të.
• Që nga 15 gushti 2026, Cbw shton detyrat e regjistrimit, menaxhimit të riskut dhe raportimit të incidenteve për më shumë se 8,000 organizata, me llogaridhënie nga bordi.
• Një incident mund të shkaktojë pretendime nga AP-ja, individë, klientë dhe veprime kolektive.