Nga Tom Meevis, avokat në Law & More
Sulmet kibernetike si ransomware, phishing, sulmet DDoS dhe ndërhyrja në kompjuter rrallë prekin vetëm organizatën nën sulm. Viktimat e sulmeve kibernetike përfshijnë gjithashtu klientë, punonjës, pacientë, furnizues dhe partnerë të tjerë të zinxhirit të furnizimit që mund të pësojnë humbje, dhe pozicioni i tyre ligjor ndryshon nga grupi në grup. Kushdo që kërkon të përcaktojë, pas një sulmi, se cilat detyrime zbatohen dhe cilat pretendime ekzistojnë, prandaj këshillohet që së pari të përcaktojë saktësisht se kush është prekur dhe çfarë dëmi ka shkaktuar.
Ky artikull trajton me radhë se kush kualifikohet si viktimë, kur duhet të njoftohet për një shkelje të të dhënave, mbi cilat kushte ekziston e drejta për kompensim, cilat palë mund të jenë përgjegjëse, çfarë roli luan ligji penal, çfarë mbulon zakonisht një polisë sigurimi kibernetik dhe cilat hapa duhet të ndërmerren menjëherë pas një sulmi.
Kush janë viktimat e sulmeve kibernetike?
Në një sulm kibernetik mund të dallohen tre grupe.
- Vetë organizata e prekur, e cila përballet me ndërprerje të sistemit, humbje të fluksit të punonjësve, kosto të rikuperimit, kosto të hetimit mjeko-ligjor dhe dëmtim të reputacionit.
- Personat fizikë, të dhënat personale të të cilëve janë ekspozuar, siç janë klientët, punonjësit dhe pacientët. Ata mund të pësojnë humbje financiare, por edhe dëme jomateriale përmes humbjes së kontrollit mbi të dhënat e tyre, pasigurisë ose frikës nga mashtrimi i identitetit.
- Palët e treta të prekura përmes një marrëdhënieje kontraktuale ose të zinxhirit të furnizimit, për shembull sepse ato varen nga një furnizues, sistemet e të cilit kanë rënë.
Ky klasifikim është ligjërisht i rëndësishëm. Baza e çdo pretendimi dhe pala kundër së cilës mund të ngrihet ai, varen nga pozicioni i viktimës. Një organizatë e prekur në përgjithësi do ta mbajë përgjegjës furnizuesin e saj të IT-së sipas kontratës, ndërsa një subjekt i të dhënave mund të mbështetet drejtpërdrejt në bazën e pavarur për përgjegjësi që ofron GDPR.
Kur duhet të njoftohet një shkelje e të dhënave?
Kur të dhënat personale përfshihen në një sulm kibernetik, duhet të vlerësohet nëse ka një shkelje të të dhënave personale dhe nëse njoftimi është i detyrueshëm. Neni 33 i GDPR-së kërkon që një shkelje t'i njoftohet autoritetit mbikëqyrës pa vonesë të panevojshme dhe, kur është e mundur, brenda shtatëdhjetë e dy orëve, përveç nëse shkelja nuk ka gjasa të rezultojë në një rrezik për të drejtat dhe liritë e personave fizikë.
Përveç kësaj, Neni 34 i GDPR-së mund të kërkojë që organizata të informojë vetë subjektet e të dhënave. Ky detyrim lind kur shkelja ka të ngjarë të rezultojë në një rrezik të lartë për të drejtat dhe liritë e tyre. Komunikimi mund të mos kryhet kur janë në fuqi masa të përshtatshme teknike, siç është enkriptimi, kur masat pasuese sigurojnë që rreziku i lartë nuk do të materializohet më, ose kur komunikimi individual do të përfshinte përpjekje joproporcionale; në rastin e fundit mjafton një komunikim publik.
Për subjektin e të dhënave, ky komunikim është më shumë sesa një formalitet. Ai i mundëson atij të marrë masat e veta, për shembull duke ndryshuar fjalëkalimet ose duke vëzhguar transaksione të dyshimta, dhe në praktikë shpesh është pika fillestare e çdo kërkese për kompensim.
Prandaj, një organizatë duhet të përcaktojë jo vetëm që ka ndodhur një sulm, por edhe se cilat të dhëna janë prekur, nëse të dhënat janë nxjerrë në fakt dhe çfarë rreziqesh rrjedhin nga kjo. Një hetim i pavarur mjeko-ligjor është shpesh i domosdoshëm për këtë qëllim.
Kjo vlen edhe më shumë kur sulmi ndodh ndaj një përpunuesi sesa ndaj vetë organizatës. Në procedurën e shkurtër midis Blauw Research dhe Nebu (Gjykata e Qarkut të Roterdamit, 6 Prill 2023, ECLI:NL:RBROT:2023:2931) gjyqtari i ndërmjetëm vendosi që, sipas marrëveshjes së përpunimit të të dhënave të lidhur midis palëve, kontrolluesi kishte të drejtë për më shumë informacion në lidhje me sulmin, pasojat e tij dhe masat e marra sesa ishte dhënë fillimisht. Përpunuesit iu urdhërua gjithashtu të kryente një hetim të pavarur mjeko-ligjor dhe të raportonte periodikisht. Vendimi tregon se një marrëveshje e hartuar mirë për përpunimin e të dhënave është në praktikë instrumenti më i rëndësishëm për marrjen e informacionit në kohë pas një incidenti, pikërisht sepse kontrolluesit i duhet ky informacion për të kryer detyrat e tij të njoftimit.
Kur lind e drejta për kompensim?
Subjektet e të dhënave mund të kërkojnë kompensim nga kontrolluesi ose përpunuesi sipas Nenit 82 të GDPR-së. Megjithatë, një sulm kibernetik nuk shkakton automatikisht një kërkesë. Ajo duhet të jetë e argumentuar:
- që GDPR është shkelur;
- që dëmi është pësuar në të vërtetë; dhe
- se ekziston një lidhje shkakësore midis asaj shkeljeje dhe atij dëmi.
Dëmi material mund të përbëhet nga humbje financiare, kosto rikuperimi ose humbje të shkaktuara nga mashtrimi me identitetin. Sa i përket dëmit jomaterial, Gjykata e Drejtësisë e Bashkimit Evropian vendosi në çështjen Österreichische Post (GJED 4 maj 2023, C-300/21) se nuk ka një prag minimal serioziteti, por se vetëm shkelja e GDPR-së nuk është e mjaftueshme për një shpërblim.
Me rëndësi të veçantë për shkeljet e të dhënave pas një sulmi kibernetik është Agjencia Kombëtare për të Drejtat e Njeriut (GjED 14 dhjetor 2023, C-340/21). Atje, Gjykata vendosi që frika nga keqpërdorimi i mundshëm në të ardhmen i të dhënave personale të rrjedhura mund të përbëjë në vetvete dëm jomaterial. Megjithatë, subjekti i të dhënave duhet ta vërtetojë këtë frikë dhe pasojat e saj konkretisht; thjesht të tregosh faktin se të dhënat janë rrjedhur nuk është e mjaftueshme. Në të njëjtin vendim, Gjykata konfirmoi se i takon kontrolluesit të provojë se masat e sigurisë të marra ishin të përshtatshme dhe se një sulm nga një palë e tretë nuk e përjashton në vetvete kontrolluesin nga përgjegjësia.
Përgjegjësia sipas GDPR-së ekziston së bashku me bazat e së drejtës civile të shkeljes së kontratës dhe deliktit. Sipas Nenit 6:162(1) të Kodit Civil Holandez, një palë që kryen një veprim të paligjshëm që i atribuohet duhet të kompensojë dëmin e shkaktuar. Zbatohet kërkesa e relativitetit të Nenit 6:163: norma e shkelur duhet të shërbejë për të mbrojtur kundër llojit të dëmit që ka pësuar pala e dëmtuar.
Është e rëndësishme të theksohet se Neni 82 i GDPR-së ekziston së bashku me këto baza. Prandaj, një subjekt i të dhënave nuk është i detyruar të ngrejë një kërkesë vetëm mbi shkeljen e kontratës ose deliktin, por mund të mbështetet drejtpërdrejt në bazën e pavarur për përgjegjësi që ofron GDPR-ja. Për organizatën e prekur, ky kombinim bazash do të thotë që disa palë mund të ngrenë kërkesa në të njëjtën kohë pas një sulmi.
Kush mund të jetë përgjegjës?
Organizata e prekur mund të jetë përgjegjëse kur nuk i përmbush detyrimet e saj kontraktuale ose ka marrë masa të pamjaftueshme sigurie. Një ofrues ose përpunues i shërbimeve të IT-së gjithashtu mund të mbahet përgjegjës. Ajo që mund të pritet nga ai ofrues shërbimi përcaktohet para së gjithash nga kontrata.
Brenda një marrëdhënieje përpunimi, marrëveshja e përpunimit të të dhënave luan një rol qendror. Neni 28 i GDPR-së kërkon që kontrolluesi dhe përpunuesi të lidhin një marrëveshje të tillë, e cila rregullon, ndër të tjera, masat e sigurisë dhe trajtimin e shkeljeve të të dhënave. Kur sulmi rezulton nga siguria e pamjaftueshme te përpunuesi, kontrolluesi mund ta mbajë përpunuesin përgjegjës sipas asaj marrëveshjeje për humbjen që rezulton.
Kjo del qartë nga çështja që ka të bëjë me sulmin kibernetik ndaj komunës Hof van Twente (Gjykata e Qarkut të Overijssel, 10 maj 2023, ECLI:NL:RBOVE:2023:1731). Palët kishin rënë dakord për monitorimin funksional, jo për monitorimin e sigurisë. Gjykata vendosi që detyra e kujdesit të një administratori të IT-së nuk shtrihet aq larg sa monitorimi i sigurisë të formojë një pjesë të heshtur të një caktimi për monitorimin funksional, dhe e hodhi poshtë pretendimin e komunës. Ajo gjithashtu vlerësoi se komuna vetë kishte marrë vendime që rrisnin rrezikun, duke përfshirë politikën e saj të fjalëkalimeve dhe hapjen e një porti RDP.
Imazhi në pasqyrë është çështja O'Cliance (Gjykata e Qarkut të Amsterdam, 14 nëntor 2018, ECLI:NL:RBAMS:2018:10124). Atje, furnizuesi kishte instaluar një infrastrukturë të plotë IT-je dhe kishte marrë përsipër menaxhimin e saj. Pas një sulmi ransomware në të cilin kopjet rezervë ishin gjithashtu të enkriptuara, gjykata vendosi që furnizimi i një pakete kaq të plotë mbartte një detyrim të kujdesit të gjerë dhe se masat e thjeshta ishin lënë jashtë. Megjithatë, përgjegjësia nuk u dha e plotë: për shkak të fajit kontribues të klientit, dy të tretat e dëmit mbetën për llogari të furnizuesit.
Se sa e rëndë mund të jetë barra e provës mbi sigurinë e duhur ilustrohet nga rasti i llogarisë së hakuar të email-it të një shitësi makinash. Në vendimin e ndërmjetëm të 5 nëntorit 2024 (Gjykata e Apelit e Arnhem-Leeuwarden, ECLI:NL:GHARL:2024:6812) shitësit iu dha mundësia të provonte se llogaria e tij e email-it ishte siguruar siç duhet sipas kuptimit të GDPR-së, pasi një haker e kishte përdorur atë llogari për t'i dërguar një udhëzim të rremë pagese një blerësi. Në vendimin pasues të 22 korrikut 2025 (ECLI:NL:GHARL:2025:4556) gjykata zbuloi se kjo provë nuk ishte dorëzuar, pas së cilës palët ende duhej të adresonin fajin kontribues të blerësit. Prandaj, të dy vendimet kanë të bëjnë me të njëjtat procedura.
E përbashkëta është se marrëveshjet kontraktuale, rreziqet e përpunimit, masat e marra në të vërtetë, paralajmërimet e dhëna nga të dyja palët dhe sjellja e vetë palës së dëmtuar, të gjitha kanë rëndësi. Krahas përgjegjësisë civile, Autoriteti Holandez i Mbrojtjes së të Dhënave mund të vendosë gjoba administrative deri në 20 milionë euro ose 4 përqind të xhiros vjetore në mbarë botën, cilado qoftë më e lartë. Këto gjoba janë të pavarura nëse subjektet individuale të të dhënave kanë pësuar dëme.
Rruga e së drejtës penale
Një sulm kibernetik mund të përbëjë gjithashtu një vepër penale, siç është ndërhyrja në kompjuter, bërja e të dhënave të paarritshme ose përvetësimi i të dhënave jo-publike. Neni 138ab(1) i Kodit Penal Holandez e konsideron vepër penale fitimin e qëllimshëm dhe të paligjshëm të aksesit në një sistem të automatizuar.
Viktimat mund ta raportojnë veprën penale në polici, e cila ka ekipe të specializuara kundër krimit kibernetik. Kur një i dyshuar ndiqet penalisht, viktima mund t'i bashkohet procedurave penale si palë e dëmtuar dhe të kërkojë kompensim atje. Kjo rrugë shmang procedurat e ndara civile, por rezultati varet nga zbulimi, ndjekja penale dhe provat, të cilat me shkelësit që veprojnë ndërkombëtarisht shpesh nuk japin rezultat. Për organizatat, raportimi është shpesh edhe një domosdoshmëri praktike, sepse siguruesit dhe partnerët e zinxhirit të furnizimit e kërkojnë atë.
Çfarë mbulon sigurimi kibernetik?
Një polisë sigurimi kibernetik mund të ofrojë mbulim, ndër të tjera, për:
- reagim ndaj incidenteve dhe hetim mjeko-ligjor;
- restaurimi i sistemeve dhe të dhënave;
- humbjet nga ndërprerjet e biznesit dhe humbja e xhiros;
- komunikimi në rast krize;
- përgjegjësia ndaj palëve të treta;
- kostot ligjore; dhe
- në disa raste gjoba, pagesa zgjidhjeje ose shpërblim, në masën e sigurueshme sipas ligjit në fuqi.
Mbulimi i saktë varet nga polica. Kushtojini vëmendje përjashtimeve, kushteve të sigurisë, periudhave të njoftimit, zbritjeve dhe kërkesave për angazhimin e ekspertëve. Neni 7:957(1) i Kodit Civil Holandez gjithashtu detyron një palë të siguruar të marrë masa të arsyeshme për të parandaluar ose kufizuar humbjen. Kur nuk respektohet ky detyrim i shpëtimit, siguruesi mund të zvogëlojë pagesën.
Prandaj, siguruesi kibernetik duhet të informohet sa më shpejt të jetë e mundur. Angazhimi i ekspertëve të jashtëm ose pagesa e një shpërblimi pa pëlqimin e siguruesit mund të ndikojë në mbulim.
Çfarë duhet të bëni menjëherë pas një sulmi kibernetik?
- Regjistroni me kujdes incidentin dhe të gjitha veprimet përkatëse.
- Izoloni sistemet e prekura pa humbur prova.
- Angazhoni një ekspert mjeko-ligjor.
- Vlerësoni nëse ka një shkelje të të dhënave që duhet të njoftohet.
- Vlerësoni nëse subjektet e të dhënave duhet të informohen.
- Raportoni shkeljen në polici.
- Njoftoni incidentin siguruesit tuaj kibernetik.
- Ruani regjistrat, kopjet rezervë, email-et dhe të dhënat e tjera përkatëse.
- Hartoni dëmin dhe palët potencialisht përgjegjëse.
- Informoni klientët, punonjësit dhe partnerët e zinxhirit të furnizimit me kujdes dhe në kohën e duhur.
Prandaj, një sulm kibernetik nuk është thjesht një incident teknik. Ai është gjithashtu një çështje e mbrojtjes së të dhënave, e së drejtës civile, e së drejtës penale dhe e së drejtës së sigurimeve. Një përgjigje e shpejtë dhe e dokumentuar mirë jo vetëm që kufizon dëmin, por është vendimtare për njoftimet, mbulimin e sigurimit dhe pozicionin tuaj provues në çdo procedurë.
Në mbyllje
Të drejtat dhe detyrimet pas një sulmi kibernetik shtrihen në disa fusha të ligjit, dhe rezultati i një çështjeje varet shumë nga faktet specifike, përmbajtja e kontratës dhe cilësia e të dhënave. Jurisprudenca e diskutuar tregon se furnizuesi dhe klienti gjykohen njësoj për sjelljen e tyre, dhe se afatet siç është periudha e njoftimit prej shtatëdhjetë e dy orësh lënë pak hapësirë për vonesë.
Law & More ndihmon organizatat dhe subjektet e të dhënave me trajtimin ligjor të incidenteve kibernetike: nga vlerësimi i detyrimeve të njoftimit dhe shqyrtimi i marrëveshjeve të përpunimit të të dhënave deri te përcaktimi i përgjegjësisë, çështjet e sigurimit dhe rikuperimi i humbjeve. A keni të bëni me një sulm kibernetik ose një shkelje të të dhënave, apo dëshironi që kontratat tuaja të shqyrtohen paraprakisht nga ne kundrejt këtyre rreziqeve? Ligji i TI-së ekip? Ju lutem mos ngurroni të na kontaktoni Law & More për një diskutim pa detyrime të situatës suaj.
Pyetjet më të shpeshta
Më poshtë do t'u përgjigjemi pyetjeve që na bëhen më shpesh në lidhje me këtë temë.
Kush janë viktimat e një sulmi kibernetik?
Ekzistojnë tre shtresa. Së pari, vetë organizata e prekur, e cila mban përgjegjësi për ndërprerjen e sistemit, humbjen e xhiros, kostot e rikuperimit, koston e hetimit mjeko-ligjor dhe dëmtimin e reputacionit. Së dyti, subjektet e të dhënave, personat fizikë, të dhënat personale të të cilëve janë ekspozuar, siç janë klientët, punonjësit dhe pacientët. Së treti, palët e treta që pësojnë humbje përmes një marrëdhënieje kontraktuale ose të zinxhirit të furnizimit, për shembull sepse varen nga një furnizues që ka rënë. Ky klasifikim përcakton se mbi çfarë baze një palë mund të ngrejë një padi dhe kundër kujt.
Brenda çfarë afati duhet të njoftoj për një shkelje të të dhënave?
Neni 33 i GDPR-së kërkon njoftimin e autoritetit mbikëqyrës pa vonesë të panevojshme dhe, kur është e mundur, brenda shtatëdhjetë e dy orëve nga marrja dijeni për shkeljen. Detyrimi nuk zbatohet kur shkelja nuk ka gjasa të rezultojë në rrezik për të drejtat dhe liritë e personave fizikë. Ky vlerësim kërkon një analizë të natyrës së shkeljes, kategorive të të dhënave të prekura dhe pasojave të mundshme.
Kur duhet t'i informoj vetë subjektet e të dhënave?
Sipas Nenit 34 të GDPR-së, kur shkelja ka të ngjarë të rezultojë në një rrezik të lartë për të drejtat dhe liritë e subjekteve të të dhënave, komunikimi mund të mos kryhet kur janë në fuqi masa të përshtatshme teknike, siç është enkriptimi, kur masat pasuese sigurojnë që rreziku i lartë nuk do të materializohet më, ose kur komunikimi individual do të përfshinte përpjekje joproporcionale. Në rastin e fundit, mjafton një komunikim publik.
A mund të detyroj të marr informacion nga një furnizues që është hakuar?
Po, kur një marrëveshje për përpunimin e të dhënave e parashikon këtë. Në procedurën e shkurtër midis Blauw Research dhe Nebu (Gjykata e Qarkut të Roterdamit, 6 Prill 2023, ECLI:NL:RBROT:2023:2931) gjyqtari i ndërmjetëm vendosi që sipas marrëveshjes për përpunimin e të dhënave, kontrolluesi kishte të drejtë për më shumë informacion në lidhje me sulmin, pasojat e tij dhe masat e marra sesa ishte dhënë, dhe urdhëroi përpunuesin të kryente një hetim të pavarur mjeko-ligjor dhe të raportonte periodikisht. Ky informacion është i nevojshëm për të kryer detyrat tuaja të njoftimit.
Si subjekt i të dhënave, a kam automatikisht të drejtë për kompensim pas një shkeljeje të të dhënave?
Jo. Neni 82 i GDPR-së ofron një bazë të pavarur, por ju duhet të vërtetoni se GDPR është shkelur, se ju në fakt keni pësuar dëm dhe se ekziston një lidhje shkakësore midis shkeljes dhe atij dëmi. Barra e provës i takon paditësit.
A kualifikohet frika nga mashtrimi i identitetit si dëm jomaterial?
Mund të jetë. Në çështjen Agjencia Kombëtare e të Drejtave të Njeriut (GjED 14 dhjetor 2023, C-340/21), Gjykata e Drejtësisë vendosi se frika nga keqpërdorimi i mundshëm në të ardhmen i të dhënave personale të rrjedhura mund të përbëjë në vetvete dëm jomaterial. Megjithatë, subjekti i të dhënave duhet ta vërtetojë konkretisht këtë frikë dhe pasojat e saj. Österreichische Post (GjED 4 maj 2023, C-300/21) shton se nuk ka një prag minimal serioziteti, por se vetëm shkelja e GDPR-së nuk është e mjaftueshme.
Kush duhet të vërtetojë se masat e sigurisë ishin të përshtatshme?
Kontrolluesi. Në çështjen C-340/21, Gjykata e Drejtësisë konfirmoi se është detyrë e kontrolluesit të tregojë se masat e sigurisë të marra ishin të përshtatshme dhe se një sulm nga një palë e tretë nuk e përjashton në vetvete atë nga përgjegjësia. Në Holandë, kjo u shfaq në rastin e llogarisë së hakuar të email-it të një shitësi makinash, ku Gjykata e Apelit e Arnhem-Leeuwarden fillimisht i dha shitësit mundësinë të paraqiste atë provë (ECLI:NL:GHARL:2024:6812) dhe më pas vendosi se nuk ishte paraqitur (ECLI:NL:GHARL:2025:4556).
A është furnizuesi im i IT-së përgjegjës nëse nuk arrin të zbulojë një sulm?
Kjo varet nga ajo që është rënë dakord. Në çështjen që ka të bëjë me sulmin kibernetik ndaj komunës Hof van Twente (Gjykata e Qarkut të Overijssel, 10 maj 2023, ECLI:NL:RBOVE:2023:1731) palët kishin rënë dakord për monitorimin funksional, jo për monitorimin e sigurisë. Gjykata vendosi që detyra e kujdesit të një administratori të IT-së nuk shtrihet aq larg sa monitorimi i sigurisë të formojë një pjesë të heshtur të saj, dhe e rrëzoi kërkesën. Kur ofrohet një paketë më e gjerë, detyra e kujdesit mund të jetë e gjithanshme, si në O'Cliance (Gjykata e Qarkut të Overijssel). Amsterdam, 14 nëntor 2018, ECLI:NL:RBAMS:2018:10124), ku furnizuesi u mbajt përgjegjës për dy të tretat e humbjes.
A mund ta ulë sjellja ime kompensimin?
Po. Faji kontribues luan një rol të përsëritur në këto raste. Në rastin O'Cliance, një e treta e humbjes mbeti për llogarinë e klientit, dhe në rastin e llogarisë së email-it të hakuar, palët u detyruan të adresonin fajin kontribues të blerësit. Politika juaj e fjalëkalimit, portat e lëna hapur ose paralajmërimet e injoruara mund të ndikojnë drejtpërdrejt në rezultat.
Çfarë gjobash mund të vendosë autoriteti i mbrojtjes së të dhënave?
Për shkelje të GDPR-së, autoriteti mbikëqyrës mund të vendosë gjoba administrative deri në 20 milionë euro ose 4 përqind të xhiros vjetore në mbarë botën, cilado qoftë më e lartë. Këto gjoba janë të pavarura nëse subjektet individuale të të dhënave kanë pësuar dëme dhe për këtë arsye përfaqësojnë një rrezik të veçantë së bashku me përgjegjësinë civile.
A mund ta denoncoj veprën penale dhe të kërkoj dëmshpërblim për humbjen time përmes procedurës penale?
Po. Neni 138ab(1) i Kodit Penal Holandez e konsideron vepër penale fitimin e qëllimshëm dhe të paligjshëm të aksesit në një sistem të automatizuar. Ju mund ta raportoni veprën penale në polici dhe, kur një i dyshuar ndiqet penalisht, mund të bashkoheni në procedurat penale si palë e dëmtuar për të kërkuar kompensim atje. Rezultati varet nga zbulimi, ndjekja penale dhe provat, të cilat me shkelësit që veprojnë ndërkombëtarisht shpesh nuk japin rezultat.
Çfarë mbulon zakonisht sigurimi kibernetik?
Zakonisht reagimi ndaj incidenteve dhe hetimi mjeko-ligjor, rivendosja e sistemeve dhe të dhënave, humbjet nga ndërprerjet e biznesit dhe xhiroja e humbur, komunikimi në kriza, përgjegjësia ndaj palëve të treta dhe kostot ligjore, dhe në disa raste gjobat, pagesat e zgjidhjes ose shpërblimi në masën e sigurueshme sipas ligjit në fuqi. Kushtojini vëmendje përjashtimeve, kushteve të sigurisë, periudhave të njoftimit dhe zbritjeve, dhe rishikoni polisën përpara se të ndodhë një incident.
A mund ta humbas mbrojtjen duke vepruar gabimisht pas një sulmi?
Kjo është e mundur. Neni 7:957(1) i Kodit Civil Holandez e detyron palën e siguruar të marrë masa të arsyeshme për të parandaluar ose kufizuar humbjen; kur nuk respektohet ky detyrim për shpëtim, siguruesi mund të zvogëlojë pagesën. Angazhimi i ekspertëve të jashtëm ose pagesa e një shpërblimi pa pëlqimin e siguruesit mund të ndikojë gjithashtu në mbulim. Informoni siguruesin tuaj sa më shpejt të jetë e mundur.
Çfarë hapash duhet të ndërmarr menjëherë pas një sulmi kibernetik?
Regjistroni incidentin dhe të gjitha veprimet e ndërmarra, izoloni sistemet e prekura pa humbur prova dhe angazhoni një ekspert mjeko-ligjor. Pastaj vlerësoni nëse ka një shkelje të të dhënave që duhet të njoftohet dhe nëse subjektet e të dhënave duhet të informohen. Raportoni shkeljen, njoftoni siguruesin tuaj kibernetik, ruani regjistrat, kopjet rezervë dhe korrespondencën, hartoni dëmin dhe palët potencialisht përgjegjëse dhe informoni klientët, punonjësit dhe partnerët e zinxhirit të furnizimit me kujdes dhe në kohën e duhur.
