Kirjoittanut asianajaja Tom Meevis Law & More
Kyberhyökkäykset, kuten kiristyshaittaohjelmat, tietojenkalastelu, palvelunestohyökkäykset ja tietomurrot, vaikuttavat harvoin vain hyökkäyksen kohteena olevaan organisaatioon. Kyberhyökkäysten uhreihin kuuluvat myös asiakkaat, työntekijät, potilaat, toimittajat ja muut toimitusketjun kumppanit, joille voi aiheutua tappioita, ja heidän oikeudellinen asemansa vaihtelee ryhmästä toiseen. Jokaisen, joka hyökkäyksen jälkeen haluaa selvittää, mitkä velvoitteet ovat voimassa ja mitä vaatimuksia on olemassa, on siksi suositeltavaa ensin selvittää tarkalleen, keihin hyökkäys on vaikuttanut ja mitä vahinkoa on aiheutunut.
Tässä artikkelissa käsitellään vuorotellen, kuka voidaan luokitella uhriksi, milloin tietomurrosta on ilmoitettava, millä edellytyksin on oikeus korvaukseen, ketkä osapuolet voivat olla vastuussa, mikä on rikoslain rooli, mitä kybervakuutus tyypillisesti kattaa ja mitä toimenpiteitä tulisi ryhtyä välittömästi hyökkäyksen jälkeen.
Ketkä ovat kyberhyökkäysten uhreja?
Kyberhyökkäyksessä voidaan erottaa kolme ryhmää.
- Itse asianomainen organisaatio, joka joutuu kohtaamaan järjestelmän käyttökatkoksia, liikevaihdon menetystä, toipumiskustannuksia, rikostutkinnan kustannuksia ja mainehaittaa.
- Luonnolliset henkilöt, joiden henkilötiedot ovat paljastuneet, kuten asiakkaat, työntekijät ja potilaat. Heille voi aiheutua taloudellista tappiota, mutta myös aineetonta vahinkoa, koska he eivät hallitse omia tietojaan, he ovat epävarmoja tai heidän pelätään identiteettipetoksesta.
- Sopimus- tai toimitusketjusuhteen kautta vaikutuspiiriin kuuluvat kolmannet osapuolet, esimerkiksi siksi, että he ovat riippuvaisia toimittajasta, jonka järjestelmät ovat kaatuneet.
Tämä luokittelu on oikeudellisesti merkityksellinen. Minkä tahansa vaateen peruste ja osapuoli, jota vastaan se voidaan nostaa, riippuvat uhrin asemasta. Yleensä asianomainen organisaatio pitää IT-toimittajaansa vastuullisena sopimuksen nojalla, kun taas rekisteröity voi vedota suoraan GDPR:n tarjoamaan erilliseen vastuuperusteeseen.
Milloin tietomurrosta on ilmoitettava?
Jos henkilötietoja on käytetty kyberhyökkäyksen kohteeksi, on arvioitava, onko kyseessä henkilötietojen tietoturvaloukkaus ja onko siitä ilmoitettava. Yleisen tietosuoja-asetuksen 33 artikla edellyttää, että tietoturvaloukkauksesta on ilmoitettava valvontaviranomaiselle ilman aiheetonta viivytystä ja, jos se on mahdollista, 72 tunnin kuluessa, paitsi jos on epätodennäköistä, että tietoturvaloukkaus aiheuttaa riskiä luonnollisten henkilöiden oikeuksille ja vapauksille.
Lisäksi yleisen tietosuoja-asetuksen 34 artikla voi edellyttää organisaatiolta ilmoitusta rekisteröidyille itse. Tämä velvollisuus syntyy, jos tietoturvaloukkaus todennäköisesti aiheuttaa korkean riskin heidän oikeuksilleen ja vapauksilleen. Tiedottaminen voidaan jättää pois, jos käytössä on asianmukaiset tekniset toimenpiteet, kuten salaus, jos myöhemmät toimenpiteet varmistavat, ettei korkea riski enää toteudu, tai jos henkilökohtainen tiedottaminen vaatisi kohtuutonta vaivaa; jälkimmäisessä tapauksessa julkinen tiedottaminen riittää.
Rekisteröidylle tämä viestintä on enemmän kuin muodollisuus. Se antaa heille mahdollisuuden ryhtyä omiin toimenpiteisiinsa, esimerkiksi vaihtaa salasanoja tai tarkkailla epäilyttäviä tapahtumia, ja käytännössä se on usein lähtökohta korvausvaatimuksille.
Organisaation on siksi osoitettava paitsi hyökkäyksen tapahtuminen, myös se, mihin tietoihin hyökkäys on vaikuttanut, onko tietoja todella vuodatettu ja mitä riskejä siitä seuraa. Riippumaton rikostekninen tutkimus on usein välttämätön tätä varten.
Tämä pätee erityisesti silloin, kun hyökkäys kohdistuu henkilötietojen käsittelijään eikä itse organisaatioon. Blauw Researchin ja Nebun välisessä yhteenvetona koskevassa menettelyssä (Rotterdamin käräjäoikeus, 6. huhtikuuta 2023, ECLI:NL:RBROT:2023:2931) väliaikaisista oikeussuojakeinoista päättänyt tuomari totesi, että osapuolten välisen tietojenkäsittelysopimuksen nojalla rekisterinpitäjällä oli oikeus saada lisätietoja hyökkäyksestä, sen seurauksista ja toteutetuista toimenpiteistä kuin alun perin oli annettu. Henkilötietojen käsittelijälle määrättiin myös riippumattoman rikostutkinnan suorittaminen ja säännöllisinen raportointi. Tuomio osoittaa, että hyvin laadittu tietojenkäsittelysopimus on käytännössä tärkein väline tiedon saamiseksi ajoissa tapahtuman jälkeen juuri siksi, että rekisterinpitäjä tarvitsee näitä tietoja omien ilmoitusvelvollisuuksiensa täyttämiseksi.
Milloin oikeus korvaukseen syntyy?
Rekisteröidyt voivat vaatia korvausta rekisterinpitäjältä tai henkilötietojen käsittelijältä yleisen tietosuoja-asetuksen 82 artiklan nojalla. Kyberhyökkäys ei kuitenkaan automaattisesti johda vaatimukseen. Se on näytettävä toteen:
- että GDPR:ää on rikottu;
- että vahinkoa on tosiasiallisesti kärsitty; ja
- että kyseisen rikkomuksen ja kyseisen vahingon välillä on syy-yhteys.
Aineellinen vahinko voi koostua taloudellisista menetyksistä, perintäkuluista tai identiteettipetoksesta aiheutuneista menetyksistä. Aineettoman vahingon osalta Euroopan unionin tuomioistuin totesi Österreichische Post -tapauksessa (EU-tuomioistuin 4. toukokuuta 2023, C-300/21), ettei vakavuuden vähimmäiskynnystä ole, mutta pelkkä GDPR:n rikkominen ei riitä korvauksen myöntämiseen.
Erityisen merkityksellinen kyberhyökkäyksen jälkeisten tietoturvaloukkausten kannalta on Natsionalna agentsia za prihodite (EU-tuomioistuimen tuomio 14. joulukuuta 2023, C-340/21). Siinä tuomioistuin totesi, että pelko vuodettujen henkilötietojen mahdollisesta tulevasta väärinkäytöstä voi itsessään olla aineetonta vahinkoa. Rekisteröidyn on kuitenkin näytettävä pelkonsa ja sen seuraukset toteen konkreettisesti; pelkkä viittaus siihen, että tiedot ovat vuotaneet, ei riitä. Samassa tuomiossa tuomioistuin vahvisti, että rekisterinpitäjän on näytettävä toteen toteutettujen turvatoimenpiteiden asianmukaisuus, eikä kolmannen osapuolen hyökkäys sinänsä vapauta rekisterinpitäjää vastuusta.
GDPR:n mukainen vastuu on olemassa sopimusrikkomuksen ja vahingonkorvausvastuun rinnalla. Alankomaiden siviililain 6:162(1) §:n mukaan laittoman teon tehneen osapuolen on korvattava aiheutunut vahinko. 6:163 §:n suhteellisuusperiaatetta sovelletaan: rikotun normin on suojattava vahinkoa kärsineelle osapuolelle aiheutuneen vahingon lajilta.
Tärkeää on, että GDPR:n 82 artikla on olemassa näiden perusteiden rinnalla. Rekisteröidyn ei siis tarvitse perustaa vaatimusta pelkästään sopimusrikkomukseen tai vahingontekoon, vaan hän voi vedota suoraan GDPR:n tarjoamaan itsenäiseen vastuuperusteeseen. Asianomaisen organisaation kannalta tämä perusteiden yhdistelmä tarkoittaa, että useat osapuolet voivat nostaa vaatimuksia samanaikaisesti hyökkäyksen jälkeen.
Kuka voi olla vastuussa?
Kyseinen organisaatio voi olla vastuussa, jos se ei täytä sopimusvelvoitteitaan tai on toteuttanut riittämättömiä turvatoimenpiteitä. Myös IT-palveluntarjoaja tai henkilötietojen käsittelijä voidaan asettaa vastuuseen. Se, mitä palveluntarjoajalta voidaan odottaa, määräytyy ensisijaisesti sopimuksen mukaan.
Tietojenkäsittelysopimuksella on keskeinen rooli käsittelysuhteessa. Yleisen tietosuoja-asetuksen 28 artikla edellyttää rekisterinpitäjän ja henkilötietojen käsittelijän tekevän tällaisen sopimuksen, jossa käsitellään muun muassa turvatoimenpiteitä ja tietoturvaloukkausten käsittelyä. Jos hyökkäys johtuu käsittelijän riittämättömästä tietoturvasta, rekisterinpitäjä voi pitää käsittelijää vastuussa aiheutuneesta vahingosta kyseisen sopimuksen nojalla.
Tämä käy selvästi ilmi Hof van Twenten kuntaan kohdistunutta kyberhyökkäystä koskevasta tapauksesta (Overijsselin käräjäoikeus, 10. toukokuuta 2023, ECLI:NL:RBOVE:2023:1731). Osapuolet olivat sopineet toiminnallisesta valvonnasta, eivät turvallisuuden valvonnasta. Tuomioistuin katsoi, että IT-ylläpitäjän huolellisuusvelvollisuus ei ulotu niin pitkälle, että turvallisuuden valvonta muodostaisi hiljaisen osan toiminnallisen valvonnan tehtäväksiantoa, ja hylkäsi kunnan vaatimuksen. Se totesi myös, että kunta oli itse tehnyt riskiä lisääviä päätöksiä, mukaan lukien salasanapolitiikkansa ja RDP-portin avaamisensa.
Peilikuva on O'Cliancen tapaus (Yhdysvaltain käräjäoikeus Amsterdam, 14. marraskuuta 2018, ECLI:NL:RBAMS:2018:10124). Siellä toimittaja oli asentanut täydellisen IT-infrastruktuurin ja ottanut sen hallinnan vastuulleen. Kiristyshaittaohjelmahyökkäyksen jälkeen, jossa myös varmuuskopiot salattiin, oikeus katsoi, että tällaisen kokonaisvaltaisen paketin toimittaminen sisälsi laaja-alaisen huolellisuusvelvollisuuden ja että suoraviivaisia toimenpiteitä oli laiminlyöty. Vastuuta ei kuitenkaan myönnetty täyteen määrään: asiakkaan myötävaikutuksen vuoksi kaksi kolmasosaa vahingoista jäi toimittajan maksettavaksi.
Todistustaakan painoarvo asianmukaisen turvallisuuden osalta havainnollistetaan autoliikkeen hakkeroidun sähköpostitilin tapauksella. Välituomiossa 5. marraskuuta 2024 (Arnhem-Leeuwardenin muutoksenhakutuomioistuin, ECLI:NL:GHARL:2024:6812) jälleenmyyjälle annettiin tilaisuus todistaa, että sen sähköpostitili oli asianmukaisesti suojattu GDPR:n tarkoittamalla tavalla sen jälkeen, kun hakkeri oli käyttänyt kyseistä tiliä lähettääkseen ostajalle vääriä maksuohjeita. Jatkotuomiossa 22. heinäkuuta 2025 (ECLI:NL:GHARL:2025:4556) tuomioistuin totesi, ettei tätä näyttöä ollut toimitettu, minkä jälkeen osapuolten oli vielä käsiteltävä ostajan myötävaikutusta. Molemmat tuomiot koskevat siis samaa menettelyä.
Yhteisenä tekijänä on se, että sopimusjärjestelyillä, käsittelyn riskeillä, tosiasiallisesti toteutetuilla toimenpiteillä, molempien osapuolten annetuilla varoituksilla ja vahinkoa kärsineen osapuolen omalla toiminnalla on merkitystä. Siviilioikeudellisen vastuun lisäksi Alankomaiden tietosuojaviranomainen voi määrätä hallinnollisia sakkoja, jotka ovat jopa 20 miljoonaa euroa tai 4 prosenttia maailmanlaajuisesta vuotuisesta liikevaihdosta, sen mukaan kumpi on suurempi. Nämä sakot ovat riippumattomia siitä, kärsivätkö yksittäiset rekisteröidyt vahinkoa.
Rikosoikeudellinen reitti
Kyberhyökkäys voi myös olla rikos, kuten tietomurto, tietojen käyttökelvottomuus tai ei-julkisten tietojen anastus. Alankomaiden rikoslain 138ab(1) §:n mukaan tahallinen ja laiton pääsy automatisoituun järjestelmään on rikos.
Uhrit voivat ilmoittaa rikoksesta poliisille, jolla on erikoistuneita kyberrikollisuuden torjuntaan erikoistuneita tiimejä. Kun epäiltyä vastaan nostetaan syyte, uhri voi liittyä rikosoikeudelliseen prosessiin asianomistajana ja vaatia siellä korvauksia. Tällä tavoin vältetään erilliset siviilioikeudelliset menettelyt, mutta lopputulos riippuu havaitsemisesta, syytteeseenpanosta ja todisteista, jotka kansainvälisesti toimivien rikoksentekijöiden kohdalla usein eivät johda tulokseen. Organisaatioille ilmoittaminen on usein myös käytännön välttämättömyys, koska vakuutusyhtiöt ja toimitusketjun kumppanit pyytävät sitä.
Mitä kybervakuutus korvaa?
Kybervakuutus voi kattaa muun muassa seuraavat asiat:
- tapahtumiin reagointi ja rikostutkinta;
- järjestelmien ja tietojen palauttaminen;
- liiketoiminnan keskeytystappiot ja liikevaihdon menetys;
- kriisiviestintä;
- vastuu kolmansia osapuolia kohtaan;
- oikeudenkäyntikulut; ja
- joissakin tapauksissa sakkoja, sovintomaksuja tai lunnaita, siinä määrin kuin sovellettavan lain mukaan vakuutuskelpoisia.
Tarkka vakuutusturva riippuu vakuutuksesta. Kiinnitä huomiota poikkeuksiin, turvaehtoihin, irtisanomisaikoihin, omavastuuseen ja asiantuntijoiden palkkaamista koskeviin vaatimuksiin. Alankomaiden siviililain 7:957(1) artikla velvoittaa myös vakuutetun ryhtymään kohtuullisiin toimenpiteisiin vahingon estämiseksi tai rajoittamiseksi. Jos pelastusvelvollisuutta ei noudateta, vakuutuksenantaja voi pienentää korvausta.
Siksi kybervakuutusyhtiölle on ilmoitettava asiasta mahdollisimman pian. Ulkopuolisten asiantuntijoiden palkkaaminen tai lunnaiden maksaminen ilman vakuutusyhtiön suostumusta voi vaikuttaa vakuutusturvaan.
Mitä sinun pitäisi tehdä heti kyberhyökkäyksen jälkeen?
- Kirjaa tapahtuma ja kaikki siihen liittyvät toimenpiteet huolellisesti.
- Eristä tartunnan saaneet järjestelmät menettämättä todisteita.
- Ota yhteyttä oikeuslääketieteen asiantuntijaan.
- Arvioi, onko kyseessä ilmoitettava tietoturvaloukkaus.
- Arvioi, onko rekisteröidyille ilmoitettava asiasta.
- Ilmoita rikoksesta poliisille.
- Ilmoita tapauksesta kyberturvavakuutuksesi tarjoajalle.
- Säilytä lokit, varmuuskopiot, sähköpostit ja muut asiaankuuluvat tiedot.
- Kartoita vahingot ja mahdolliset vastuulliset osapuolet.
- Tiedota asiakkaita, työntekijöitä ja toimitusketjun kumppaneita huolellisesti ja hyvissä ajoin.
Kyberhyökkäys ei siis ole pelkästään tekninen häiriö. Se on myös tietosuoja-, siviilioikeudellinen, rikosoikeudellinen ja vakuutusoikeudellinen asia. Nopea ja hyvin dokumentoitu reagointi ei ainoastaan rajoita vahinkoja, vaan se on ratkaisevaa ilmoitusten, vakuutusturvan ja todistusasemasi kannalta kaikissa menettelyissä.
Lopuksi
Kyberhyökkäyksen jälkeiset oikeudet ja velvollisuudet jakautuvat useille oikeudenaloille, ja tapauksen lopputulos riippuu suuresti erityisistä tosiseikoista, sopimuksen sisällöstä ja asiakirjojen laadusta. Käsitelty oikeuskäytäntö osoittaa, että sekä toimittajaa että asiakasta arvioidaan heidän oman toimintansa perusteella ja että määräajat, kuten 72 tunnin ilmoitusaika, jättävät vain vähän liikkumavaraa viivästyksille.
Law & More avustaa organisaatioita ja rekisteröityjä kyberpoikkeamien oikeudellisessa käsittelyssä: ilmoitusvelvollisuuksien arvioinnista ja tietojenkäsittelysopimusten tarkistamisesta vastuun määrittämiseen, vakuutusasioihin ja tappioiden korvaamiseen. Oletko tekemisissä kyberhyökkäyksen tai tietomurron kanssa tai haluatko, että sopimuksesi tarkistetaan näiden riskien varalta etukäteen toimestamme? IT-laki joukkue? Ole hyvä ja ota yhteyttä ottaa yhteyttä Law & More sitoumuksettoman keskustelun tilanteestasi.
Usein kysyttyjä kysymyksiä
Alla vastaamme useimmin kysyttyihin kysymyksiin tästä aiheesta.
Ketkä ovat kyberhyökkäyksen uhreja?
Tasoja on kolme. Ensinnäkin itse asianomainen organisaatio, joka vastaa järjestelmän seisokeista, liikevaihdon menetyksestä, toipumiskustannuksista, rikostutkinnan kustannuksista ja mainehaitoista. Toiseksi rekisteröidyt eli luonnolliset henkilöt, joiden henkilötiedot ovat paljastuneet, kuten asiakkaat, työntekijät ja potilaat. Kolmanneksi kolmannet osapuolet, jotka kärsivät tappioita sopimus- tai toimitusketjusuhteen kautta, esimerkiksi siksi, että he ovat riippuvaisia toimittajasta, jonka toiminta on päättynyt. Tämä luokittelu määrittää, millä perusteella osapuoli voi nostaa vaatimuksen ja ketä vastaan.
Minkä ajan kuluessa minun on ilmoitettava tietomurrosta?
Yleisen tietosuoja-asetuksen 33 artikla edellyttää, että valvontaviranomaiselle on ilmoitettava tietoturvaloukkauksesta ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun tietoturvaloukkaus on tullut tietoiseksi. Tätä velvollisuutta ei sovelleta, jos tietoturvaloukkaus ei todennäköisesti aiheuta riskiä luonnollisten henkilöiden oikeuksille ja vapauksille. Arviointi edellyttää tietoturvaloukkauksen luonteen, sen kohteena olevien tietoluokkien ja mahdollisten seurausten analysointia.
Milloin minun on ilmoitettava rekisteröidyille itse?
Yleisen tietosuoja-asetuksen 34 artiklan mukaan, jos tietoturvaloukkaus todennäköisesti aiheuttaa korkean riskin rekisteröityjen oikeuksille ja vapauksille, tiedottaminen voidaan jättää pois, jos käytössä on asianmukaiset tekniset toimenpiteet, kuten salaus, jos myöhemmät toimenpiteet varmistavat, ettei korkea riski enää toteudu, tai jos yksilöllinen tiedottaminen vaatisi kohtuutonta vaivaa. Jälkimmäisessä tapauksessa julkinen tiedottaminen riittää.
Voinko vaatia tietoja toimittajalta, jonka tietoihin on murtauduttu?
Kyllä, jos tietojenkäsittelysopimus niin määrää. Blauw Researchin ja Nebun välisessä yhteenvetona koskevassa menettelyssä (Rotterdamin käräjäoikeus, 6. huhtikuuta 2023, ECLI:NL:RBROT:2023:2931) väliaikaistuomioistuin katsoi, että tietojenkäsittelysopimuksen nojalla rekisterinpitäjällä oli oikeus saada lisätietoja hyökkäyksestä, sen seurauksista ja toteutetuista toimenpiteistä kuin oli annettu, ja määräsi käsittelijän teettämään riippumattoman rikostutkinnan ja raportoimaan säännöllisesti. Näitä tietoja tarvitaan omien ilmoitusvelvollisuuksien täyttämiseksi.
Onko minulla rekisteröitynä automaattisesti oikeus korvaukseen tietomurron jälkeen?
Ei. Yleisen tietosuoja-asetuksen 82 artikla tarjoaa itsenäisen perusteen, mutta sinun on näytettävä toteen, että yleistä tietosuoja-asetusta on rikottu, että olet todella kärsinyt vahinkoa ja että rikkomisen ja vahingon välillä on syy-yhteys. Todistustaakka on kantajalla.
Voidaanko identiteettivarkauden pelko luokitella aineettomaksi vahingoksi?
Se voi. Natsionalna agentsia za prihodite -tapauksessa (EU-tuomioistuin 14. joulukuuta 2023, C-340/21) unionin tuomioistuin totesi, että pelko vuodettujen henkilötietojen mahdollisesta tulevasta väärinkäytöstä voi itsessään olla aineetonta vahinkoa. Rekisteröidyn on kuitenkin näytettävä pelkonsa ja sen seuraukset toteen konkreettisesti. Österreichische Post (EU-tuomioistuin 4. toukokuuta 2023, C-300/21) lisää, ettei vakavuuden vähimmäiskynnystä ole, vaan pelkkä GDPR:n rikkominen ei riitä.
Kenen on todistettava, että turvatoimet olivat asianmukaisia?
Rekisterinpitäjä. Asiassa C-340/21 unionin tuomioistuin vahvisti, että rekisterinpitäjän on osoitettava toteutettujen turvatoimenpiteiden olevan asianmukaisia, eikä kolmannen osapuolen hyökkäys sinänsä vapauta sitä vastuusta. Alankomaissa näin tapahtui autoliikkeen hakkeroidun sähköpostitilin tapauksessa, jossa Arnhem-Leeuwardenin muutoksenhakutuomioistuin antoi ensin jälleenmyyjälle mahdollisuuden toimittaa todisteet (ECLI:NL:GHARL:2024:6812) ja totesi sitten, ettei niitä ollut esitetty (ECLI:NL:GHARL:2025:4556).
Onko IT-toimittajani vastuussa, jos se ei havainnut hyökkäystä?
Se riippuu siitä, mistä sovittiin. Hof van Twenten kuntaan kohdistunutta kyberhyökkäystä koskevassa tapauksessa (Overijsselin käräjäoikeus, 10. toukokuuta 2023, ECLI:NL:RBOVE:2023:1731) osapuolet olivat sopineet toiminnallisesta valvonnasta, eivät turvallisuuden valvonnasta. Tuomioistuin katsoi, että IT-ylläpitäjän huolenpitovelvollisuus ei ulotu niin pitkälle, että turvallisuuden valvonta olisi siitä hiljainen osa, ja hylkäsi kanteen. Kun toimitetaan laajempi kokonaisuus, huolenpitovelvollisuus voi sen sijaan olla laaja-alainen, kuten O'Cliance-tapauksessa (Overijsselin käräjäoikeus Amsterdam, 14. marraskuuta 2018, ECLI:NL:RBAMS:2018:10124), jossa toimittajan katsottiin olevan vastuussa kahdesta kolmasosasta tappiosta.
Voiko oma käytökseni vähentää korvausta?
Kyllä. Myötävaikutus on toistuvasti läsnä näissä tapauksissa. O'Cliance-tapauksessa kolmasosa tappiosta jäi asiakkaan tilille, ja hakkeroidun sähköpostitilin tapauksessa osapuolten oli puututtava ostajan myötävaikutukseen. Oma salasanakäytäntösi, auki jätetyt portit tai huomiotta jätetyt varoitukset voivat siis vaikuttaa suoraan lopputulokseen.
Mitä sakkoja tietosuojaviranomainen voi määrätä?
GDPR:n rikkomuksista valvontaviranomainen voi määrätä hallinnollisia sakkoja, jotka ovat jopa 20 miljoonaa euroa tai 4 prosenttia maailmanlaajuisesta vuotuisesta liikevaihdosta, sen mukaan kumpi on suurempi. Nämä sakot ovat riippumattomia siitä, kärsivätkö yksittäiset rekisteröidyt tosiasiallisesti vahinkoa, ja ne muodostavat siksi erillisen riskin siviilioikeudellisen vastuun rinnalla.
Voinko ilmoittaa rikoksesta ja vaatia korvauksia vahingoistani rikosoikeudellisen menettelyn kautta?
Kyllä. Alankomaiden rikoslain 138ab(1) §:n mukaan tahallinen ja laiton pääsy automatisoituun järjestelmään on rikos. Voit ilmoittaa rikoksesta poliisille ja, jos epäiltyä vastaan nostetaan syyte, liittyä rikosoikeudelliseen menettelyyn asianomistajana vaatiaksesi korvauksia siellä. Lopputulos riippuu kuitenkin havaitsemisesta, syytteeseenpanosta ja todisteista, jotka kansainvälisesti toimivien rikoksentekijöiden kohdalla usein eivät johda tulokseen.
Mitä kybervakuutus yleensä korvaa?
Yleensä tapaturmiin reagointi ja rikostutkinta, järjestelmien ja tietojen palauttaminen, liiketoiminnan keskeytymisestä aiheutuneet tappiot ja liikevaihdon menetys, kriisiviestintä, vastuu kolmansille osapuolille ja oikeudenkäyntikulut sekä joissakin tapauksissa sakot, sovintomaksut tai lunnaat sovellettavan lain mukaisessa laajuudessa. Tarkkaile poikkeuksia, turvallisuusehtoja, ilmoitusaikoja ja omavastuita ja tarkista käytäntö ennen tapaturman sattumista.
Voinko menettää suojan toimimalla väärin hyökkäyksen jälkeen?
Se on mahdollista. Alankomaiden siviililain 7:957(1) § velvoittaa vakuutetun ryhtymään kohtuullisiin toimenpiteisiin vahingon estämiseksi tai rajoittamiseksi; jos tätä pelastusvelvollisuutta ei noudateta, vakuutuksenantaja voi pienentää korvausta. Ulkopuolisten asiantuntijoiden palkkaaminen tai lunnaiden maksaminen ilman vakuutuksenantajan suostumusta voi myös vaikuttaa vakuutusturvaan. Ilmoita tästä vakuutuksenantajallesi mahdollisimman pian.
Mitä toimia minun tulisi tehdä heti kyberhyökkäyksen jälkeen?
Kirjaa tapahtuma ja kaikki tehdyt toimenpiteet, eristä vaurioituneet järjestelmät menettämättä todisteita ja palkkaa rikostekninen asiantuntija. Arvioi sitten, onko kyseessä ilmoitettava tietomurto ja onko rekisteröidyille ilmoitettava asiasta. Ilmoita rikkomuksesta, ilmoita siitä kyberturvavakuutuksen tarjoajallesi, säilytä lokit, varmuuskopiot ja kirjeenvaihto, kartoita vahingot ja mahdolliset vastuulliset osapuolet sekä ilmoita asiakkaille, työntekijöille ja toimitusketjun kumppaneille huolellisesti ja hyvissä ajoin.
