Хувийн мэдээллийг боловсруулдаг Нидерландын бизнес бүр GDPR-ийн 32 дугаар зүйлийн дагуу хувийн мэдээллийг хамгаалж, GDPR-ийн 33 дугаар зүйлийн дагуу 72 цагийн дотор Нидерландын Мэдээлэл хамгаалах байгууллагад (Autoriteit Persoonsgegevens, AP) мэдээлэл алдагдсан тухай мэдээлэх ёстой. Үүнээс гадна, 2026 оны 8-р сарын 15-наас хойш 8,000 гаруй чухал байгууллага нь Европын Холбооны NIS2 удирдамжийн Нидерландын хэрэгжилт болох Кибер аюулгүй байдлын тухай хуулийг (Cyberbeveiligingswet, Cbw) дагаж мөрдөх ёстой; банкууд болон бусад санхүүгийн байгууллагууд эдгээр асуудлаар DORA-г дагаж мөрддөг.
Агуулгын хүснэгт
GDPR нь өгөгдлийн аюулгүй байдлын хувьд юу шаарддаг вэ?
Техникийн болон зохион байгуулалтын зохих арга хэмжээг технологийн түвшин, хэрэгжүүлэх өртөг болон холбогдох хүмүүст учирч болзошгүй эрсдэлтэй харьцуулан үнэлсэн (GDPR-ийн 32-р зүйл). Хоёр хүний үйл ажиллагаанд тохиромжтой зүйл нь эрүүл мэндийн өгөгдлийг өргөн хүрээнд боловсруулдаг компанийн хэрэгцээнээс ялгаатай байдаг; стандарт нь эрсдэлтэй хамт нэмэгддэг.
AP нь онцгой бус арга хэмжээ авахыг хүлээж байна: хандалтын хяналт болон олон хүчин зүйлийн баталгаажуулалт, төхөөрөмжүүдийн шифрлэлт болон нөөцлөлт, нөхөөс, бүртгэл болон туршигдсан сэргээх процедур. Шалгалтыг даван туулахад тань туслах зүйл бол эдгээр арга хэмжээг ямар нэгэн алдаа гарахаас өмнө баримтжуулж, хянасан явдал юм.
Мэдээллийн алдагдлыг хэзээ мэдээлэх шаардлагатай вэ?
Мэдсэнээс хойш 72 цагийн дотор AP-д мэдэгдэх ёстой, хэрэв зөрчил нь нөлөөлөлд өртсөн хүмүүст эрсдэл учруулах магадлал багатай бол (GDPR-ийн 33-р зүйл). Хэрэв тэдэнд эрсдэл өндөр байвал та тэдгээр хүмүүст цаг алдалгүй мэдэгдэх ёстой (GDPR-ийн 34-р зүйл).
Цаг хугацаа дууссан мөрдөн байцаалтаас бус, харин ухамсараас хамаардаг тул ослын журам (хэн шийдэх, хэнийг дуудах, юуг бүртгэх) нь аливаа техникийн хяналтаас илүү үнэ цэнэтэй юм. GDPR-ийн 33(5) зүйлийн дагуу та мэдээлээгүй зөрчлийг оролцуулан дотооддоо бүх зөрчлийг тухайн шийдвэрийн үндэслэлтэй хамт бүртгэх ёстой.
Кибербэйлигингсвет юу нэмдэг вэ?
Эрчим хүч, тээвэр, эрүүл мэнд, дижитал дэд бүтэц, төрийн захиргаа зэрэг 18 салбарын байгууллагуудын бүртгэл, анхаарал халамж тавих үүрэг, ослын талаар мэдээлэх явдал юм. Cbw болон Чухал аж ахуйн нэгжийн тэсвэр тэвчээрийн тухай хууль (Wet weerbaarheid kritieke entiteiten) нь 2026 оны 8-р сарын 15-нд хүчин төгөлдөр болсон. Хамрах хүрээний байгууллагууд Үндэсний Кибер Аюулгүй Байдлын Төв (NCSC)-д бүртгүүлж, эрсдэлийн удирдлагын арга хэмжээ авч, томоохон ослын талаар CSIRT болон түүний салбарын даргад хуульд заасан хугацаанд мэдээлэх ёстой.
Удирдах зөвлөл эдгээр арга хэмжээг баталж, хянаж байх ёстой бөгөөд сургалт зэрэг хангалттай мэдлэгтэй байх ёстой; үүнийг зүгээр л мэдээллийн технологийн хэлтэст даалгаж болохгүй. Хүчин төгөлдөр болсноос хойш хэдхэн хоногийн дотор 8,000 гаруй байгууллагын ердөө 3,200 орчим нь бүртгүүлсэн тул хэрэв та хамрах хүрээтэй байж магадгүй бол бүртгэлээ одоо шалгана уу.
Энэ нь Cbw-ийн хүрээнээс гадуурх байгууллагуудад хэрхэн хүрч байна вэ?
Гэрээгээр дамжуулан. Томоохон хэрэглэгчид аюулгүй байдлын шаардлага, аудитын эрх, зөрчлийн талаарх мэдэгдлийн хугацааг улам бүр ногдуулж байгаа бөгөөд та хэн нэгний өмнөөс хувийн мэдээллийг боловсруулах бүрт GDPR-ийн 28 дугаар зүйлийн дагуу боловсруулах гэрээ заавал байх ёстой. Голландын олон компаниуд эдгээр стандартыг анх хангаж байгаа, учир нь Cbw-ийн хамрах хүрээнд байгаа үйлчлүүлэгч эдгээр стандартыг шаардсан.
Хэрэг явдлын дараа хэн нэхэмжлэл гаргаж болох вэ?
AP нь GDPR-ийн 83 дугаар зүйлийн дагуу 20 сая евро буюу дэлхийн хэмжээний эргэлтийн 4%-ийг торгож болно; GDPR-ийн 82 дугаар зүйлийн дагуу нөхөн төлбөр нэхэмжлэх боломжтой хувь хүмүүс; гэрээний дагуу үйлчлүүлэгчид; болон WAMCA-ийн дагуу хамтын ажиллагааны хүрээнд бүлгүүд. Таны даатгал төлбөр төлөх эсэх нь бодлогын үг хэллэг болон тохиролцсон арга хэмжээ хэрэгжиж байгааг нотолж чадах эсэхээс хамаарна.
Cbw-ийн хүрээнд ажилладаг байгууллагын хувьд та юуг шалгах ёстой вэ?
- Та NCSC-д бүртгүүлсэн үү?
- Төлөөлөн удирдах зөвлөл эрсдэлийн удирдлагын арга хэмжээг баталж, сургалтанд хамрагдсан уу?
- Та салбарынхаа чухал ослын босгыг мэдэж байгаа юу, хэнд мэдээлэхээ мэдэх үү?
- Танай нийлүүлэгчийн гэрээнд аюулгүй байдал болон мэдэгдлийн үүрэг ногдуулдаг уу?
- Та хувийн мэдээллийн алдагдлыг 72 цагийн дотор AP-д мэдээлж болох уу?
Ийм байгууллагуудын ханган нийлүүлэгчийн хувьд та юуг шалгах ёстой вэ?
- Танай үйлчлүүлэгчийн гэрээнд ямар аюулгүй байдлын шаардлага болон аудитын эрхүүд ногдуулдаг вэ?
- Үйлчлүүлэгчдээ ослын талаар хэр хурдан мэдэгдэх ёстой вэ?
- Та хувийн мэдээллийг боловсруулахдаа GDPR-ийн 28 дугаар зүйлийн дагуу боловсруулах гэрээтэй юу?
- Ослын улмаас таны хариуцлага хязгаарлагдсан уу, мөн таны даатгал үүнийг хамруулдаг уу?
Кибер аюулгүй байдлын үүргүүдийн талаар бид танд юу хийж чадах вэ?
Манай мэдээллийн технологийн хуульчид кибер аюулгүй байдлын хууль эрх зүйн тал дээр зөвлөгөө өгдөг. Бид дараахь зүйлийг хийж чадна.
- Танай байгууллага Cbw-ийн хүрээнд багтаж байгаа эсэхийг үнэл.
- Нийлүүлэгчийн гэрээнд байгаа боловсруулалтын гэрээ болон аюулгүй байдлын заалтуудыг боловсруулах эсвэл хянах.
- Осол болон зөрчлийн талаарх мэдэгдлийн журмаа бичнэ үү.
- Зөрчлийн мэдэгдэл болон AP-тэй хийсэн захидал харилцааг зохицуулах.
- Ослын дараа үйлчлүүлэгчид болон хувь хүмүүст хүлээлгэх хариуцлагын талаар зөвлөгөө өгөх.
Дүгнэлт
- GDPR-ийн 32 дугаар зүйлд хувийн мэдээллийг боловсруулдаг байгууллага бүрийн хувьд технологийн түвшин болон эрсдэлд тохирсон аюулгүй байдлын арга хэмжээг авахыг шаарддаг.
- Мэдээлэл алдагдсан тухай мэдээллийг мэдсэнээс хойш 72 цагийн дотор AP-д мэдэгдэх ёстой.
- 2026 оны 8-р сарын 15-наас хойш Cbw нь 8,000 гаруй байгууллагад бүртгэл, эрсдэлийн удирдлага, ослын талаар мэдээлэх үүргийг нэмж, удирдах зөвлөлд хариуцлага ногдуулж байна.
- Тухайн хэрэг явдал нь AP, хувь хүмүүс, үйлчлүүлэгчид болон хамтын үйлдлээс нэхэмжлэл гаргахад хүргэж болзошгүй.
