Hollandske virksomheder står over for tre cybersikkerhedsforpligtelser, der gælder næsten uanset sektor: at holde personoplysninger sikre, at brud rapporteres rettidigt, og at kunne påvise, at begge dele er sket. Siden den 15. august 2026 er der blevet tilføjet en fjerde pligt for omkring 8,000 udpegede organisationer: Cyberbeveiligingswet (Cbw), den hollandske implementering af EU's NIS2-direktiv.
Hvad kræver GDPR af datasikkerhed?
GDPR kræver passende tekniske og organisatoriske foranstaltninger til beskyttelse af personoplysninger, vurderet i forhold til den aktuelle teknologi, implementeringsomkostningerne og risikoen for de berørte personer. Hvad der er passende for en to-personers praksis, er ikke, hvad der er passende for en virksomhed, der behandler sundhedsdata i stor skala, og standarden stiger i takt med risikoen.
I praksis er de foranstaltninger, en tilsynsmyndighed forventer at se, ubemærkelsesværdige: adgangskontrol og multifaktorgodkendelse, kryptering af enheder og sikkerhedskopier, patching, adskillelse af miljøer, logning og en testet gendannelsesprocedure. Det, der adskiller en organisation, der overlever granskning, er, at disse blev dokumenteret og gennemgået, før noget gik galt.
Hvornår skal et databrud anmeldes?
Et brud på persondatasikkerheden skal anmeldes til den hollandske databeskyttelsesmyndighed (Autoriteit Persoonsgegevens) inden for 72 timer efter, at man er blevet opmærksom på det, medmindre det er usandsynligt, at det vil medføre en risiko for de berørte personer. Hvis risikoen for dem er høj, skal disse personer også informeres uden unødig forsinkelse.
72 timer er kort tid, og uret går fra bevidsthed snarere end fra en afsluttet undersøgelse. Derfor er en hændelsesprocedure – hvem der bestemmer, hvem der tilkaldes, hvad der registreres – mere værd end en enkeltstående teknisk kontrol. Ethvert brud skal registreres internt, inklusive dem, der ikke rapporteres til tilsynsmyndigheden, sammen med begrundelsen for denne beslutning.
Hvad tilføjer cybersikkerhedsloven?
Cyberbeveiligingswet og den relaterede Wet weerbaarheid kritieke entiteiten trådte i kraft den 15. august 2026 og erstattede de tidligere sikkerhedsregler for netværk og informationssystemer. Organisationer, der er omfattet af dens anvendelsesområde – væsentlige og vigtige enheder på tværs af sektorer som energi, transport, sundhedspleje, digital infrastruktur og offentlig forvaltning – skal registrere sig hos myndighederne, træffe passende risikostyringsforanstaltninger og rapportere betydelige hændelser til den nationale CSIRT og deres sektortilsynsførende.
Ledelsesorganer har personligt ansvar for at godkende og føre tilsyn med disse foranstaltninger; dette kan ikke blot delegeres til en IT-afdeling. Finansielle institutioner er i stedet underlagt deres eget EU-regime for operationel modstandsdygtighed (DORA) i stedet for Cyberbeveiligingswet.
Hvordan når dette ud til organisationer uden for Cyberbeveiligingswets anvendelsesområde?
Selv uden for de udpegede sektorer har de samme standarder en tendens til at blive fastsat kontraktligt. Større kunder stiller i stigende grad sikkerhedskrav, revisionsrettigheder og varslingsfrister for brud i deres kontrakter, og en databehandleraftale er obligatorisk, når personoplysninger behandles på andres vegne. I praksis opfylder mange hollandske virksomheder først disse standarder, fordi en modpart krævede dem, ikke fordi en tilsynsmyndighed gjorde det.
Hvem kan anlægge sag efter en hændelse?
En hændelse kan medføre krav fra flere sider på én gang: fra tilsynsmyndigheden, fra enkeltpersoner, hvis data er blevet eksponeret, fra kunder under kontrakten og i stigende grad gennem kollektive søgsmål. Om forsikringen reagerer afhænger af policens formulering og om forsikringsselskabet kan påvise en manglende overholdelse af de aftalte foranstaltninger – endnu en grund til at kunne dokumentere, hvad der var på plads.
Hvad skal du gøre først?
Tre ting vejer tungest for den mindste indsats: en skriftlig hændelsesprocedure, der navngiver personer i stedet for roller; en aktuel fortegnelse over behandlingsaktiviteter og de databehandlere, du bruger; og en testet gendannelse, fordi forskellen mellem en hændelse og en katastrofe normalt er, om sikkerhedskopierne fungerede. Hvis din organisation muligvis falder ind under Cyberbeveiligingswet, skal du straks kontrollere din registreringsforpligtelse.
Sammenfattende
- GDPR kræver sikkerhedsforanstaltninger, der er afstemt efter den aktuelle teknologi og den involverede risiko, for alle organisationer, der behandler personoplysninger.
- Et databrud skal normalt anmeldes til Autoriteit Persoonsgegevens inden for 72 timer efter, at det er blevet bekendt.
- Siden den 15. august 2026 har Cyberbeveiligingswet tilføjet registrerings-, risikostyrings- og hændelsesrapporteringsopgaver for omkring 8,000 udpegede organisationer med personligt ansvar for ledelsen.
- Finansielle institutioner falder ind under DORA snarere end Cyberbeveiligingswet.
- En hændelse kan udløse krav fra tilsynsmyndigheder, berørte enkeltpersoner, kontraktlige modparter og i stigende grad kollektive søgsmål.
Rådgivning
Vi rådgiver om sikkerheds- og databehandleraftaler, om anmeldelse af brud og regulatorisk korrespondance, om compliance med cybersikkerhedswet og om ansvar efter en hændelse.
Er du usikker på, hvor du står? Fortæl os om din situation. Vi giver dig besked om dine muligheder inden for en arbejdsdag.
Hvordan Law & More kan hjælpe dig med dette, er forklaret på vores IT-advokat .
