עסקים הולנדים עומדים בפני שלוש חובות אבטחת סייבר שחלות כמעט ללא קשר למגזר: שמירה על אבטחת מידע אישי, דיווח על פרצות בזמן ויכולת להראות ששניהם בוצעו. מאז 15 באוגוסט 2026 נוספה חובה רביעית לכ-8,000 ארגונים ייעודיים: ה-Cyberbeveiligingswet (Cbw), יישום הנחיית NIS2 של האיחוד האירופי בהולנד.
מה דורש ה-GDPR מבחינת אבטחת מידע?
ה-GDPR דורש אמצעים טכניים וארגוניים מתאימים להגנה על מידע אישי, תוך הערכה על פי העדכונים הקיימים, עלות היישום והסיכון לאנשים הנוגעים בדבר. מה שמתאים למשרד של שני אנשים אינו מה שמתאים לחברה המעבדת נתוני בריאות בקנה מידה גדול, והסטנדרט עולה ככל שהסיכון עולה.
בפועל, האמצעים שרשות פיקוח מצפה לראות אינם יוצאי דופן: בקרת גישה ואימות רב-גורמי, הצפנת מכשירים וגיבויים, תיקונים, הפרדת סביבות, רישום ותהליך שחזור שנבדק. מה שמייחד ארגון ששורד בדיקה הוא שהם תועדו ונבדקו לפני שמשהו השתבש.
מתי יש לדווח על פרצת נתונים?
יש לדווח על פרצת מידע אישי לרשות להגנת המידע ההולנדית (Autoriteit Persoonsgegevens) תוך שבעים ושתיים שעות מרגע היותה מודעת לה, אלא אם כן היא אינה צפויה לגרום לסיכון לאנשים שנפגעו. במקרים בהם הסיכון עבורם גבוה, יש ליידע גם אותם אנשים, ללא דיחוי בלתי סביר.
שבעים ושתיים שעות הן זמן קצר, והשעון פועל ממודעות ולא מחקירה שהושלמה. זו הסיבה שנוהל אירוע - מי מחליט, מי נקרא, מה נרשם - שווה יותר מכל בקרה טכנית בודדת. כל הפרה חייבת להיות מתועדת באופן פנימי, כולל אלו שלא מדווחות לרגולטור, יחד עם הנמקה להחלטה זו.
מה מוסיף תוכנית אבטחת הסייבר?
ה-Cyberbeveiligingswet וה-Wet weerbaarheid kritieke entiteiten הנלווה נכנסו לתוקף ב-15 באוגוסט 2026, והחליפו את כללי אבטחת הרשתות והמערכות המידע הקודמים. ארגונים הנכללים בתחומו - גופים חיוניים וחשובים במגזרים כגון אנרגיה, תחבורה, בריאות, תשתיות דיגיטליות ומנהל ציבורי - חייבים להירשם ברשויות, לנקוט באמצעים מתאימים לניהול סיכונים ולדווח על אירועים משמעותיים ל-CSIRT הלאומי ולמפקח המגזר שלו.
גופי ניהול נושאים באחריות אישית לאישור ופיקוח על צעדים אלה; לא ניתן להאציל זאת פשוט למחלקת IT. מוסדות פיננסיים נופלים תחת משטר חוסן תפעולי משלהם של האיחוד האירופי (DORA) ולא תחת ה-Cyberbeveiligingswet.
כיצד זה מגיע לארגונים שאינם בתחום תחום ה-Cyberbeveiligingswet?
אפילו מחוץ למגזרים הייעודיים, אותם סטנדרטים נוטים להגיע דרך חוזים. לקוחות גדולים יותר מציבים יותר ויותר דרישות אבטחה, זכויות ביקורת ותקופות הודעה על הפרות בחוזים שלהם, והסכם עיבוד נתונים הוא חובה בכל פעם שעובדים נתונים אישיים מטעם מישהו אחר. בפועל, חברות הולנדיות רבות עומדות לראשונה בסטנדרטים אלה משום שצד נגדי דרש אותם, ולא משום שרגולטור עשה זאת.
מי יכול להגיש תביעה לאחר אירוע?
אירוע יכול להוביל לתביעות מכמה כיוונים בו זמנית: מצד הרגולטור, מצד אנשים פרטיים שמידעיהם נחשף, מצד לקוחות במסגרת החוזה, ובאופן גובר יותר ויותר באמצעות תביעות קולקטיביות. תגובת הביטוח תלויה בנוסח הפוליסה ובשאלה האם המבטח יכול להצביע על אי-שמירה על האמצעים המוסכמים - סיבה נוספת להיות מסוגל להוכיח את מה שהיה קיים.
מה כדאי לעשות קודם?
שלושה דברים נושאים את המשקל הרב ביותר עבור המאמץ הנמוך ביותר: נוהל תקרית כתוב המציין אנשים ולא תפקידים; רישום עדכני של פעילויות עיבוד ושל המעבדים שבהם אתם משתמשים; ושחזור שנבדק, מכיוון שההבדל בין תקרית לקטסטרופה הוא בדרך כלל האם הגיבויים פעלו. אם הארגון שלכם עשוי להיכלל במסגרת ה-Cyberbeveiligingswet, בדקו את חובת הרישום שלכם ללא דיחוי.
לסיכום
- ה-GDPR דורש אמצעי אבטחה התואמים למצב העדכני ולסיכון הכרוך בכך, עבור כל ארגון המעבד נתונים אישיים.
- בדרך כלל יש לדווח על פרצת נתונים ל-Authoriteit Persoonsgegevens תוך שבעים ושתיים שעות מיום היותה מודעת לה.
- מאז 15 באוגוסט 2026, ה-Cyberbeveiligingswet מוסיף חובות רישום, ניהול סיכונים ודיווח אירועים עבור כ-8,000 ארגונים ייעודיים, עם אחריות אישית להנהלה.
- מוסדות פיננסיים נופלים תחת DORA ולא תחת ה-Cyberbeveiligingswet.
- אירוע עלול לעורר תביעות מצד רגולטורים, אנשים שנפגעו, צדדים נגדיים חוזיים, ובאופן גובר, גם תביעות קולקטיביות.
עצה
אנו מייעצים בנוגע להסכמי אבטחה ועיבוד נתונים, בנוגע לדיווח על הפרות מערכות ותכתובת רגולטורית, בנוגע לתאימות לתקנות אבטחת סייבר, ובנוגע לחבות לאחר תקרית.
לא בטוחים מה מצבכם? ספרו לנו על מצבכם. נודיע לכם על האפשרויות העומדות בפניכם תוך יום עסקים אחד.
איך Law & More יכול לעזור לך עם זה מוסבר אצלנו עורך דין בתחום ה-IT .
