Autorstwa Toma Meevisa, prawnika w Law & More
Cyberataki, takie jak ransomware, phishing, ataki DDoS i włamania komputerowe, rzadko dotykają wyłącznie atakowanej organizacji. Ofiarami cyberataków są również klienci, pracownicy, pacjenci, dostawcy i inni partnerzy w łańcuchu dostaw, którzy mogą ponieść straty, a ich sytuacja prawna różni się w zależności od grupy. Dlatego każdy, kto chce ustalić po ataku, jakie obowiązki mają zastosowanie i jakie roszczenia istnieją, powinien najpierw dokładnie ustalić, kto ucierpiał i jakie szkody poniósł.
W artykule tym omówiono kolejno, kto kwalifikuje się jako ofiara, kiedy należy powiadomić o naruszeniu danych, na jakich warunkach istnieje prawo do odszkodowania, które strony mogą ponosić odpowiedzialność, jaką rolę odgrywa prawo karne, co zazwyczaj obejmuje cybernetyczna polisa ubezpieczeniowa oraz jakie kroki należy podjąć natychmiast po ataku.
Kim są ofiary cyberataków?
W przypadku cyberataków można wyróżnić trzy grupy.
- Sama dotknięta organizacja, która musi zmierzyć się z przestojami systemu, utratą obrotów, kosztami odzyskiwania danych, kosztami dochodzeń kryminalistycznych i szkodą dla swojej reputacji.
- Osoby fizyczne, których dane osobowe zostały ujawnione, takie jak klienci, pracownicy i pacjenci, mogą ponieść straty finansowe, ale także szkody niematerialne z powodu utraty kontroli nad swoimi danymi, niepewności lub strachu przed kradzieżą tożsamości.
- Strony trzecie dotknięte relacją umowną lub łańcuchem dostaw, na przykład dlatego, że są zależne od dostawcy, którego systemy uległy awarii.
Ta klasyfikacja ma znaczenie prawne. Podstawa roszczenia i strona, przeciwko której można je wytoczyć, zależą od sytuacji ofiary. Organizacja, której dotyczy roszczenie, zazwyczaj pociągnie swojego dostawcę IT do odpowiedzialności na mocy umowy, podczas gdy osoba, której dane dotyczą, może powołać się bezpośrednio na odrębną podstawę odpowiedzialności przewidzianą w RODO.
Kiedy należy powiadomić o naruszeniu danych?
W przypadku cyberataku na dane osobowe należy ocenić, czy doszło do naruszenia danych osobowych i czy zgłoszenie jest obowiązkowe. Artykuł 33 RODO wymaga, aby naruszenie zostało zgłoszone organowi nadzorczemu bez zbędnej zwłoki, a w miarę możliwości w ciągu siedemdziesięciu dwóch godzin, chyba że jest mało prawdopodobne, aby naruszenie to skutkowało ryzykiem naruszenia praw i wolności osób fizycznych.
Ponadto, art. 34 RODO może wymagać od organizacji samodzielnego informowania osób, których dane dotyczą. Obowiązek ten powstaje, gdy naruszenie prawdopodobnie spowoduje wysokie ryzyko naruszenia ich praw i wolności. Informacji można zaniechać, jeżeli zastosowano odpowiednie środki techniczne, takie jak szyfrowanie, jeżeli późniejsze środki zapobiegawcze zapobiegną wystąpieniu wysokiego ryzyka lub jeżeli indywidualna komunikacja wymagałaby niewspółmiernie dużego wysiłku; w tym ostatnim przypadku wystarczy publiczna komunikacja.
Dla osoby, której dane dotyczą, komunikacja to coś więcej niż formalność. Umożliwia jej podejmowanie własnych działań, na przykład zmianę haseł czy monitorowanie podejrzanych transakcji, a w praktyce często stanowi punkt wyjścia do wszelkich roszczeń odszkodowawczych.
Organizacja musi zatem ustalić nie tylko, że doszło do ataku, ale także, które dane zostały naruszone, czy dane rzeczywiście zostały wykradzione i jakie wynikają z tego zagrożenia. Niezależne dochodzenie kryminalistyczne jest często niezbędne w tym celu.
Dotyczy to tym bardziej sytuacji, gdy atak ma miejsce w podmiocie przetwarzającym, a nie w samej organizacji. W postępowaniu uproszczonym pomiędzy Blauw Research a Nebu (Sąd Rejonowy w Rotterdamie, 6 kwietnia 2023 r., ECLI:NL:RBROT:2023:2931) sędzia orzekający w przedmiocie środka tymczasowego orzekł, że na mocy umowy o przetwarzaniu danych zawartej między stronami administrator miał prawo do uzyskania większej ilości informacji o ataku, jego konsekwencjach i podjętych środkach, niż początkowo mu przekazano. Podmiot przetwarzający został również zobowiązany do przeprowadzenia niezależnego dochodzenia kryminalistycznego i okresowego raportowania. Wyrok pokazuje, że dobrze sporządzona umowa o przetwarzaniu danych jest w praktyce najważniejszym instrumentem umożliwiającym uzyskanie informacji w odpowiednim czasie po incydencie, właśnie dlatego, że administrator potrzebuje tych informacji do wywiązania się z własnych obowiązków powiadamiania.
Kiedy powstaje prawo do odszkodowania?
Osoby, których dane dotyczą, mogą ubiegać się o odszkodowanie od administratora lub podmiotu przetwarzającego na podstawie art. 82 RODO. Cyberatak nie powoduje jednak automatycznie powstania roszczenia. Musi on zostać uzasadniony:
- że doszło do naruszenia RODO;
- że szkoda rzeczywiście została poniesiona; i
- że istnieje związek przyczynowy pomiędzy tym naruszeniem a tą szkodą.
Szkoda materialna może obejmować straty finansowe, koszty odzyskiwania należności lub straty spowodowane oszustwem tożsamościowym. Jeśli chodzi o szkodę niematerialną, Trybunał Sprawiedliwości Unii Europejskiej orzekł w sprawie Österreichische Post (TSUE z 4 maja 2023 r., C-300/21), że nie ma minimalnego progu wagi szkody, ale samo naruszenie RODO nie jest wystarczające do przyznania odszkodowania.
Szczególnie istotny dla naruszeń danych w następstwie cyberataku jest wyrok TSUE z 14 grudnia 2023 r. w sprawie C-340/21 „Natsionalna agentia za prihodite”. W wyroku tym Trybunał orzekł, że obawa przed ewentualnym przyszłym niewłaściwym wykorzystaniem ujawnionych danych osobowych może sama w sobie stanowić szkodę niematerialną. Osoba, której dane dotyczą, musi jednak konkretnie uzasadnić tę obawę i jej konsekwencje; samo wskazanie faktu wycieku danych nie wystarczy. W tym samym wyroku Trybunał potwierdził, że to na administratorze spoczywa obowiązek udowodnienia, że podjęte środki bezpieczeństwa były właściwe, a atak ze strony osoby trzeciej sam w sobie nie zwalnia administratora z odpowiedzialności.
Odpowiedzialność na mocy RODO istnieje równolegle z cywilnoprawnymi podstawami naruszenia umowy i czynu niedozwolonego. Zgodnie z artykułem 6:162(1) holenderskiego Kodeksu cywilnego, strona dopuszczająca się przypisywalnego czynu niedozwolonego musi naprawić wyrządzoną szkodę. Obowiązuje wymóg relatywizmu z artykułu 6:163: naruszona norma musi służyć ochronie przed rodzajem szkody poniesionej przez poszkodowanego.
Co ważne, art. 82 RODO funkcjonuje równolegle z tymi podstawami. Osoba, której dane dotyczą, nie ma zatem obowiązku dochodzenia roszczeń wyłącznie z tytułu naruszenia umowy lub czynu niedozwolonego, lecz może powołać się bezpośrednio na odrębną podstawę odpowiedzialności przewidzianą w RODO. Dla organizacji dotkniętej atakiem takie połączenie podstaw oznacza, że po ataku kilka stron może jednocześnie dochodzić roszczeń.
Kto może ponosić odpowiedzialność?
Dotknięta organizacja może ponieść odpowiedzialność, jeśli nie wywiąże się ze swoich zobowiązań umownych lub nie podejmie wystarczających środków bezpieczeństwa. Dostawca usług informatycznych lub podmiot przetwarzający również może zostać pociągnięty do odpowiedzialności. Oczekiwania wobec takiego dostawcy usług zależą przede wszystkim od umowy.
W ramach relacji przetwarzania kluczową rolę odgrywa umowa o przetwarzaniu danych. Artykuł 28 RODO nakłada na administratora i podmiot przetwarzający obowiązek zawarcia takiej umowy, regulującej między innymi środki bezpieczeństwa i postępowanie w przypadku naruszenia danych. Jeżeli atak wynika z niewystarczających zabezpieczeń podmiotu przetwarzającego, administrator może na mocy tej umowy pociągnąć podmiot przetwarzający do odpowiedzialności za powstałą szkodę.
Wyraźnie widać to w sprawie cyberataku na gminę Hof van Twente (Sąd Rejonowy w Overijssel, 10 maja 2023 r., ECLI:NL:RBOVE:2023:1731). Strony uzgodniły monitorowanie funkcjonalne, a nie bezpieczeństwa. Sąd orzekł, że obowiązek staranności administratora IT nie rozciąga się tak daleko, aby monitorowanie bezpieczeństwa stanowiło dorozumianą część zadania monitorowania funkcjonalnego, i oddalił powództwo gminy. Uznał również, że gmina sama podjęła decyzje zwiększające ryzyko, w tym politykę haseł i otwarcie portu RDP.
Odbiciem lustrzanym jest sprawa O'Cliance (Sąd Rejonowy w Amsterdam, 14 listopada 2018 r., ECLI:NL:RBAMS:2018:10124). Dostawca zainstalował tam kompletną infrastrukturę IT i przejął jej zarządzanie. Po ataku ransomware, w którym kopie zapasowe również zostały zaszyfrowane, sąd orzekł, że dostarczenie tak kompleksowego pakietu wiązało się z daleko idącym obowiązkiem zachowania ostrożności i że zaniechano prostych środków. Odpowiedzialność nie została jednak zasądzona w całości: z powodu współwiny klienta, dwie trzecie szkody pozostało po stronie dostawcy.
Jak duży ciężar dowodu może ciążyć na odpowiednim zabezpieczeniu, ilustruje przypadek zhakowanego konta e-mail sprzedawcy samochodów. W wyroku wstępnym z dnia 5 listopada 2024 r. (Sąd Apelacyjny w Arnhem-Leeuwarden, ECLI:NL:GHARL:2024:6812) sprzedawca miał możliwość udowodnienia, że jego konto e-mail zostało odpowiednio zabezpieczone w rozumieniu RODO, po tym jak haker wykorzystał to konto do wysłania fałszywego polecenia zapłaty do kupującego. W kolejnym wyroku z dnia 22 lipca 2025 r. (ECLI:NL:GHARL:2025:4556) sąd stwierdził, że dowód ten nie został dostarczony, po czym strony nadal musiały zająć stanowisko w kwestii współwiny kupującego. Oba wyroki dotyczą zatem tego samego postępowania.
Wspólnym mianownikiem jest to, że istotne są ustalenia umowne, ryzyko związane z przetwarzaniem, faktycznie podjęte środki, ostrzeżenia udzielone przez obie strony oraz zachowanie poszkodowanego. Oprócz odpowiedzialności cywilnej, holenderski Urząd Ochrony Danych Osobowych (GIODO) może nałożyć kary administracyjne w wysokości do 20 milionów euro lub 4% światowego rocznego obrotu, w zależności od tego, która kwota jest wyższa. Kary te są niezależne od tego, czy poszczególne osoby, których dane dotyczą, poniosły szkodę.
Droga prawa karnego
Cyberatak może również stanowić przestępstwo, takie jak włamanie do komputera, uniemożliwienie dostępu do danych lub przywłaszczenie danych niepublicznych. Artykuł 138ab(1) holenderskiego kodeksu karnego stanowi, że umyślne i niezgodne z prawem uzyskanie dostępu do systemu zautomatyzowanego stanowi przestępstwo.
Ofiary mogą zgłosić przestępstwo policji, która dysponuje wyspecjalizowanymi zespołami ds. cyberprzestępczości. W przypadku wszczęcia postępowania karnego przeciwko podejrzanemu, ofiara może dołączyć do postępowania karnego jako strona pokrzywdzona i ubiegać się o odszkodowanie. Ta droga pozwala uniknąć oddzielnego postępowania cywilnego, ale wynik zależy od wykrycia, oskarżenia i dowodów, które w przypadku przestępców działających na arenie międzynarodowej często nie przynoszą rezultatu. Dla organizacji zgłaszanie przestępstw jest często również praktyczną koniecznością, ponieważ ubezpieczyciele i partnerzy w łańcuchu dostaw tego wymagają.
Co obejmuje ubezpieczenie cybernetyczne?
Polisa ubezpieczeniowa od cyberzagrożeń może obejmować m.in.:
- reagowanie na incydenty i dochodzenia kryminalistyczne;
- przywracanie systemów i danych;
- straty wynikające z przerwy w działalności gospodarczej i utraconych obrotów;
- komunikacja kryzysowa;
- odpowiedzialność wobec osób trzecich;
- koszty prawne; i
- w niektórych przypadkach grzywny, płatności w ramach ugody lub okup, w zakresie, w jakim jest to ubezpieczeniowe na mocy obowiązującego prawa.
Dokładny zakres ochrony zależy od polisy. Należy zwrócić uwagę na wyłączenia, warunki bezpieczeństwa, okresy powiadomienia, udziały własne oraz wymogi dotyczące angażowania ekspertów. Artykuł 7:957(1) holenderskiego Kodeksu cywilnego nakłada również na ubezpieczonego obowiązek podjęcia rozsądnych środków w celu zapobieżenia lub ograniczenia szkody. W przypadku naruszenia obowiązku ratownictwa ubezpieczyciel może obniżyć wypłatę odszkodowania.
Cyberubezpieczyciel powinien zatem zostać poinformowany jak najszybciej. Zaangażowanie zewnętrznych ekspertów lub zapłacenie okupu bez zgody ubezpieczyciela może wpłynąć na zakres ochrony ubezpieczeniowej.
Co należy zrobić bezpośrednio po ataku cybernetycznym?
- Dokładnie odnotuj incydent i wszystkie podjęte działania.
- Izoluj zainfekowane systemy bez utraty dowodów.
- Zatrudnij eksperta medycyny sądowej.
- Oceń, czy wystąpiło naruszenie danych podlegające zgłoszeniu.
- Oceń, czy osoby, których dane dotyczą, muszą zostać poinformowane.
- Zgłoś przestępstwo policji.
- Powiadom o zdarzeniu swojego ubezpieczyciela od cyberzagrożeń.
- Przechowuj logi, kopie zapasowe, wiadomości e-mail i inne istotne dane.
- Zmapuj szkody i strony potencjalnie odpowiedzialne.
- Dokładnie i w odpowiednim czasie poinformuj klientów, pracowników i partnerów łańcucha dostaw.
Cyberatak to zatem nie tylko incydent techniczny. To również kwestia z zakresu ochrony danych, prawa cywilnego, karnego i ubezpieczeniowego. Szybka i dobrze udokumentowana reakcja nie tylko ogranicza szkody, ale ma decydujące znaczenie dla zgłoszeń, zakresu ubezpieczenia i Państwa pozycji dowodowej w ewentualnym postępowaniu.
Na zakończenie
Prawa i obowiązki wynikające z cyberataku obejmują wiele dziedzin prawa, a wynik sprawy w dużej mierze zależy od konkretnych faktów, treści umowy i jakości dokumentacji. Omówione orzecznictwo pokazuje, że zarówno dostawcy, jak i klienci są oceniani na podstawie własnego postępowania, a terminy, takie jak siedemdziesięciodwugodzinny okres powiadomienia, nie pozostawiają miejsca na opóźnienia.
Law & More Pomaga organizacjom i osobom, których dane dotyczą, w obsłudze prawnej incydentów cybernetycznych: od oceny obowiązków związanych z powiadomieniem i przeglądem umów o przetwarzaniu danych, po ustalenie odpowiedzialności, kwestie ubezpieczeniowe i odzyskanie strat. Czy masz do czynienia z cyberatakiem lub naruszeniem danych, czy też chcesz, aby Twoje umowy zostały wcześniej zweryfikowane pod kątem tych zagrożeń przez naszych specjalistów? Prawo IT Zespół? Proszę, nie wahaj się skontaktuj się Law & More aby niezobowiązująco omówić Twoją sytuację.
PYTANIA I ODPOWIEDZI
Poniżej odpowiadamy na najczęściej zadawane pytania na ten temat.
Kto padnie ofiarą cyberataku?
Istnieją trzy warstwy. Po pierwsze, sama organizacja, której dotyczy problem, ponosi koszty przestoju systemu, utraty obrotów, odzyskiwania danych, kosztów dochodzenia kryminalistycznego i szkód wizerunkowych. Po drugie, osoby, których dane dotyczą, czyli osoby fizyczne, których dane osobowe zostały ujawnione, takie jak klienci, pracownicy i pacjenci. Po trzecie, strony trzecie ponoszące straty w związku z umową lub łańcuchem dostaw, na przykład z powodu zależności od dostawcy, który upadł. Ta klasyfikacja określa, na jakiej podstawie strona może wnieść roszczenie i przeciwko komu.
W jakim terminie muszę zgłosić naruszenie danych?
Artykuł 33 RODO wymaga zgłoszenia naruszenia organowi nadzorczemu bez zbędnej zwłoki, a w miarę możliwości w ciągu siedemdziesięciu dwóch godzin od momentu stwierdzenia naruszenia. Obowiązek ten nie ma zastosowania, jeżeli jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Ocena ta wymaga analizy charakteru naruszenia, kategorii danych, których ono dotyczy, oraz możliwych konsekwencji.
Kiedy muszę poinformować osoby, których dane dotyczą?
Zgodnie z artykułem 34 RODO, jeżeli naruszenie prawdopodobnie spowoduje wysokie ryzyko naruszenia praw i wolności osób, których dane dotyczą, można zrezygnować z komunikacji, jeżeli zastosowano odpowiednie środki techniczne, takie jak szyfrowanie, jeżeli późniejsze środki zapobiegawcze zapobiegną wystąpieniu wysokiego ryzyka lub jeżeli indywidualna komunikacja wymagałaby niewspółmiernie dużego wysiłku. W tym ostatnim przypadku wystarczy publiczna komunikacja.
Czy mogę uzyskać informacje od dostawcy, który padł ofiarą hakerów?
Tak, o ile przewiduje to umowa o przetwarzaniu danych. W postępowaniu uproszczonym pomiędzy Blauw Research a Nebu (Sąd Rejonowy w Rotterdamie, 6 kwietnia 2023 r., ECLI:NL:RBROT:2023:2931) sędzia orzekający w sprawie środka tymczasowego orzekł, że na mocy umowy o przetwarzaniu danych administrator danych miał prawo do uzyskania szerszych informacji o ataku, jego konsekwencjach i podjętych środkach, niż zostały mu przekazane, i nakazał podmiotowi przetwarzającemu przeprowadzenie niezależnego dochodzenia kryminalistycznego oraz okresowe raportowanie. Informacje te są niezbędne do wywiązania się z własnych obowiązków informacyjnych.
Czy jako osoba, której dane dotyczą, mam automatycznie prawo do odszkodowania po naruszeniu danych?
Nie. Artykuł 82 RODO stanowi odrębną podstawę prawną, ale musisz udowodnić, że RODO zostało naruszone, że rzeczywiście poniosłeś szkodę oraz że istnieje związek przyczynowo-skutkowy między naruszeniem a tą szkodą. Ciężar dowodu spoczywa na powodzie.
Czy strach przed kradzieżą tożsamości można uznać za szkodę niematerialną?
Może. W sprawie Natsionalna agentia za prihodite (TSUE z 14 grudnia 2023 r., C-340/21) Trybunał Sprawiedliwości orzekł, że obawa przed ewentualnym przyszłym niewłaściwym wykorzystaniem ujawnionych danych osobowych może sama w sobie stanowić szkodę niematerialną. Osoba, której dane dotyczą, musi jednak w konkretny sposób uzasadnić tę obawę i jej konsekwencje. Österreichische Post (TSUE z 4 maja 2023 r., C-300/21) dodaje, że nie ma minimalnego progu wagi naruszenia, ale samo naruszenie RODO nie jest wystarczające.
Kto musi udowodnić, że środki bezpieczeństwa były właściwe?
Administrator. W sprawie C-340/21 Trybunał Sprawiedliwości potwierdził, że to administrator musi wykazać, że podjęte środki bezpieczeństwa były właściwe, a atak ze strony osoby trzeciej sam w sobie nie zwalnia go z odpowiedzialności. W Holandii miało to miejsce w przypadku zhakowanego konta e-mail sprzedawcy samochodów, gdzie Sąd Apelacyjny w Arnhem-Leeuwarden najpierw dał sprzedawcy możliwość przedstawienia tego dowodu (ECLI:NL:GHARL:2024:6812), a następnie orzekł, że dowód ten nie został przedstawiony (ECLI:NL:GHARL:2025:4556).
Czy mój dostawca usług informatycznych ponosi odpowiedzialność, jeśli nie wykryje ataku?
Zależy to od tego, co zostało uzgodnione. W sprawie dotyczącej cyberataku na gminę Hof van Twente (Sąd Rejonowy w Overijssel, 10 maja 2023 r., ECLI:NL:RBOVE:2023:1731) strony uzgodniły monitorowanie funkcjonalne, a nie monitorowanie bezpieczeństwa. Sąd orzekł, że obowiązek staranności administratora IT nie rozciąga się tak daleko, aby monitorowanie bezpieczeństwa stanowiło jego dorozumianą część, i oddalił powództwo. W przypadku dostarczenia szerszego, całościowego pakietu, obowiązek staranności może być dalekosiężny, jak w sprawie O'Cliance (Sąd Rejonowy w Overijssel). Amsterdam, 14 listopada 2018 r., ECLI:NL:RBAMS:2018:10124), zgodnie z którym dostawca ponosi odpowiedzialność za dwie trzecie straty.
Czy moje własne zachowanie może obniżyć odszkodowanie?
Tak. W takich przypadkach wina współuczestnicząca odgrywa powtarzającą się rolę. W przypadku O'Cliance jedna trzecia straty pozostała na koncie klienta, a w przypadku zhakowanego konta e-mail strony były zobowiązane do zajęcia się winą współuczestniczącą kupującego. Twoja własna polityka haseł, pozostawione otwarte porty lub zignorowane ostrzeżenia mogą zatem mieć bezpośredni wpływ na wynik sprawy.
Jakie kary może nałożyć organ ochrony danych?
Za naruszenia RODO organ nadzorczy może nałożyć kary administracyjne w wysokości do 20 milionów euro lub 4% rocznego obrotu na świecie, w zależności od tego, która kwota jest wyższa. Kary te są niezależne od tego, czy osoby, których dane dotyczą, rzeczywiście poniosły szkodę, i dlatego stanowią odrębne ryzyko, obok odpowiedzialności cywilnej.
Czy mogę zgłosić przestępstwo i dochodzić odszkodowania w postępowaniu karnym?
Tak. Artykuł 138ab (1) holenderskiego kodeksu karnego stanowi, że umyślne i niezgodne z prawem uzyskanie dostępu do systemu zautomatyzowanego stanowi przestępstwo. Możesz zgłosić przestępstwo policji, a w przypadku wszczęcia postępowania karnego przeciwko podejrzanemu, dołączyć do postępowania karnego jako strona pokrzywdzona i ubiegać się o odszkodowanie. Wynik zależy jednak od wykrycia, oskarżenia i dowodów, które w przypadku przestępców działających na arenie międzynarodowej często nie przynoszą rezultatu.
Co zazwyczaj obejmuje ubezpieczenie cybernetyczne?
Zazwyczaj obejmuje to reagowanie na incydenty i dochodzenie kryminalistyczne, przywracanie systemów i danych, straty z tytułu przerw w działalności i utracone obroty, komunikację kryzysową, odpowiedzialność wobec osób trzecich i koszty sądowe, a w niektórych przypadkach grzywny, ugody lub okup w zakresie dozwolonym przez obowiązujące prawo. Należy zwrócić uwagę na wyłączenia, warunki bezpieczeństwa, okresy powiadomienia i franszyzy oraz zapoznać się z polisą przed wystąpieniem incydentu.
Czy mogę stracić osłonę działając nieprawidłowo po ataku?
To możliwe. Artykuł 7:957(1) holenderskiego Kodeksu Cywilnego nakłada na ubezpieczonego obowiązek podjęcia rozsądnych środków w celu zapobieżenia lub ograniczenia szkody; w przypadku niedopełnienia obowiązku ratownictwa ubezpieczyciel może obniżyć wypłatę. Zaangażowanie zewnętrznych ekspertów lub zapłacenie okupu bez zgody ubezpieczyciela również może wpłynąć na zakres ochrony ubezpieczeniowej. Należy jak najszybciej poinformować ubezpieczyciela.
Jakie kroki należy podjąć natychmiast po ataku cybernetycznym?
Udokumentuj incydent i wszystkie podjęte działania, odizoluj zagrożone systemy bez utraty dowodów i zaangażuj eksperta ds. kryminalistyki. Następnie oceń, czy doszło do naruszenia danych podlegającego zgłoszeniu i czy osoby, których dane dotyczą, muszą zostać poinformowane. Zgłoś naruszenie, powiadom swojego ubezpieczyciela od cyberataków, zachowaj logi, kopie zapasowe i korespondencję, zmapuj szkody i potencjalnie odpowiedzialne strony oraz poinformuj klientów, pracowników i partnerów w łańcuchu dostaw starannie i z odpowiednim wyprzedzeniem.
