Obligasyon sibersekirite: sa GDPR ak Cbw egzije

Chak biznis Olandè ki trete done pèsonèl dwe pwoteje yo anba Atik 32 GDPR epi rapòte yon vyolasyon done bay Otorite Pwoteksyon Done Olandè a (Autoriteit Persoonsgegevens, AP) nan 72 èdtan anba Atik 33 GDPR. Anplis de sa, depi 15 Out 2026, plis pase 8,000 òganizasyon esansyèl ak enpòtan dwe konfòme yo tou avèk Lwa sou Sekirite Sibernetik la (Cyberbeveiligingswet, Cbw), aplikasyon Olandè direktiv NIS2 Inyon Ewopeyen an; bank yo ak lòt antite finansye yo swiv DORA pou zafè sa yo pito.

Ki sa GDPR a egzije pou sekirite done yo?

Mezi teknik ak òganizasyonèl apwopriye, evalye an fonksyon de dènye kri teknoloji a, pri aplikasyon an ak risk pou moun ki konsène yo (Atik 32 GDPR). Sa ki apwopriye pou yon pratik ki gen de moun diferan de sa yon konpayi ki trete done sante sou yon gwo echèl bezwen; estanda a ogmante avèk risk la.

AP a espere wè mezi ki pa remakab: kontwòl aksè ak otantifikasyon plizyè faktè, chifreman aparèy ak sovgad, patch, koneksyon ak yon pwosedi restorasyon teste. Sa ki ede ou siviv envestigasyon an se ke mezi sa yo te dokimante epi revize anvan nenpòt bagay te ale mal.

Kilè yo dwe rapòte yon vyolasyon done?

Nan 72 èdtan apre ou fin pran konesans de li, bay AP a, sof si vyolasyon an gen anpil chans pou l pa reprezante yon risk pou moun ki afekte yo (Atik 33 GDPR). Lè risk la wo pou yo, ou dwe enfòme moun sa yo tou san pèdi tan (Atik 34 GDPR).

Revèy la ap mache apati konsyans, pa apati yon ankèt ki fini, kidonk yon pwosedi pou yon ensidan (ki moun ki deside, ki moun yo rele, kisa yo anrejistre) vo plis pase nenpòt kontwòl teknik. Anba Atik 33(5) GDPR a, ou dwe anrejistre chak vyolasyon anndan w, menm sa ou pa rapòte yo, ansanm ak rezon ki fè w pran desizyon sa a.

Kisa Cyberbeveiligingswet la ajoute?

Enskripsyon, yon devwa dilijans ak rapò ensidan pou òganizasyon nan 18 sektè, tankou enèji, transpò, swen sante, enfrastrikti dijital ak administrasyon piblik. Cbw a ak Lwa sou Rezilyans Antite Kritik yo (Wet weerbaarheid kritieke entiteiten) te antre an vigè 15 out 2026. Òganizasyon ki nan kad li a dwe enskri nan Sant Nasyonal Sekirite Sibernetik (NCSC), pran mezi jesyon risk epi rapòte ensidan enpòtan bay CSIRT la ak sipèvizè sektè yo a nan peryòd legal yo.

Konsèy administrasyon an dwe apwouve epi sipèvize mezi sa yo epi li dwe gen ase konesans, tankou fòmasyon; li pa ka tou senpleman delege sa bay depatman IT a. Nan kèk jou apre antre an vigè, sèlman anviwon 3,200 nan plis pase 8,000 òganizasyon yo te enskri, kidonk tcheke enskripsyon ou kounye a si ou ka nan kad li a.

Ki jan sa rive jwenn òganizasyon ki pa nan kad Cbw a?

Atravè kontra. Pi gwo kliyan yo ap enpoze de pli zan pli egzijans sekirite, dwa odit ak peryòd notifikasyon vyolasyon, epi yon akò tretman anba Atik 28 GDPR obligatwa chak fwa ou trete done pèsonèl sou non yon lòt moun. Anpil konpayi Olandè yo premye satisfè estanda sa yo paske yon kliyan ki nan kad Cbw a te egzije yo.

Ki moun ki ka pote yon reklamasyon apre yon ensidan?

AP a, ki ka bay yon amann jiska €20 milyon oswa 4% sou chif dafè mondyal la anba Atik 83 GDPR a; moun, ki ka reklame konpansasyon anba Atik 82 GDPR a; kliyan anba kontra a; ak gwoup atravè yon aksyon kolektif anba WAMCA a. Si asirans ou an peye a depann de fason yo ekri kontra asirans lan epi si ou ka montre si mezi yo te dakò sou yo te an plas.

Kisa ou ta dwe verifye antanke yon òganizasyon ki nan kad Cbw a?

• Èske ou te enskri ak NCSC a?
• Èske konsèy la apwouve mezi jesyon risk yo epi li fin fè fòmasyon an?
• Èske ou konnen papòt sektè ou a pou yon ensidan enpòtan epi bay ki moun ou rapòte yo?
• Èske kontra founisè ou yo enplike devwa sekirite ak notifikasyon?
• Èske ou ka rapòte yon vyolasyon done pèsonèl bay AP a nan 72 èdtan tou?

Kisa ou ta dwe verifye antanke founisè pou òganizasyon sa yo?

• Ki egzijans sekirite ak dwa odit kontra kliyan ou an enpoze?
• Ki vitès ou dwe avize kliyan ou de yon ensidan?
• Èske gen yon akò sou tretman done anba Atik 28 GDPR a kote w ap trete done pèsonèl?
• Èske responsablite w pou yon aksidan gen yon limit, epi èske asirans ou kouvri li?

Kisa nou ka fè pou ou ak obligasyon sibersekirite yo?

Avoka IT nou yo bay konsèy sou aspè legal sekirite sibernetik la. Nou kapab:

• Evalye si òganizasyon w lan tonbe anba kad Cbw la.
• Elabore oswa revize akò pwosesis ak kloz sekirite nan kontra founisè yo.
• Ekri pwosedi ou pou notifikasyon ensidan ak vyolasyon.
• Jere notifikasyon vyolasyon yo ak korespondans ak AP a.
• Bay konsèy sou responsablite anvè kliyan ak moun apre yon ensidan.

Rezime

• Atik 32 GDPR a egzije mezi sekirite ki koresponn ak dènye teknoloji a ak risk la, pou chak òganizasyon ki trete done pèsonèl.
• Nòmalman, yo dwe rapòte yon vyolasyon done bay AP a nan 72 èdtan apre yo fin pran konesans de li.
• Depi 15 out 2026, Cbw a ajoute devwa anrejistreman, jesyon risk ak rapò ensidan pou plis pase 8,000 òganizasyon, avèk responsablite konsèy administrasyon an.
• Yon ensidan ka deklanche reklamasyon nan men AP a, moun, kliyan ak aksyon kolektif.