Alle nederlandske bedrifter som behandler personopplysninger må sikre disse i henhold til artikkel 32 i GDPR og rapportere et datainnbrudd til den nederlandske datatilsynsmyndigheten (Autoriteit Persoonsgegevens, AP) innen 72 timer i henhold til artikkel 33 i GDPR. I tillegg til dette har mer enn 8,000 viktige organisasjoner siden 15. august 2026 også måtte overholde cybersikkerhetsloven (Cyberbeveiligingswet, Cbw), den nederlandske implementeringen av EUs NIS2-direktiv. Banker og andre finansielle enheter følger i stedet DORA for disse sakene.

Innholdsfortegnelse

Hva krever GDPR for datasikkerhet?

Passende tekniske og organisatoriske tiltak, vurdert opp mot det nåværende stadiet, implementeringskostnadene og risikoen for de berørte personene (artikkel 32 i GDPR). Hva som er passende for en tomannspraksis er forskjellig fra hva et selskap som behandler helsedata i stor skala trenger; standarden øker med risikoen.

AP forventer å se upåfallende tiltak: tilgangskontroll og flerfaktorautentisering, kryptering av enheter og sikkerhetskopier, oppdateringer, logging og en testet gjenopprettingsprosedyre. Det som hjelper deg å overleve granskingen er at disse tiltakene ble dokumentert og gjennomgått før noe gikk galt.

Når må et datainnbrudd rapporteres?

Innen 72 timer etter at du ble oppmerksom på det, til AP, med mindre bruddet sannsynligvis ikke vil medføre en risiko for de berørte personene (artikkel 33 i GDPR). Der risikoen for dem er høy, må du også informere disse personene uten unødig forsinkelse (artikkel 34 i GDPR).

Klokken går fra bevissthet, ikke fra en fullført etterforskning, så en hendelsesprosedyre (hvem bestemmer, hvem blir tilkalt, hva som registreres) er verdt mer enn noen enkeltstående teknisk kontroll. I henhold til artikkel 33(5) i GDPR må du registrere alle brudd internt, inkludert de du ikke rapporterer, med begrunnelsen for den avgjørelsen.

Hva legger Cyberbeveiligingswet til?

Registrering, aktsomhetsplikt og hendelsesrapportering for organisasjoner i 18 sektorer, som energi, transport, helsevesen, digital infrastruktur og offentlig forvaltning. Cbw og loven om motstandskraft for kritiske enheter (Wet weerbaarheid kritieke entiteiten) trådte i kraft 15. august 2026. Organisasjoner som omfattes av loven må registrere seg hos Nasjonalt senter for cybersikkerhet (NCSC), iverksette risikostyringstiltak og rapportere betydelige hendelser til CSIRT og sin sektorveileder innen de lovpålagte fristene.

Styret må godkjenne og føre tilsyn med disse tiltakene og må ha tilstrekkelig kunnskap, inkludert opplæring; det kan ikke bare delegere dette til IT-avdelingen. Innen få dager etter ikrafttredelsen hadde bare rundt 3,200 av de mer enn 8,000 organisasjonene registrert seg, så sjekk registreringen din nå hvis du kan være omfattet.

Hvordan når dette organisasjoner utenfor Cbw's virkeområde?

Gjennom kontrakter. Større kunder stiller i økende grad sikkerhetskrav, revisjonsrettigheter og varslingsfrister for brudd, og en behandlingsavtale i henhold til artikkel 28 i GDPR er obligatorisk når du behandler personopplysninger på andres vegne. Mange nederlandske selskaper oppfyller først disse standardene fordi en kunde som omfattes av Cbw, krevde dem.

Hvem kan fremme et krav etter en hendelse?

AP, som kan ilegge bøter på opptil 20 millioner euro eller 4 % av den globale omsetningen i henhold til artikkel 83 i GDPR; enkeltpersoner, som kan kreve erstatning i henhold til artikkel 82 i GDPR; kunder i henhold til kontrakten; og grupper gjennom kollektive søksmål i henhold til WAMCA. Om forsikringen din betaler avhenger av poliseteksten og om du kan vise at de avtalte tiltakene var på plass.

Hva bør du sjekke som en organisasjon som omfattes av Cbw?

Har du registrert deg hos NCSC?
Har styret godkjent risikostyringstiltakene og fullført opplæring?
Kjenner du til din sektors terskler for en betydelig hendelse og hvem du rapporterer til?
Pålegger leverandørkontraktene deres sikkerhets- og varslingsplikter?
Kan du også rapportere et brudd på personopplysninger til AP innen 72 timer?

Hva bør du sjekke som leverandør til slike organisasjoner?

Hvilke sikkerhetskrav og revisjonsrettigheter pålegger kundekontrakten din?
Hvor raskt må du varsle kunden din om en hendelse?
Finnes det en behandlingsavtale i henhold til artikkel 28 i GDPR der dere håndterer personopplysninger?
Er det et tak på ansvaret ditt for en hendelse, og dekker forsikringen din det?

Hva kan vi gjøre for deg med forpliktelser knyttet til cybersikkerhet?

Våre IT-advokater gir råd om den juridiske siden av cybersikkerhet. Vi kan:

Vurder om organisasjonen din faller inn under Cbw-virksomheten.
Utarbeide eller gjennomgå behandlingsavtaler og sikkerhetsklausuler i leverandørkontrakter.
Skriv prosedyren din for varsling av hendelser og brudd.
Håndtere varselet om brudd og korrespondanse med AP.
Gi råd om ansvar overfor kunder og enkeltpersoner etter en hendelse.

Sammendrag

Artikkel 32 i GDPR krever sikkerhetstiltak som er tilpasset det nåværende teknologiske nivået og risikoen, for alle organisasjoner som behandler personopplysninger.
Et datainnbrudd må normalt rapporteres til AP innen 72 timer etter at det ble kjent med det.
Siden 15. august 2026 har Cbw lagt til plikter for registrering, risikostyring og hendelsesrapportering for mer enn 8,000 organisasjoner, med styreansvar.
En hendelse kan utløse krav fra AP, enkeltpersoner, kunder og kollektive søksmål.