डच व्यवसायों के लिए साइबर सुरक्षा संबंधी दायित्व

डच व्यवसायों को लगभग सभी क्षेत्रों में लागू होने वाली तीन साइबर सुरक्षा संबंधी जिम्मेदारियों का सामना करना पड़ता है: व्यक्तिगत डेटा को सुरक्षित रखना, उल्लंघनों की समय पर रिपोर्ट करना और यह साबित करने में सक्षम होना कि ये दोनों कार्य किए गए हैं। 15 अगस्त 2026 से लगभग 8,000 नामित संगठनों के लिए एक चौथी जिम्मेदारी जोड़ी गई है: साइबर सुरक्षा (Cyberbeveiligingswet - Cbw), जो यूरोपीय संघ के NIS2 निर्देश का डच कार्यान्वयन है।

डेटा सुरक्षा के लिए GDPR में क्या आवश्यकताएं हैं?

GDPR के तहत व्यक्तिगत डेटा की सुरक्षा के लिए उचित तकनीकी और संगठनात्मक उपायों की आवश्यकता होती है, जिनका मूल्यांकन नवीनतम तकनीक, कार्यान्वयन की लागत और संबंधित व्यक्तियों के लिए जोखिम के आधार पर किया जाता है। दो व्यक्तियों की टीम के लिए जो उपयुक्त है, वह बड़े पैमाने पर स्वास्थ्य डेटा संसाधित करने वाली कंपनी के लिए उपयुक्त नहीं है, और जोखिम बढ़ने के साथ ही मानक भी बढ़ जाता है।

व्यवहार में, पर्यवेक्षी प्राधिकरण द्वारा अपेक्षित उपाय सामान्य होते हैं: पहुँच नियंत्रण और बहु-कारक प्रमाणीकरण, उपकरणों और बैकअप का एन्क्रिप्शन, पैचिंग, वातावरणों का पृथक्करण, लॉगिंग और एक सिद्ध पुनर्स्थापना प्रक्रिया। किसी संगठन की विशिष्ट विशेषता यह है कि जाँच में सफल होने से पहले इन उपायों को दस्तावेजीकृत और समीक्षा किया गया था।

डेटा लीक की रिपोर्ट कब करनी चाहिए?

व्यक्तिगत डेटा के उल्लंघन की सूचना मिलने के बहत्तर घंटों के भीतर डच डेटा संरक्षण प्राधिकरण (Autoriteit Persoonsgegevens) को देनी अनिवार्य है, बशर्ते कि इससे प्रभावित लोगों को कोई खतरा न हो। यदि उन्हें गंभीर खतरा है, तो उन्हें भी बिना किसी देरी के सूचित किया जाना चाहिए।

बहत्तर घंटे का समय कम होता है, और समय जांच पूरी होने के बजाय घटना की जानकारी मिलने के समय से शुरू होता है। इसीलिए घटना प्रक्रिया – कौन निर्णय लेता है, किसे बुलाया जाता है, क्या रिकॉर्ड किया जाता है – किसी भी तकनीकी नियंत्रण से कहीं अधिक महत्वपूर्ण है। प्रत्येक उल्लंघन को आंतरिक रूप से रिकॉर्ड किया जाना चाहिए, जिसमें वे उल्लंघन भी शामिल हैं जिनकी सूचना नियामक को नहीं दी गई है, साथ ही उस निर्णय का कारण भी दर्ज किया जाना चाहिए।

Cyberbeveiligingswet से क्या लाभ होता है?

साइबर सुरक्षा कानून और इससे संबंधित कानून, नेटवर्क और सूचना प्रणाली सुरक्षा नियमों को प्रतिस्थापित करते हुए, 15 अगस्त 2026 को लागू हो गए। ऊर्जा, परिवहन, स्वास्थ्य सेवा, डिजिटल अवसंरचना और सार्वजनिक प्रशासन जैसे क्षेत्रों में आवश्यक और महत्वपूर्ण संस्थाओं सहित इसके दायरे में आने वाले संगठनों को अधिकारियों के साथ पंजीकरण कराना होगा, उचित जोखिम प्रबंधन उपाय करने होंगे और महत्वपूर्ण घटनाओं की रिपोर्ट राष्ट्रीय सीएसआईआरटी और अपने क्षेत्र के पर्यवेक्षक को देनी होगी।

प्रबंधन निकायों पर इन उपायों को अनुमोदित करने और उनकी निगरानी करने की व्यक्तिगत जवाबदेही होती है; इसे केवल आईटी विभाग को सौंपा नहीं जा सकता। वित्तीय संस्थान साइबर सुरक्षा नियमों (Cyberbeveiligingswet) के बजाय अपने स्वयं के यूरोपीय संघ परिचालन लचीलापन व्यवस्था (DORA) के अंतर्गत आते हैं।

यह जानकारी साइबर सुरक्षा के दायरे से बाहर के संगठनों तक कैसे पहुंचती है?

निर्धारित क्षेत्रों के बाहर भी, आमतौर पर अनुबंधों के माध्यम से समान मानक लागू होते हैं। बड़े ग्राहक अपने अनुबंधों में सुरक्षा संबंधी आवश्यकताएं, लेखापरीक्षा अधिकार और उल्लंघन की सूचना देने की अवधि को अनिवार्य बनाते हैं, और जब भी किसी अन्य व्यक्ति की ओर से व्यक्तिगत डेटा संसाधित किया जाता है, तो प्रसंस्करण समझौता अनिवार्य हो जाता है। व्यवहार में, कई डच कंपनियां इन मानकों को पहली बार इसलिए पूरा करती हैं क्योंकि किसी प्रतिपक्ष ने इसकी मांग की थी, न कि किसी नियामक के कहने पर।

किसी घटना के बाद कौन दावा दायर कर सकता है?

किसी घटना के परिणामस्वरूप एक साथ कई पक्षों से दावे आ सकते हैं: नियामक से, उन व्यक्तियों से जिनका डेटा लीक हुआ है, अनुबंध के तहत ग्राहकों से, और बढ़ते हुए सामूहिक कार्रवाइयों से। बीमा कंपनी की प्रतिक्रिया इस बात पर निर्भर करती है कि पॉलिसी में क्या लिखा है और क्या बीमाकर्ता सहमत उपायों को बनाए रखने में विफलता को साबित कर सकता है - यही कारण है कि लागू किए गए उपायों का प्रमाण देना आवश्यक है।

आपको पहले क्या करना चाहिए?

तीन चीजें सबसे कम प्रयास में सबसे अधिक महत्व रखती हैं: एक लिखित घटना प्रक्रिया जिसमें भूमिकाओं के बजाय व्यक्तियों के नाम हों; प्रोसेसिंग गतिविधियों और आपके द्वारा उपयोग किए जाने वाले प्रोसेसरों का अद्यतन रिकॉर्ड; और एक परीक्षित पुनर्स्थापना, क्योंकि किसी घटना और आपदा के बीच का अंतर आमतौर पर यह होता है कि बैकअप काम कर रहे थे या नहीं। यदि आपका संगठन साइबर सुरक्षा के दायरे में आता है, तो बिना देरी किए अपने पंजीकरण दायित्व की जांच करें।

सारांश में

• GDPR के तहत व्यक्तिगत डेटा को संसाधित करने वाले प्रत्येक संगठन के लिए अत्याधुनिक तकनीक और इसमें शामिल जोखिम के अनुरूप सुरक्षा उपायों की आवश्यकता होती है।
• डेटा लीक की सूचना आम तौर पर इसकी जानकारी मिलने के बहत्तर घंटों के भीतर Autoriteit Persoonsgegevens को देनी होती है।
• 15 अगस्त 2026 से, साइबर सुरक्षा अधिनियम (Cyberbeveiligingswet) के तहत लगभग 8,000 नामित संगठनों के लिए पंजीकरण, जोखिम प्रबंधन और घटना रिपोर्टिंग संबंधी कर्तव्य जोड़े गए हैं, साथ ही प्रबंधन के लिए व्यक्तिगत जवाबदेही भी तय की गई है।
• वित्तीय संस्थान साइबर सुरक्षा अधिनियम (Cyberbeveiligingswet) के बजाय DORA के अंतर्गत आते हैं।
• किसी घटना के परिणामस्वरूप नियामकों, प्रभावित व्यक्तियों, संविदात्मक प्रतिपक्षों और, तेजी से बढ़ते हुए, सामूहिक कार्रवाइयों से दावे उत्पन्न हो सकते हैं।

सलाह

हम सुरक्षा और प्रसंस्करण समझौतों, उल्लंघन अधिसूचना और नियामक पत्राचार, साइबर सुरक्षा अनुपालन और किसी घटना के बाद देयता पर सलाह देते हैं।

क्या आप अपनी स्थिति को लेकर असमंजस में हैं? हमें अपनी स्थिति के बारे में बताएं। हम आपको एक कार्यदिवस के भीतर आपके विकल्पों के बारे में बता देंगे।

कैसे Law & More हम इस मामले में आपकी मदद कर सकते हैं, इसके बारे में हमारी वेबसाइट पर विस्तार से बताया गया है। आईटी वकील इस पृष्ठ पर ज़ूम कई वीडियो ट्यूटोरियल और अन्य साहायक साधन प्रदान करता है।