Že velja
GDPR / ZVOP-2
Najstarejši režim na tej strani in še vedno tisti, po katerem boste najverjetneje sankcionirani. ZVOP-2 je slovenski izvedbeni zakon od januarja 2023, nadzoruje ga Informacijski pooblaščenec.
Zakaj sodi na stran o kibernetski varnosti
Ker je to režim, po katerem se kršitev dejansko kaznuje. NIS2 je nov in njegovo uveljavljanje se šele začenja; GDPR ima za sabo desetletje odločb in nadzorni organ, ki zna voditi postopek. Pri incidentu z osebnimi podatki tečeta obe uri hkrati: dvainsedemdeset ur do Informacijskega pooblaščenca po 33. členu in štiriindvajset ur do URSIV po ZInfV-1, poročili pa gresta različnim ljudem, ki sprašujejo različne stvari. Organizacije, ki tega niso vadile, eno od njiju zamudijo.
Varnostna polovica GDPR v praksi
- Člen 32 — varnost, primerna tveganju, ki jo nadzornik presoja za nazaj
- Člen 33 — priglasitev kršitve v 72 urah od seznanitve
- Člen 34 — obveščanje posameznikov, kadar je tveganje zanje veliko
- Člen 28 — pogodbe z obdelovalci, kar je varnost dobavne verige pod drugim imenom
- Člen 35 — ocena učinka pred obdelavo z velikim tveganjem, tudi pri novem nadzoru
- ZVOP-2 — slovenska pravila o videonadzoru, biometriji in delovnem mestu
DATUMI
Kje to stoji danes
-
GDPR se začne uporabljati
-
ZVOP-2 začne veljati v Sloveniji
Kaj nas običajno prosijo, da naredimo
- Vaja z dvema urama: en incident, dve poročili, dva nadzornika, ena zgodba
- Ugotoviti, kaj je bilo dejansko odneseno — forenzika iz ugibanja naredi priglasitev
- Dokazati, da je bil člen 32 izpolnjen pred incidentom in ne improviziran po njem
- Pregledati pogodbe z obdelovalci glede na to, kaj dobavitelji zares zmorejo
- Urediti vprašanja videonadzora in kontrole pristopa, ki jih ZVOP-2 postavlja posebej
Koliko stane, če ni urejeno
Do 20 milijonov evrov ali 4 % svetovnega letnega prometa. Pogostejši strošek je manjši in počasnejši: nadzorni postopek, ki teče leto dni, obveznost obveščanja vsakega prizadetega posameznika in ugled, ki ga to stane. Na razpisih je odprt postopek nadzora vse pogosteje odgovor, ki izloči ponudnika.
KAJ NAREDIMO
Storitve, ki to vrzel zaprejo
Ne cel katalog — to so tiste, ki se ujemajo z zgornjimi obveznostmi. Če je kaj od tega že pokrito interno, povejte in obseg prilagodimo.
Vodja informacijske varnosti
Vodja varnosti na naročnino: politike, register tveganj, poročanje upravi in dokazila, ki jih zahteva presojevalec — brez zaposlitve za šestmestno vsoto.
Več IROdziv na incidente
Zajezitev, odstranitev in obnova, po potrebi na lokaciji. Zakonskih 24 ur začne teči takrat, ko incident opazite, ne takrat, ko pokličete.
Več DFIRDigitalna forenzika
Dokazi, obdelani tako, da zdržijo na sodišču in pri zavarovalnici: kaj je odteklo, kdaj, po čigavi roki in kaj je komu treba razkriti.
VečNiste prepričani, ali GDPR / ZVOP-2 velja za vas?
Povejte nam panogo, število zaposlenih in kaj prodajate. Povemo vam, kateri režimi vas zavezujejo in katere so prve tri stvari, ki jih je treba storiti — pisno in brezplačno, saj se pri polovici tistih, ki vprašajo, izkaže, da niso zavezanci, in to raje povemo.