Avukat Tom Meevis tarafından. Law & More
Fidye yazılımı, kimlik avı, DDoS saldırıları ve bilgisayar korsanlığı gibi siber saldırılar nadiren yalnızca saldırıya uğrayan kuruluşu etkiler. Siber saldırıların kurbanları arasında müşteriler, çalışanlar, hastalar, tedarikçiler ve diğer tedarik zinciri ortakları da bulunur ve bu kişiler zarar görebilir; yasal durumları ise gruplara göre farklılık gösterir. Bu nedenle, bir saldırıdan sonra hangi yükümlülüklerin geçerli olduğunu ve hangi hak taleplerinin mevcut olduğunu belirlemek isteyen herkesin öncelikle tam olarak kimlerin etkilendiğini ve ne tür zararların meydana geldiğini tespit etmesi tavsiye edilir.
Bu makale sırasıyla, kimlerin mağdur sayıldığı, veri ihlalinin ne zaman bildirilmesi gerektiği, tazminat hakkının hangi koşullar altında mevcut olduğu, hangi tarafların sorumlu tutulabileceği, ceza hukukunun rolü, siber sigorta poliçesinin tipik olarak neleri kapsadığı ve bir saldırıdan hemen sonra hangi adımların atılması gerektiği konularını ele almaktadır.
Siber saldırıların kurbanları kimlerdir?
Siber saldırılarda üç grup ayırt edilebilir.
- Etkilenen kuruluşun kendisi ise sistem kesintisi, ciro kaybı, toparlanma maliyetleri, adli soruşturma maliyeti ve itibar kaybıyla karşı karşıya kalır.
- Kişisel verileri ifşa edilen gerçek kişiler, örneğin müşteriler, çalışanlar ve hastalar. Bu kişiler maddi kayıpların yanı sıra, verileri üzerindeki kontrolü kaybetme, belirsizlik veya kimlik hırsızlığı korkusu nedeniyle manevi zararlara da uğrayabilirler.
- Örneğin, sistemleri çöken bir tedarikçiye bağımlı oldukları için sözleşme veya tedarik zinciri ilişkisi yoluyla etkilenen üçüncü taraflar.
Bu sınıflandırma hukuken önemlidir. Herhangi bir iddianın dayanağı ve kime karşı dava açılabileceği, mağdurun konumuna bağlıdır. Etkilenen bir kuruluş genellikle sözleşme kapsamında BT tedarikçisinden sorumlu tutarken, veri sahibi doğrudan GDPR'nin sağladığı bağımsız sorumluluk esasına dayanabilir.
Veri ihlali ne zaman bildirilmelidir?
Kişisel verilerin söz konusu olduğu bir siber saldırıda, kişisel veri ihlali olup olmadığı ve bildirim zorunluluğunun bulunup bulunmadığı değerlendirilmelidir. GDPR'nin 33. maddesi, ihlalin gerçek kişilerin hak ve özgürlükleri için risk oluşturması muhtemel olmadığı durumlar dışında, ihlalin denetleyici makama gecikmeksizin ve mümkünse yetmiş iki saat içinde bildirilmesini gerektirir.
Ayrıca, GDPR'nin 34. maddesi, kuruluşun veri sahiplerini bilgilendirmesini gerektirebilir. Bu yükümlülük, ihlalin hak ve özgürlükleri için yüksek risk oluşturma olasılığının yüksek olduğu durumlarda ortaya çıkar. Uygun teknik önlemler (örneğin şifreleme) mevcut olduğunda, sonraki önlemler yüksek riskin artık gerçekleşmeyeceğini garanti ettiğinde veya bireysel iletişim orantısız bir çaba gerektirecekse, bilgilendirme atlanabilir; son durumda kamuya açık bir bilgilendirme yeterlidir.
Veri sahibi için bu iletişim bir formaliteden daha fazlasıdır. Örneğin şifrelerini değiştirmek veya şüpheli işlemleri izlemek gibi kendi önlemlerini almalarını sağlar ve pratikte genellikle tazminat taleplerinin başlangıç noktasıdır.
Dolayısıyla bir kuruluş, yalnızca bir saldırının gerçekleştiğini değil, aynı zamanda hangi verilerin etkilendiğini, verilerin gerçekten sızdırılıp sızdırılmadığını ve bunun sonucunda ortaya çıkan riskleri de tespit etmelidir. Bu amaçla bağımsız bir adli soruşturma genellikle vazgeçilmezdir.
Bu durum, saldırının kuruluşun kendisinde değil de bir veri işleme biriminde gerçekleştiği durumlarda daha da geçerlidir. Blauw Research ve Nebu arasındaki özet yargılama sürecinde (Rotterdam Bölge Mahkemesi, 6 Nisan 2023, ECLI:NL:RBROT:2023:2931), geçici tedbir hakimi, taraflar arasında imzalanan veri işleme sözleşmesi uyarınca, veri sorumlusunun saldırı, sonuçları ve alınan önlemler hakkında başlangıçta sağlanandan daha fazla bilgi alma hakkına sahip olduğuna karar vermiştir. Veri işleme birimine ayrıca bağımsız bir adli soruşturma yaptırması ve periyodik olarak rapor vermesi emredilmiştir. Karar, iyi hazırlanmış bir veri işleme sözleşmesinin, bir olaydan sonra zamanında bilgi edinmek için pratikte en önemli araç olduğunu göstermektedir; çünkü veri sorumlusu, kendi bildirim yükümlülüklerini yerine getirmek için bu bilgilere ihtiyaç duymaktadır.
Tazminat hakkı ne zaman doğar?
Veri sahipleri, GDPR'nin 82. maddesi uyarınca veri sorumlusundan veya veri işleyicisinden tazminat talep edebilirler. Ancak siber saldırı otomatik olarak tazminat talebine yol açmaz. Bunun kanıtlanması gerekir:
- GDPR'ın ihlal edildiği;
- Gerçekten de hasar meydana gelmiştir; ve
- Söz konusu ihlal ile söz konusu zarar arasında nedensel bir bağlantı olduğu.
Maddi zarar, mali kayıplar, kurtarma maliyetleri veya kimlik dolandırıcılığından kaynaklanan kayıplardan oluşabilir. Manevi zararlara gelince, Avrupa Birliği Adalet Divanı, Österreichische Post davasında (AB Adalet Divanı 4 Mayıs 2023, C-300/21), ciddiyet açısından asgari bir eşik bulunmadığına, ancak GDPR ihlalinin tek başına tazminat verilmesi için yeterli olmadığına karar vermiştir.
Siber saldırı sonrası veri ihlalleriyle ilgili olarak özellikle önem taşıyan bir karar, Natsionalna agentsia za prihodite (AB Adalet Divanı, 14 Aralık 2023, C-340/21) davasıdır. Mahkeme burada, sızdırılan kişisel verilerin gelecekteki olası kötüye kullanımı korkusunun kendi başına maddi olmayan bir zarar teşkil edebileceğine karar vermiştir. Ancak, veri sahibinin bu korkuyu ve sonuçlarını somut olarak kanıtlaması gerekir; sadece verilerin sızdırıldığını belirtmek yeterli değildir. Aynı kararda Mahkeme, alınan güvenlik önlemlerinin uygun olduğunu kanıtlamanın veri sorumlusunun görevi olduğunu ve üçüncü bir tarafın saldırısının kendi başına veri sorumlusunu sorumluluktan muaf tutmadığını teyit etmiştir.
GDPR kapsamındaki sorumluluk, sözleşme ihlali ve haksız fiil gibi medeni hukuk esaslarına ek olarak mevcuttur. Hollanda Medeni Kanunu'nun 6:162(1) maddesi uyarınca, haksız fiil işleyen taraf, neden olduğu zararı tazmin etmekle yükümlüdür. 6:163 maddesinin görelilik şartı geçerlidir: ihlal edilen norm, zarar gören tarafın uğradığı zarar türüne karşı koruma sağlamalıdır.
Önemli olan, GDPR'nin 82. maddesinin bu dayanakların yanında yer almasıdır. Bu nedenle, veri sahibi yalnızca sözleşme ihlali veya haksız fiile dayalı bir iddiada bulunmak zorunda değildir, doğrudan GDPR'nin sağladığı bağımsız sorumluluk dayanağına da güvenebilir. Etkilenen kuruluş için, bu dayanakların birleşimi, bir saldırıdan sonra birden fazla tarafın aynı anda dava açabileceği anlamına gelir.
Kim sorumlu tutulabilir?
İlgili kuruluş, sözleşmeden doğan yükümlülüklerini yerine getirmemesi veya yetersiz güvenlik önlemleri alması durumunda sorumlu tutulabilir. Bir BT hizmet sağlayıcısı veya veri işlemcisi de sorumlu tutulabilir. Bu hizmet sağlayıcısından ne beklenebileceği öncelikle sözleşmeyle belirlenir.
Veri işleme ilişkisinde veri işleme sözleşmesi merkezi bir rol oynar. GDPR'nin 28. maddesi, veri sorumlusu ve veri işleyicisinin, diğer hususların yanı sıra güvenlik önlemlerini ve veri ihlallerinin ele alınmasını düzenleyen böyle bir sözleşme imzalamasını şart koşmaktadır. Saldırı, veri işleyicisinin yetersiz güvenliğinden kaynaklanıyorsa, veri sorumlusu, ortaya çıkan kayıp için bu sözleşme uyarınca veri işleyicisinden sorumlu tutabilir.
Bu durum, Hof van Twente belediyesine yönelik siber saldırı davasında (Overijssel Bölge Mahkemesi, 10 Mayıs 2023, ECLI:NL:RBOVE:2023:1731) açıkça ortaya çıkmaktadır. Taraflar, güvenlik izlemesi değil, işlevsel izleme konusunda anlaşmışlardı. Mahkeme, bir BT yöneticisinin özen yükümlülüğünün, güvenlik izlemesinin işlevsel izleme görevinin zımni bir parçası haline gelmesine kadar uzanmadığına karar verdi ve belediyenin talebini reddetti. Ayrıca, belediyenin kendi parola politikası ve RDP portunun açılması da dahil olmak üzere riski artıran kararlar aldığını da dikkate aldı.
Bunun ayna görüntüsü O'Cliance davasıdır (Bölge Mahkemesi). Amsterdam(14 Kasım 2018, ECLI:NL:RBAMS:2018:10124). Tedarikçi, eksiksiz bir BT altyapısı kurmuş ve yönetimini üstlenmişti. Yedeklemelerin de şifrelendiği bir fidye yazılımı saldırısının ardından mahkeme, bu tür bir komple paketin tedarikinin geniş kapsamlı bir özen yükümlülüğü getirdiğine ve basit önlemlerin ihmal edildiğine karar verdi. Ancak, tam olarak tazminat verilmedi: Müşterinin kusurlu davranışı nedeniyle, zararın üçte ikisi tedarikçinin hesabına kaldı.
Uygun güvenlik önlemlerinin ispat yükünün ne kadar ağır olabileceği, bir otomobil bayisinin hacklenen e-posta hesabı örneğiyle gösterilebilir. 5 Kasım 2024 tarihli ara kararda (Arnhem-Leeuwarden İstinaf Mahkemesi, ECLI:NL:GHARL:2024:6812), bir bilgisayar korsanının bu hesabı kullanarak bir alıcıya sahte ödeme talimatı göndermesinin ardından, bayiye e-posta hesabının GDPR anlamında uygun şekilde güvence altına alındığını ispatlama fırsatı verildi. 22 Temmuz 2025 tarihli takip kararında (ECLI:NL:GHARL:2025:4556) mahkeme, bu ispatın sunulmadığına karar verdi ve bundan sonra tarafların alıcının kusurlu katkısını ele alması gerekti. Dolayısıyla her iki karar da aynı davayı ilgilendirmektedir.
Ortak nokta, sözleşmesel düzenlemelerin, veri işleme risklerinin, fiilen alınan önlemlerin, her iki tarafın verdiği uyarıların ve zarar gören tarafın kendi davranışlarının hepsinin önemli olmasıdır. Hollanda Veri Koruma Kurumu , hukuki sorumluluğun yanı sıra , 20 milyon Euro'ya kadar veya dünya çapındaki yıllık cironun %4'ü (hangisi daha yüksekse) tutarında idari para cezası uygulayabilir. Bu cezalar, bireysel veri sahiplerinin zarar görüp görmemesinden bağımsızdır.
ceza hukuku yolu
Siber saldırı, bilgisayar sistemine izinsiz giriş, verilere erişimi engelleme veya kamuya açık olmayan verileri ele geçirme gibi suç teşkil edebilir. Hollanda Ceza Kanunu'nun 138ab(1) maddesi, otomatik bir sisteme kasten ve hukuka aykırı olarak erişim sağlamayı suç saymaktadır.
Mağdurlar, siber suçlarla ilgilenen özel ekipleri bulunan polise suçu bildirebilirler. Şüpheli hakkında dava açıldığında, mağdur, zarar gören taraf olarak ceza davasına katılabilir ve tazminat talebinde bulunabilir. Bu yol, ayrı bir hukuk davasından kaçınmayı sağlar, ancak sonuç, tespit, kovuşturma ve delillere bağlıdır; uluslararası alanda faaliyet gösteren suçlular söz konusu olduğunda bu durum sıklıkla sonuç vermez. Kuruluşlar için bildirim, sigortacılar ve tedarik zinciri ortakları tarafından talep edildiği için genellikle pratik bir zorunluluktur.
Siber sigorta neleri kapsıyor?
Siber güvenlik sigorta poliçesi, diğer hususların yanı sıra şunları kapsayabilir:
- Olay müdahalesi ve adli soruşturma;
- Sistemlerin ve verilerin geri yüklenmesi;
- İş kesintisi kayıpları ve ciro kaybı;
- kriz iletişimi;
- üçüncü şahıslara karşı sorumluluk;
- yasal masraflar; ve
- Bazı durumlarda, ilgili yasa kapsamında sigortalanabilir olduğu ölçüde, para cezaları, uzlaşma ödemeleri veya fidye ödemeleri.
Teminat miktarı poliçeye bağlıdır. İstisnalara, güvenlik koşullarına, bildirim sürelerine, muafiyetlere ve uzmanlardan yardım alma şartlarına dikkat edin. Hollanda Medeni Kanunu'nun 7:957(1) maddesi de sigortalı tarafı zararı önlemek veya sınırlamak için makul önlemler almaya mecbur kılar. Bu kurtarma yükümlülüğüne uyulmaması durumunda, sigortacı ödemeyi azaltabilir.
Bu nedenle siber sigortacıya mümkün olan en kısa sürede bilgi verilmelidir. Sigortacının onayı olmadan dış uzmanlardan yardım almak veya fidye ödemek teminatı etkileyebilir.
Siber saldırıdan hemen sonra ne yapmalısınız?
- Olayı ve ilgili tüm işlemleri dikkatlice kaydedin.
- Kanıtları kaybetmeden etkilenen sistemleri izole edin.
- Bir adli tıp uzmanıyla görüşün.
- Bildirilmesi gereken bir veri ihlali olup olmadığını değerlendirin.
- Veri sahiplerinin bilgilendirilmesinin gerekli olup olmadığını değerlendirin.
- Olayı polise bildirin.
- Olayı siber sigortacınıza bildirin.
- Kayıtları, yedeklemeleri, e-postaları ve diğer ilgili verileri saklayın.
- Hasarı ve potansiyel olarak sorumlu tarafları haritalandırın.
- Müşterileri, çalışanları ve tedarik zinciri ortaklarını dikkatli ve zamanında bilgilendirin.
Dolayısıyla siber saldırı sadece teknik bir olay değildir. Aynı zamanda veri koruma, medeni hukuk, ceza hukuku ve sigorta hukuku ile ilgili bir konudur. Hızlı ve iyi belgelenmiş bir yanıt, yalnızca zararı sınırlamakla kalmaz, aynı zamanda bildirimler, sigorta kapsamı ve herhangi bir yargılamada delil konumunuz açısından da belirleyicidir.
Kapanış
Siber saldırı sonrasında ortaya çıkan haklar ve yükümlülükler, hukukun çeşitli alanlarına yayılmıştır ve bir davanın sonucu büyük ölçüde özel gerçeklere, sözleşmenin içeriğine ve kayıtların kalitesine bağlıdır. Tartışılan içtihatlar, hem tedarikçinin hem de müşterinin kendi davranışlarına göre değerlendirildiğini ve yetmiş iki saatlik bildirim süresi gibi sürelerin gecikmeye çok az yer bıraktığını göstermektedir.
Law & More Siber olayların hukuki süreçlerinde kuruluşlara ve veri sahiplerine yardımcı oluyoruz: bildirim yükümlülüklerinin değerlendirilmesinden, veri işleme sözleşmelerinin incelenmesine, sorumluluğun belirlenmesine, sigorta konularına ve zararların tazminine kadar. Bir siber saldırı veya veri ihlaliyle mi karşı karşıyasınız, yoksa sözleşmelerinizin bu risklere karşı önceden incelenmesini mi istiyorsunuz? IT Hukuku Takım mı? Lütfen çekinmeden iletişime geçin. UAF ile Law & More Durumunuz hakkında herhangi bir yükümlülük altına girmeden görüşme için.
Sık Sorulan Sorular
Aşağıda bu konuyla ilgili en sık sorulan soruları yanıtlıyoruz.
Siber saldırıların kurbanları kimlerdir?
Üç katman vardır. Birincisi, sistemin çalışmama süresi, ciro kaybı, kurtarma maliyetleri, adli soruşturma maliyeti ve itibar kaybı gibi zararlara katlanan etkilenen kuruluşun kendisidir. İkincisi, kişisel verileri ifşa edilen gerçek kişiler olan veri sahipleridir; örneğin müşteriler, çalışanlar ve hastalar. Üçüncüsü, sözleşmesel veya tedarik zinciri ilişkisi yoluyla zarar gören üçüncü taraflardır; örneğin, iflas eden bir tedarikçiye bağımlı olmaları nedeniyle. Bu sınıflandırma, bir tarafın hangi temelde ve kime karşı dava açabileceğini belirler.
Veri ihlalini ne kadar süre içinde bildirmeliyim?
GDPR'nin 33. maddesi, ihlalin farkına varılmasından itibaren gecikmeksizin ve mümkünse yetmiş iki saat içinde denetleyici makama bildirimde bulunulmasını gerektirir. Bu yükümlülük, ihlalin gerçek kişilerin hak ve özgürlükleri için risk oluşturmasının muhtemel olmadığı durumlarda geçerli değildir. Bu değerlendirme, ihlalin niteliğinin, etkilenen veri kategorilerinin ve olası sonuçların analizini gerektirir.
İlgili kişileri ne zaman bilgilendirmeliyim?
GDPR Madde 34 uyarınca, ihlalin veri sahiplerinin hak ve özgürlükleri için yüksek risk oluşturması muhtemel olduğunda, uygun teknik önlemler (örneğin şifreleme) alınmışsa, sonraki önlemler yüksek riskin artık gerçekleşmeyeceğini garanti ediyorsa veya bireysel iletişim orantısız bir çaba gerektiriyorsa, iletişimden vazgeçilebilir. Son durumda, kamuya açık bir bildirim yeterlidir.
Siber saldırıya uğramış bir tedarikçiden bilgi talep edebilir miyim?
Evet, veri işleme sözleşmesinde bu öngörüldüğü durumlarda. Blauw Research ve Nebu arasındaki özet yargılama sürecinde (Rotterdam Bölge Mahkemesi, 6 Nisan 2023, ECLI:NL:RBROT:2023:2931), geçici tedbir hakimi, veri işleme sözleşmesi uyarınca veri sorumlusunun saldırı, sonuçları ve alınan önlemler hakkında kendisine sağlanandan daha fazla bilgi alma hakkına sahip olduğuna karar vermiş ve veri işleyicisinin bağımsız bir adli soruşturma yürütmesini ve periyodik olarak rapor vermesini emretmiştir. Bu bilgi, kendi bildirim yükümlülüklerinizi yerine getirmeniz için gereklidir.
Veri sahibi olarak, veri ihlalinden sonra otomatik olarak tazminat alma hakkım var mı?
Hayır. GDPR'nin 82. maddesi tek başına bir dayanak sağlamaktadır, ancak GDPR'nin ihlal edildiğini, gerçekten zarar gördüğünüzü ve ihlal ile bu zarar arasında nedensel bir bağlantı olduğunu kanıtlamanız gerekir. İspat yükü davacıya aittir.
Kimlik sahtekarlığı korkusu, maddi olmayan zarar olarak değerlendirilebilir mi?
Olabilir. Avrupa Adalet Divanı, Natsionalna agentsia za prihodite (AB Adalet Divanı, 14 Aralık 2023, C-340/21) davasında, sızdırılan kişisel verilerin gelecekteki olası kötüye kullanımından duyulan korkunun kendi başına maddi olmayan zarar teşkil edebileceğine hükmetmiştir. Ancak, veri sahibinin bu korkuyu ve sonuçlarını somut olarak kanıtlaması gerekir. Österreichische Post (AB Adalet Divanı, 4 Mayıs 2023, C-300/21) davasında ise, ciddiyet için asgari bir eşik bulunmadığını, ancak GDPR ihlalinin tek başına yeterli olmadığını eklemiştir.
Güvenlik önlemlerinin uygun olduğunu kim kanıtlamak zorunda?
Veri sorumlusu. C-340/21 sayılı kararda Adalet Divanı, alınan güvenlik önlemlerinin uygun olduğunu göstermenin veri sorumlusunun görevi olduğunu ve üçüncü bir tarafın saldırısının başlı başına veri sorumlusunu sorumluluktan kurtarmadığını teyit etmiştir. Hollanda'da bu durum, bir otomobil bayisinin e-posta hesabının hacklenmesi davasında ortaya çıkmıştır; Arnhem-Leeuwarden İstinaf Mahkemesi önce bayiye bu kanıtı sunma fırsatı vermiş (ECLI:NL:GHARL:2024:6812) ve daha sonra bunun sunulmadığına karar vermiştir (ECLI:NL:GHARL:2025:4556).
BT hizmet sağlayıcım bir saldırıyı tespit edemezse sorumlu tutulur mu?
Bu, üzerinde anlaşılan şeye bağlıdır. Hof van Twente belediyesine yönelik siber saldırı davasında (Overijssel Bölge Mahkemesi, 10 Mayıs 2023, ECLI:NL:RBOVE:2023:1731) taraflar güvenlik izlemesi değil, işlevsel izleme konusunda anlaşmışlardı. Mahkeme, bir BT yöneticisinin özen yükümlülüğünün, güvenlik izlemesinin bunun zımni bir parçası olduğu kadar geniş kapsamlı olmadığını belirterek davayı reddetti. Daha geniş bir toplam paket sağlandığında ise, özen yükümlülüğü O'Cliance davasında olduğu gibi (Overijssel Bölge Mahkemesi) çok daha kapsamlı olabilir. Amsterdam(14 Kasım 2018, ECLI:NL:RBAMS:2018:10124), burada tedarikçi zararın üçte ikisinden sorumlu tutulmuştur.
Davranışım tazminatımı azaltabilir mi?
Evet. Bu tür vakalarda kusurlu taraf olma durumu tekrar eden bir rol oynar. O'Cliance davasında zararın üçte biri müşterinin hesabında kaldı ve hacklenen e-posta hesabı davasında tarafların alıcının kusurlu tarafını ele almaları gerekiyordu. Dolayısıyla kendi parola politikanız, açık bırakılan portlar veya göz ardı edilen uyarılar doğrudan sonucu etkileyebilir.
Veri koruma otoritesi ne tür para cezaları uygulayabilir?
GDPR ihlalleri için denetleyici otorite, 20 milyon Euro'ya kadar veya küresel yıllık cironun %4'ü (hangisi daha yüksekse) tutarında idari para cezası uygulayabilir. Bu cezalar, bireysel veri sahiplerinin gerçekten zarar görüp görmediğinden bağımsızdır ve bu nedenle hukuki sorumluluğun yanı sıra ayrı bir risk oluşturmaktadır.
Suçu bildirebilir ve ceza yargılaması yoluyla zararımı tazmin edebilir miyim?
Evet. Hollanda Ceza Kanunu'nun 138ab(1) maddesi, otomatik bir sisteme kasten ve hukuka aykırı olarak erişmeyi suç saymaktadır. Suçu polise bildirebilir ve şüpheli hakkında dava açılırsa, tazminat talebinde bulunmak için mağdur olarak ceza yargılamasına katılabilirsiniz. Sonuç, tespit, kovuşturma ve delillere bağlıdır ve uluslararası alanda faaliyet gösteren suçlular söz konusu olduğunda bu durum sıklıkla sonuç vermemektedir.
Siber sigorta genellikle neleri kapsar?
Genellikle olay müdahalesi ve adli soruşturma, sistem ve veri kurtarma, iş kesintisi kayıpları ve ciro kaybı, kriz iletişimi, üçüncü şahıslara karşı sorumluluk ve yasal masraflar ve bazı durumlarda ilgili yasa kapsamında sigortalanabilir olduğu ölçüde para cezaları, tazminat ödemeleri veya fidye gibi konuları kapsar. İstisnalara, güvenlik koşullarına, bildirim sürelerine ve muafiyetlere dikkat edin ve bir olay meydana gelmeden önce poliçeyi inceleyin.
Bir saldırıdan sonra yanlış hareket ederek gizliliğimi kaybedebilir miyim?
Bu mümkün. Hollanda Medeni Kanunu'nun 7:957(1) maddesi, sigortalı tarafın zararı önlemek veya sınırlamak için makul önlemler almasını zorunlu kılar; bu kurtarma yükümlülüğüne uyulmaması durumunda, sigortacı ödemeyi azaltabilir. Sigortacının izni olmadan dışarıdan uzmanlardan yardım almak veya fidye ödemek de teminatı etkileyebilir. Sigortacınızı mümkün olan en kısa sürede bilgilendirin.
Siber saldırıya uğradıktan hemen sonra hangi adımları atmalıyım?
Olayı ve alınan tüm önlemleri kaydedin, kanıtları kaybetmeden etkilenen sistemleri izole edin ve bir adli bilişim uzmanıyla iletişime geçin. Ardından, bildirilmesi gereken bir veri ihlali olup olmadığını ve veri sahiplerinin bilgilendirilmesi gerekip gerekmediğini değerlendirin. Suçu bildirin, siber sigortacınıza haber verin, kayıtları, yedekleri ve yazışmaları saklayın, hasarı ve potansiyel olarak sorumlu tarafları belirleyin ve müşterileri, çalışanları ve tedarik zinciri ortaklarını dikkatlice ve zamanında bilgilendirin.
