Odpowiedzialność firm za incydenty cybernetyczne

1. Odpowiedzialność cywilna (BGB, prawo czynów niedozwolonych, obowiązki umowne)

Firmy mogą ponosić odpowiedzialność, gdy:

• wskutek niewystarczających zabezpieczeń IT przekazywane jest dalej złośliwe oprogramowanie;
• naruszają zwyczajowo wymaganą staranność (np. brak zapór sieciowych, brak poprawek, brak skanerów antywirusowych);
• szkodę ponosi kontrahent (np. przez zainfekowane e-maile lub skażone dostawy oprogramowania).

Przykład:
Kancelaria prawna nieświadomie wysyła klientowi trojana.
Klient traci dane.
Kancelaria odpowiada, jeśli nie zastosowała powszechnie przyjętych środków ochrony (np. brak szkoleń pracowników, przestarzałe oprogramowanie).

2. Odpowiedzialność zarządu / członków zarządu

Zgodnie z § 43 GmbHG lub § 93 AktG członkowie zarządu muszą zachowywać "staranność sumiennego kupca".

• Kierownictwo musi zapewnić wystarczające środki bezpieczeństwa IT (np. ISO 27001, BSI-Grundschutz).
• Możliwa jest odpowiedzialność osobista, jeśli w sposób rażąco niedbały lub umyślny nie podjęto środków ochrony.
• W razie szkód: odpowiedzialność wewnętrzna wobec spółki lub odpowiedzialność zewnętrzna wobec osób trzecich.

3. Odpowiedzialność wobec klientów / kontrahentów

• Kto przekazuje klientom złośliwe oprogramowanie, może naruszać umowne obowiązki uboczne (§280 BGB).
• Może to zostać uznane za nienależyte wykonanie świadczenia lub naruszenie obowiązku.
• Możliwe roszczenia odszkodowawcze (np. przestój działalności, utrata danych, koszty odtworzenia IT).

4. Odpowiedzialność publicznoprawna (np. DSGVO (RODO))

Gdy złośliwe oprogramowanie naruszy bezpieczeństwo danych osobowych:

• Obowiązek zgłoszenia do organu nadzorczego w ciągu 72 godzin (Art. 33 DSGVO).
• Możliwe kary pieniężne (do 20 mln € lub 4 % rocznego obrotu, Art. 83 DSGVO).
• Odpowiedzialność wobec osób, których dane dotyczą, za szkody niemajątkowe (Art. 82 DSGVO).

5. Ryzyka karne

• Przy rażącym niedbalstwie na przedsiębiorstwo może zostać nałożona kara (kara dla podmiotu zbiorowego) na podstawie OWiG.
• W poważnych przypadkach, np. przy umyślnym lekceważeniu bezpieczeństwa IT, możliwe są postępowania przeciwko członkom zarządu.

6. Obowiązki firm (obowiązki prewencyjne)

Firma z reguły musi:

• stosować ochronę antywirusową i zapory sieciowe
• regularnie instalować aktualizacje bezpieczeństwa
• organizować szkolenia pracowników z bezpieczeństwa IT
• stosować kontrolę dostępu i zarządzanie uprawnieniami
• tworzyć kopie zapasowe
• mieć przygotowany plan awaryjny (incident response)

Firmy, które nie wywiązują się z tych obowiązków, działają niedbale i mogą zostać pociągnięte do odpowiedzialności.

ten tekst został przeczytany na stronach internetowych, a jego streszczenie przygotowano z pomocą AI (Copilot/ChatGPT)