Ответственность компаний при киберинцидентах
1. Гражданско-правовая ответственность (BGB (Германское гражданское уложение), деликтное право, договорные обязательства)
Компании могут нести ответственность, если:
- из-за недостаточных мер ИТ-безопасности передаётся вредоносное ПО;
- они нарушают обычную для оборота обязанность проявлять осмотрительность (например, нет межсетевых экранов, нет обновлений, нет антивирусов);
- причинён ущерб контрагенту (например, заражёнными письмами или заражёнными поставками ПО).
Адвокатская контора по незнанию отправляет клиенту троян.
Клиент теряет данные.
Контора несёт ответственность, если она не приняла общепринятых мер защиты (например, не обучала сотрудников, использовала устаревшее ПО).
2. Ответственность руководства / правления
Согласно § 43 GmbHG или § 93 AktG управляющие директора/члены правления обязаны проявлять «осмотрительность добросовестного коммерсанта».
- Руководство должно обеспечить достаточные меры ИТ-безопасности (например, ISO 27001, BSI-Grundschutz).
- Возможна личная ответственность, если меры защиты не были приняты по грубой неосторожности или умышленно.
- При ущербе: внутренняя ответственность перед компанией или внешняя ответственность перед третьими лицами.
3. Ответственность перед клиентами / контрагентами
- Тот, кто передаёт клиентам вредоносное ПО, при определённых обстоятельствах нарушает дополнительные договорные обязанности (§280 BGB).
- Это может быть истолковано как ненадлежащее исполнение или нарушение обязанностей.
- Возможны требования о возмещении ущерба (например, простой бизнеса, потеря данных, расходы на восстановление ИТ).
4. Публично-правовая ответственность (например, DSGVO (GDPR))
- Обязанность уведомить надзорный орган в течение 72 часов (Art. 33 DSGVO).
- Возможные штрафы (до 20 млн € или 4 % годового оборота, Art. 83 DSGVO).
- Ответственность перед пострадавшими за нематериальный ущерб (Art. 82 DSGVO).
5. Уголовно-правовые риски
- При грубой неосторожности на компанию может быть наложен штраф (санкция для юридического лица) согласно OWiG.
- В серьёзных случаях, например при умышленном пренебрежении ИТ-безопасностью, возможно расследование в отношении управляющих директоров.
6. Обязанности компаний (обязанности по профилактике)
Компания, как правило, должна:
- использовать антивирусную защиту и межсетевые экраны
- регулярно устанавливать обновления безопасности
- организовывать обучение сотрудников по ИТ-безопасности
- применять контроль доступа и управление правами
- выполнять резервное копирование
- иметь план действий в чрезвычайной ситуации (Incident Response)
Компании, не выполняющие эти обязанности, действуют неосторожно и могут быть привлечены к ответственности.
этот текст основан на материалах онлайн-ресурсов, краткое изложение создано с помощью ИИ (Copilot/ChatGPT)