Siber olaylarda şirketlerin sorumluluğu
1. Özel hukuk sorumluluğu (BGB – Alman Medeni Kanunu, haksız fiil hukuku, sözleşmesel yükümlülükler)
Şirketler şu durumlarda sorumlu tutulabilir:
- yetersiz BT güvenlik önlemleri nedeniyle zararlı yazılım başkalarına iletilirse;
- olağan özen yükümlülüğünü ihlal ederlerse (ör. güvenlik duvarı yok, yamalar yok, virüs tarayıcı yok);
- bir sözleşme ortağı zarar görürse (ör. enfekte e-postalar veya virüslü yazılım teslimatları yoluyla).
Bir avukatlık bürosu farkında olmadan bir müvekkile truva atı gönderiyor.
Müvekkil veri kaybına uğruyor.
Büro, yaygın koruma önlemlerini almamışsa (ör. eksik çalışan eğitimi, güncel olmayan yazılım) sorumludur.
2. Yönetimin / yönetim kurulunun sorumluluğu
§ 43 GmbHG veya § 93 AktG uyarınca genel müdürler/yönetim kurulu üyeleri "basiretli bir tacirin özenini" göstermek zorundadır.
- Yönetim kademesi yeterli BT güvenlik önlemlerini sağlamalıdır (ör. ISO 27001, BSI-Grundschutz).
- Ağır ihmalle veya kasten hiçbir koruma önlemi alınmamışsa kişisel sorumluluk mümkündür.
- Zarar halinde: şirkete karşı iç sorumluluk veya üçüncü kişilere karşı dış sorumluluk.
3. Müşterilere / sözleşme ortaklarına karşı sorumluluk
- Müşterilere zararlı yazılım ileten kişi, duruma göre sözleşmesel yan yükümlülükleri ihlal etmiş olur (§280 BGB).
- Kötü ifa veya yükümlülük ihlali olarak yorumlanabilir.
- Tazminat talepleri mümkündür (ör. iş kesintisi, veri kaybı, BT yeniden kurulum maliyetleri).
4. Kamu hukuku sorumluluğu (ör. DSGVO – AB Genel Veri Koruma Tüzüğü)
- 72 saat içinde denetim makamına bildirim yükümlülüğü (Art. 33 DSGVO).
- Olası para cezaları (20 Mio. €'ya veya yıllık cironun % 4'üne kadar, Art. 83 DSGVO).
- İlgili kişilere karşı manevi zararlardan sorumluluk (Art. 82 DSGVO).
5. Ceza hukuku riskleri
- Ağır ihmal durumunda OWiG (Kabahatler Kanunu) uyarınca şirkete yaptırım (tüzel kişi cezası) uygulanabilir.
- Ağır durumlarda, ör. BT güvenliğinin kasten göz ardı edilmesinde, genel müdürler hakkında soruşturma açılması düşünülebilir.
6. Şirketlerin yükümlülükleri (önleme yükümlülükleri)
Bir şirket kural olarak şunları yapmalıdır:
- virüs koruması ve güvenlik duvarları kullanmak
- düzenli güvenlik güncellemeleri yapmak
- BT güvenliği konusunda çalışan eğitimleri düzenlemek
- erişim kontrolleri ve yetki yönetimi kullanmak
- yedekleme yapmak
- bir acil durum planı (olay müdahalesi / incident response) bulundurmak
Bu yükümlülükleri yerine getirmeyen şirketler ihmalkâr davranmış olur ve sorumlu tutulabilir.
bu metin çevrimiçi sayfalarda okunmuş ve yapay zekâ ile bir özeti oluşturulmuştur (Copilot/ChatGPT)