De cyberaanvallen zijn een van de meest wijdverspreide bedreigingen voor het Spaanse zakenleven geworden. Geen enkel bedrijf is vrijgesteldhoe klein ook: elke week worden er meer dan 2.000 inbraakpogingen geregistreerd in allerlei soorten bedrijven, inclusief micro-ondernemingen en zelfstandigen. Eén enkele inbreuk op de beveiliging kan de bedrijfsvoering in gevaar brengen, gevoelige informatie lekken of aanzienlijke financiële verliezen veroorzaken.
In die zin zijn snelheid en zorgvuldigheid doorslaggevend. Tegenovergestelde kan leiden tot sancties wegens niet-naleving van de Algemene Verordening Gegevensbescherming (AVG) of de Wet op de Diensten van de Informatiemaatschappij (LSSI). Zoals Ana Vidaor Maristany, een advocaat op het TMT-gebied van AGM Abogados, waarschuwde: “een vertraagde of ontoereikende reactie Het kan een schending van de huidige regelgeving met zich meebrengen, met het daaruit voortvloeiende risico op sancties door het Spaanse Agentschap voor Gegevensbescherming (AEPD).
Hij Hooggerechtshof heeft al in deze zin gesproken. In uitspraak 136/2025, onlangs geanalyseerd door deze krant, werd de subsidiaire burgerlijke aansprakelijkheid vastgesteld van een bedrijf dat, ondanks kennis van een eerdere poging tot identiteitsdiefstal, geen maatregelen had genomen om nieuwe aanvallen te waarschuwen of te voorkomen. In het geval van een cyberveiligheidsincident is het essentieel om een reeks van veiligheidsincidenten te volgen concrete stappen om juridische gevolgen te voorkomen.
Wat wordt beschouwd als een inbreuk op de beveiliging en waarom elke minuut telt
Een inbreuk op de beveiliging impliceert niet altijd een grootschalige aanval of diefstal van informatie. Voor juridische doeleinden definieert de AVG een inbreuk als “elke inbreuk op de beveiliging dat vernietiging veroorzaakt, verlies of wijziging onbedoelde of onwettige persoonsgegevens die worden verzonden, bewaard of anderszins verwerkt.”
Dit omvat alles, van ongeautoriseerde toegang tot een database tot het eenvoudige verlies van een apparaat met gevoelige klant- of leveranciersinformatie.
Volgens Ana Vidaor zijn deze incidenten “Ze maken geen onderscheid op basis van grootte of facturering; Elke organisatie, van een klein bedrijf tot een groot bedrijf, kan hierdoor worden getroffen.” De deskundige benadrukt dat de sleutel ligt in de snelheid van de reactie: “ijverig en compliant optreden kan het verschil maken tussen een gecontroleerd incident en een crisis met verreikende economische en reputatie-impact.”
tijdwordt daarom de belangrijkste beperkende factor. De eerste 72 uur na het detecteren van een inbreuk zijn van cruciaal belang: het is de maximale periode die de regelgeving toestaat om het incident aan de AEPD te melden wanneer de impact persoonsgegevens betreft. Omdat dit medium al gevorderd is, kan worden overwogen om dit niet binnen die marge te doen een ernstige overtreding en sancties opleggen miljonairs.
Directe stappen (0-72 uur) bij een cyberaanval
Deskundigen benadrukken dat de reactie op een cyberveiligheidsincident zo moet zijn snelgecoördineerd en conform regelgeving. Door vanaf het eerste moment ijverig te handelen, helpt u niet alleen de aanval te stoppen, maar kunt u getroffen zelfstandigen ook behoeden voor mogelijke sancties wegens nalatigheid of te late melding. De AVA Abogados-expert raadt aan om gedurende de eerste 72 uur een gestructureerde reeks handelingen te volgen.
Communiceer het incident intern
De eerste stap is om onmiddellijk de juridische afdeling of de aangewezen verantwoordelijke persoon op de hoogte te stellen. Volgens Vidaor Maristany is de Functionaris voor gegevensbescherming (DPO) “speelt een essentiële rol in dit soort situaties, omdat hij verantwoordelijk is voor het adviseren en toezicht houden op de naleving van de regelgeving inzake gegevensbescherming, en voor de samenwerking met de controleautoriteiten.”
In micro-ondernemingen of bedrijven waarvoor geen DPO nodig is, herinnert Vanesa Alarcón Caparrós, advocaat bij AGM Abogados, zich dat “er een DPO moet worden aangewezen. interne figuur die de functies van coördinatie en documentatie van het incident op zich neemt, hoewel vervolgens externe ondersteuning wordt gezocht om de reactie met juridische garanties te beheren.
Win gespecialiseerd juridisch advies in
Zodra de eerste noodsituatie onder controle is, wordt het ten zeerste aanbevolen om contact op te nemen met een kantoor gespecialiseerd in digitaal recht en gegevensbescherming. Met deze stap kunnen we de werkelijke omvang van de aanval evalueren, de mogelijke impact op derden bepalen en evalueren of Het is noodzakelijk om de AEPD op de hoogte te stellen en voor de getroffen mensen.
“Elk geval moet afzonderlijk worden geanalyseerd”, legt Vidaor Maristany uit, die eraan toevoegt dat “de verplichting om de AEPD op de hoogte te stellen afhangt van het soort informatie dat in gevaar is gebracht en het risico dat dit met zich meebrengt voor de rechten van de betrokken mensen.”
De advocaat benadrukt ook het belang van registreer het voorval in een intern dossier met een gedetailleerd technisch en juridisch rapport, waarin de herkomst, de genomen maatregelen en de voorzienbare gevolgen worden beschreven. Bij een volgende inspectie of claim kan dit document doorslaggevend zijn.
Neem inperkings- en herstelmaatregelen
Tijdens de eerste uren is het noodzakelijk om de getroffen systemen te isoleren, de inloggegevens te wijzigen en back-ups te maken om te voorkomen dat de aanval zich verspreidt. Ook moeten computerexpertise en organisatorische maatregelen worden genomen om de integriteit van de informatie te garanderen.
Dat benadrukken de specialisten van AGM Abogados moet al het digitale bewijsmateriaal bewarenaangezien het elimineren of wijzigen ervan het onderzoek zou kunnen hinderen of uw verdediging tegen een mogelijke sanctie zou kunnen verzwakken.
Evalueer en rapporteer
Hij impactanalyse is de volgende stap. Er moet worden vastgesteld welke informatie is aangetast, welke hoeveelheid gegevens is aangetast en of het incident de fundamentele rechten van de betrokken personen kan aantasten.
In gevallen waarin de het risico is hoogvereist de AVG dat het incident wordt gemeld aan de AEPD binnen een periode van maximaal 72 uur omdat de inbreuk bekend is, en deze op een duidelijke en zorgvuldige manier aan de betrokkenen te communiceren. Als u dit niet binnen de vastgestelde termijn doet, wordt dit beschouwd als een ernstige overtreding.
“Het is essentieel documentanalyse en rechtvaardiging van beslissingen genomen, zelfs als uiteindelijk wordt geconcludeerd dat het niet nodig was om op de hoogte te stellen”, zegt Vanesa Alarcón Caparrós, die zich herinnert dat de AEPD op elk moment om uitleg kan vragen.
Werk samen met autoriteiten en derde partijen
In bepaalde gevallen, vooral wanneer er sprake is van computerfraude of identiteitsdiefstal, is dit raadzaam een klacht indienen voor de staatsveiligheidstroepen en -instanties en waarschuw mogelijk getroffen banken of leveranciers. Transparante en vroege communicatie kan de financiële schade helpen beperken en de reputatie van het bedrijf behouden.
Veelgemaakte fouten die de aansprakelijkheid vergroten… en hoe u ze kunt vermijden
Een belangrijk deel van de sancties en wettelijke verantwoordelijkheden die voortvloeien uit cyberaanvallen komen niet voort uit de aanval zelf, maar uit de fouten die zijn gemaakt bij het daaropvolgende beheer ervan. Volgens Vanesa Alarcón Caparrós is “een groot deel van de gaten te wijten aan een menselijk handelen dat niet deed wat het zou moeten doen”, hetzij door onwetendheid, gebrek aan protocollen of gebrek aan interne training.
De experts van AGM Abogados zijn het erover eens dat preventie niet alleen het nemen van technische maatregelen inhoudt, maar ook het bevorderen ervan digitale verantwoordelijkheid onder al het bedrijfspersoneel.
Een van de meest voorkomende fouten die door experts zijn ontdekt, zijn de volgende:
- Deel wachtwoorden tussen werknemers of samenwerkingspartners. Deze praktijk vergemakkelijkt ongeoorloofde toegang tot systemen en kan voorkomen dat de bron van een inbreuk wordt geïdentificeerd.
- Sta het gebruik van persoonlijke apparaten toe voor bedrijfstakenzonder adequate controle- of encryptiemaatregelen, waardoor de risico's van blootstelling toenemen.
- Gebrek aan training of bewustzijn op het gebied van cyberbeveiliging. Het ontbreken van basisactieprotocollen en digitale cultuur binnen het bedrijf vergroot de kans op menselijke fouten.
- Het niet documenteren van het incident of het niet vastleggen van de genomen beslissingen. Het gebrek aan traceerbaarheid bemoeilijkt de verdediging tegen een inspectie of claim.
- Gebruik van ongeautoriseerde software of hulpmiddelen voor kunstmatige intelligentie zonder interne regulering. In deze gevallen, legt Alarcón uit, “moeten bedrijven protocollen hebben die het gebruik van deze tools reguleren: of bepaalde applicaties verboden zijn of niet, hoe ze moeten worden gebruikt en wie verantwoordelijk is voor de controle ervan.”
Deze vergissingen kunnen leiden tot ernstige gevolgenvooral als blijkt dat het bedrijf niet met de door de wet vereiste zorgvuldigheid heeft gehandeld. “Als de zzp’er of het mkb-bedrijf geen adequate veiligheidsmaatregelen heeft genomen en daardoor schade aan derden is toegebracht, kunnen zij aansprakelijk worden gesteld”, herinnert de advocaat zich.
Minimale protocollen en preventie vereist door regelgeving
Preventie is net zo belangrijk als de reactie. De RGPD en de LSSI vereisen dat alle bedrijven, ongeacht hun omvang, technische en organisatorische maatregelen nemen die de veiligheid van informatie garanderen.
Volgens Vanesa Alarcón Caparrós “is de sleutel tot goed beschermd zijn: hebben veiligheidsmaatregelen vanuit IT-oogpunt, die ervoor zorgen dat informatie veilig wordt opgeslagen.” Deze omvatten toegangsregistratiesystemen, tweestapsauthenticatie, regelmatige back-ups en het gebruik van servers die zich in de Europese Unie bevinden of die voldoen aan de AVG.
De deskundige benadrukte ook het belang van opleiding cyberveiligheid en te hebben duidelijke actieprotocollendie bepalen hoe te handelen in het geval van een verdachte e-mail of inbraak. Verder hebben een incidentresponsplan en onderhouden van een bijgewerkt inbreuklogboek maakt het mogelijk dat de toewijding van het bedrijf wordt geaccrediteerd bij het Spaanse Agentschap voor Gegevensbescherming.
Sancties en juridische gevolgen als u niet op tijd handelt
Het niet reageren op een inbreuk op de beveiliging kan ernstige gevolgen hebben voor elk bedrijf, zowel economisch als juridisch. Verantwoordelijkheden kunnen zijn civiel, administratief of zelfs strafrechtelijkafhankelijk van het type incident en de maatregelen die het bedrijf wel of niet heeft genomen.
Zoals deze krant al berichtte, heeft de Hoge Raad in zijn arrest 136/2025 bepaald dat een onderneming als subsidiaire burgerlijke aansprakelijkheid ook al heeft hij de fraude niet rechtstreeks gepleegd. In het geanalyseerde geval werd Gamboa Automoción getroffen door een computeraanval die de identiteitsdiefstal van een werknemer mogelijk maakte. Door andere dealers die open waren, niet te waarschuwen, werd de zwendel de volgende dag voltrokken.
Zoals Ana Vidaor uitlegde: “zelfs als het bedrijf het misdrijf niet heeft gepleegd, kan het gedwongen zijn het slachtoffer te vergoeden als het geen maatregelen heeft genomen om dit te voorkomen of als het de due diligence heeft nagelaten in het geval van een eerder incident.”
Toegevoegd aan deze mogelijke burgerlijke aansprakelijkheid zijn de administratieve sancties waarin de RGPD en de LSSI voorzien. Het niet melden van een overtreding binnen de wettelijke termijn van 72 uur kan worden beschouwd als een ernstige overtreding, bestraft met boetes van tot 10 miljoen euro of de 2% van de jaaromzeten van tot 20 miljoen of 4% in de ernstigste gevallen.
“Zelfstandigen, kleine en middelgrote bedrijven en grote bedrijven zijn onderworpen aan hetzelfde sanctieregime”, herinnert Alarcón Caparrós zich, die eraan toevoegt dat “deze sancties zelfs kunnen worden opgelegd als het bedrijf is niet direct verantwoordelijk geweest van de aanval, indien bewezen wordt dat hij niet zorgvuldig heeft gehandeld.”
Overtredingen vervallen na twee jaar, maar er kan sprake zijn van civielrechtelijke aansprakelijkheid als de aanval derden treft. In de ernstigste gevallen kan de inactiviteit of gebruik van software ongeautoriseerd tot kan leiden strafrechtelijke aansprakelijkheidin overeenstemming met artikel 270 van het Wetboek van Strafrecht, dat straft met straffen van gevangenisstraf van zes maanden tot vier jaar aan iedereen die programma's zonder licentie reproduceert of gebruikt voor winst. “De installatie van software Illegaal kan virussen of achterdeurtjes bevatten die een dubbele inbreuk op de beveiliging veroorzaken”, waarschuwde de advocaat.
