Kto odpowiada, gdy dochodzi do naruszenia u naszego dostawcy SaaS?

Zwykle obie strony, za różne rzeczy. Dostawca odpowiada za zabezpieczenie swojej usługi, a zgodnie z RODORODO: ogólne rozporządzenie o ochronie danych. Unijne prawo o ochronie danych osobowych (rozporządzenie (UE) 2016/679). dostawca działający jako Twój podmiot przetwarzający musi powiadomić Cię bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych. Ty, jako administrator danych swoich klientów czy pracowników, nadal odpowiadasz za ocenę ryzyka dla osób, których dotyczy, i w razie potrzeby za zgłoszenie organowi nadzorczemu w ciągu 72 godzin od stwierdzenia naruszenia oraz za poinformowanie tych osób, jeśli ryzyko jest wysokie. Jeśli Twoja firma podlega NIS2NIS2: druga unijna dyrektywa w sprawie bezpieczeństwa sieci i informacji. Unijne prawo o cyberbezpieczeństwie (dyrektywa (UE) 2022/2555), które nakłada na wiele firm obowiązki bezpieczeństwa i zgłaszania incydentów., poważny incydent wywołany przez dostawcę może uruchomić Twoje własne obowiązki zgłoszeniowe, a NIS2 oczekuje zarządzania bezpieczeństwem łańcucha dostaw jako części środków zarządzania ryzykiem. Wiele praktycznych kwestii rozstrzygają umowy: terminy powiadomień, współpraca, informacje, które otrzymasz, i odpowiedzialność. Przygotuj się zawczasu: wiedz, którzy dostawcy przechowują jakie dane, miej ich kontakty ds. bezpieczeństwa i uwzględnij naruszenie u dostawcy w planie reagowania na incydenty. Krajowe przepisy wdrażające NIS2 mogą dodawać szczegóły; sprawdź je.

← Wszystkie pytania (25): Bezpieczeństwo chmury i SaaSWszystkie tematy