Setiap bisnis di Belanda yang memproses data pribadi wajib mengamankannya berdasarkan Pasal 32 GDPR dan melaporkan pelanggaran data kepada Otoritas Perlindungan Data Belanda (Autoriteit Persoonsgegevens, AP) dalam waktu 72 jam berdasarkan Pasal 33 GDPR. Selain itu, sejak 15 Agustus 2026, lebih dari 8,000 organisasi penting dan esensial juga harus mematuhi Undang-Undang Keamanan Siber (Cyberbeveiligingswet, Cbw), implementasi Belanda dari arahan NIS2 Uni Eropa; bank dan entitas keuangan lainnya mengikuti DORA untuk hal-hal tersebut.

Apa yang dipersyaratkan GDPR untuk keamanan data?

Langkah-langkah teknis dan organisasi yang tepat, dinilai berdasarkan kondisi terkini, biaya implementasi, dan risiko bagi orang-orang yang bersangkutan (Pasal 32 GDPR). Apa yang tepat untuk praktik yang melibatkan dua orang berbeda dengan apa yang dibutuhkan oleh perusahaan yang memproses data kesehatan dalam skala besar; standar meningkat seiring dengan risiko.

AP mengharapkan langkah-langkah yang tidak mencolok: kontrol akses dan otentikasi multi-faktor, enkripsi perangkat dan cadangan, patching, pencatatan log, dan prosedur pemulihan yang telah diuji. Yang membantu Anda lolos dari pengawasan adalah bahwa langkah-langkah ini telah didokumentasikan dan ditinjau sebelum terjadi kesalahan.

Kapan pelanggaran data harus dilaporkan?

Dalam waktu 72 jam setelah mengetahui adanya pelanggaran tersebut, Anda harus memberitahukan hal tersebut kepada AP (Accounts Protection), kecuali jika pelanggaran tersebut kemungkinan kecil menimbulkan risiko bagi orang-orang yang terdampak (Pasal 33 GDPR). Jika risikonya tinggi, Anda juga harus memberitahukan orang-orang tersebut tanpa penundaan yang tidak semestinya (Pasal 34 GDPR).

Waktu dihitung dari kesadaran, bukan dari investigasi yang selesai, jadi prosedur insiden (siapa yang memutuskan, siapa yang dihubungi, apa yang dicatat) lebih berharga daripada kontrol teknis tunggal apa pun. Berdasarkan Pasal 33(5) GDPR, Anda harus mencatat setiap pelanggaran secara internal, termasuk yang tidak Anda laporkan, beserta alasan di balik keputusan tersebut.

Apa yang ditambahkan oleh Cyberbeveiligingswet?

Pendaftaran, kewajiban untuk berhati-hati, dan pelaporan insiden untuk organisasi di 18 sektor, seperti energi, transportasi, perawatan kesehatan, infrastruktur digital, dan administrasi publik. Cbw dan Undang-Undang Ketahanan Entitas Kritis (Wet weerbaarheid kritieke entiteiten) mulai berlaku pada 15 Agustus 2026. Organisasi yang termasuk dalam cakupan harus mendaftar ke Pusat Keamanan Siber Nasional (NCSC), mengambil langkah-langkah manajemen risiko, dan melaporkan insiden signifikan kepada CSIRT dan pengawas sektor mereka dalam jangka waktu yang ditentukan undang-undang.

Dewan manajemen harus menyetujui dan mengawasi langkah-langkah ini dan harus memiliki pengetahuan yang memadai, termasuk pelatihan; mereka tidak dapat begitu saja mendelegasikan hal ini kepada departemen TI. Dalam beberapa hari setelah diberlakukan, hanya sekitar 3,200 dari lebih dari 8,000 organisasi yang telah mendaftar, jadi periksa pendaftaran Anda sekarang jika Anda mungkin termasuk dalam cakupan peraturan ini.

Bagaimana hal ini dapat menjangkau organisasi di luar lingkup Cbw?

Melalui kontrak. Pelanggan yang lebih besar semakin memberlakukan persyaratan keamanan, hak audit, dan periode pemberitahuan pelanggaran, dan perjanjian pemrosesan berdasarkan Pasal 28 GDPR wajib dilakukan setiap kali Anda memproses data pribadi atas nama orang lain. Banyak perusahaan Belanda pertama kali memenuhi standar ini karena pelanggan yang termasuk dalam lingkup Cbw menuntutnya.

Siapa yang dapat mengajukan klaim setelah suatu insiden?

Otoritas Perlindungan Data (AP), yang dapat mengenakan denda hingga €20 juta atau 4% dari omset global berdasarkan Pasal 83 GDPR; individu, yang dapat menuntut kompensasi berdasarkan Pasal 82 GDPR; pelanggan berdasarkan kontrak; dan kelompok melalui tindakan kolektif berdasarkan WAMCA. Apakah asuransi Anda membayar atau tidak bergantung pada isi polis dan apakah Anda dapat menunjukkan bahwa langkah-langkah yang disepakati telah diterapkan.

Apa saja yang perlu Anda periksa sebagai sebuah organisasi yang termasuk dalam lingkup Cbw?

Apakah Anda sudah terdaftar di NCSC?
Apakah dewan direksi telah menyetujui langkah-langkah manajemen risiko dan menyelesaikan pelatihan?
Apakah Anda mengetahui ambang batas insiden signifikan di sektor Anda dan kepada siapa Anda harus melapor?
Apakah kontrak pemasok Anda memberlakukan kewajiban keamanan dan pemberitahuan?
Bisakah Anda juga melaporkan pelanggaran data pribadi ke AP dalam waktu 72 jam?

Apa yang harus Anda periksa sebagai pemasok untuk organisasi-organisasi tersebut?

Persyaratan keamanan dan hak audit apa yang diberlakukan dalam kontrak pelanggan Anda?
Seberapa cepat Anda harus memberi tahu pelanggan Anda tentang suatu insiden?
Apakah terdapat perjanjian pemrosesan berdasarkan Pasal 28 GDPR di tempat Anda menangani data pribadi?
Apakah tanggung jawab Anda atas suatu insiden dibatasi, dan apakah asuransi Anda menanggungnya?

Apa yang dapat kami lakukan untuk Anda terkait kewajiban keamanan siber?

Pengacara TI kami memberikan nasihat tentang aspek hukum keamanan siber. Kami dapat:

Lakukan penilaian apakah organisasi Anda termasuk dalam cakupan Cbw.
Menyusun atau meninjau perjanjian pemrosesan dan klausul keamanan dalam kontrak pemasok.
Tuliskan prosedur pemberitahuan insiden dan pelanggaran data Anda.
Tangani pemberitahuan pelanggaran dan korespondensi dengan AP.
Memberikan nasihat mengenai tanggung jawab terhadap pelanggan dan individu setelah suatu insiden.

Ringkasan

Pasal 32 GDPR mewajibkan langkah-langkah keamanan yang sesuai dengan teknologi terkini dan tingkat risiko yang ada, untuk setiap organisasi yang memproses data pribadi.
Pelanggaran data biasanya harus dilaporkan ke AP dalam waktu 72 jam setelah diketahui.
Sejak 15 Agustus 2026, Cbw menambahkan kewajiban pendaftaran, manajemen risiko, dan pelaporan insiden untuk lebih dari 8,000 organisasi, dengan akuntabilitas dewan direksi.
Suatu insiden dapat memicu klaim dari AP, individu, pelanggan, dan tindakan kolektif.