Hak-hak korban serangan siber: kewajiban pemberitahuan, kompensasi, dan asuransi

Oleh Tom Meevis, pengacara di Law & More

Serangan siber seperti ransomware, phishing, serangan DDoS, dan intrusi komputer jarang hanya memengaruhi organisasi yang diserang. Korban serangan siber juga termasuk pelanggan, karyawan, pasien, pemasok, dan mitra rantai pasokan lainnya yang mungkin menderita kerugian, dan posisi hukum mereka berbeda dari satu kelompok ke kelompok lainnya. Oleh karena itu, siapa pun yang ingin menetapkan, setelah serangan, kewajiban apa yang berlaku dan klaim apa yang ada, disarankan untuk terlebih dahulu menentukan secara tepat siapa yang telah terpengaruh dan kerugian apa yang telah terjadi.

Artikel ini membahas secara berurutan siapa yang memenuhi syarat sebagai korban, kapan pelanggaran data harus dilaporkan, dalam kondisi apa hak atas kompensasi ada, pihak mana yang dapat bertanggung jawab, peran apa yang dimainkan hukum pidana, apa yang biasanya dicakup oleh polis asuransi siber, dan langkah-langkah apa yang harus segera diambil setelah serangan.

Siapa saja korban serangan siber?

Dalam serangan siber, dapat dibedakan tiga kelompok.

• Organisasi yang terdampak itu sendiri, yang menghadapi gangguan sistem, kehilangan omset, biaya pemulihan, biaya investigasi forensik, dan kerusakan reputasi.
• Orang-orang yang data pribadinya telah terungkap, seperti pelanggan, karyawan, dan pasien. Mereka mungkin menderita kerugian finansial, tetapi juga kerugian non-materiil akibat hilangnya kendali atas data mereka, ketidakpastian, atau ketakutan akan penipuan identitas.
• Pihak ketiga yang terdampak melalui hubungan kontraktual atau rantai pasokan, misalnya karena mereka bergantung pada pemasok yang sistemnya mengalami gangguan.

Klasifikasi ini relevan secara hukum. Dasar dari setiap klaim, dan pihak yang dapat dituntut, bergantung pada posisi korban. Organisasi yang terdampak umumnya akan meminta pertanggungjawaban pemasok TI-nya berdasarkan kontrak, sedangkan subjek data dapat langsung mengandalkan dasar tanggung jawab yang berdiri sendiri yang disediakan oleh GDPR.

Kapan kebocoran data harus dilaporkan?

Apabila data pribadi terlibat dalam serangan siber, harus dinilai apakah terjadi pelanggaran data pribadi dan apakah pemberitahuan bersifat wajib. Pasal 33 GDPR mewajibkan pemberitahuan pelanggaran kepada otoritas pengawas tanpa penundaan yang tidak semestinya dan, jika memungkinkan, dalam waktu tujuh puluh dua jam, kecuali jika pelanggaran tersebut tidak mungkin menimbulkan risiko terhadap hak dan kebebasan individu.

Selain itu, Pasal 34 GDPR mungkin mengharuskan organisasi untuk memberi tahu subjek data itu sendiri. Kewajiban itu muncul ketika pelanggaran tersebut kemungkinan besar akan mengakibatkan risiko tinggi terhadap hak dan kebebasan mereka. Komunikasi dapat diabaikan jika tindakan teknis yang tepat seperti enkripsi telah diterapkan, jika tindakan selanjutnya memastikan risiko tinggi tersebut tidak akan lagi terwujud, atau jika komunikasi individual akan melibatkan upaya yang tidak proporsional; dalam kasus terakhir, komunikasi publik sudah cukup.

Bagi subjek data, komunikasi tersebut lebih dari sekadar formalitas. Hal itu memungkinkan mereka untuk mengambil tindakan sendiri, misalnya dengan mengubah kata sandi atau memantau transaksi yang mencurigakan, dan dalam praktiknya seringkali menjadi titik awal dari setiap klaim kompensasi.

Oleh karena itu, suatu organisasi harus memastikan tidak hanya bahwa serangan telah terjadi, tetapi juga data mana yang terpengaruh, apakah data tersebut benar-benar dieksfiltrasi, dan risiko apa yang timbul dari hal tersebut. Investigasi forensik independen seringkali sangat diperlukan untuk tujuan tersebut.

Hal ini semakin berlaku jika serangan terjadi pada pihak pengolah data, bukan pada organisasi itu sendiri. Dalam proses persidangan singkat antara Blauw Research dan Nebu (Pengadilan Distrik Rotterdam, 6 April 2023, ECLI:NL:RBROT:2023:2931), hakim yang memberikan putusan sela menyatakan bahwa, berdasarkan perjanjian pengolahan data yang disepakati antara para pihak, pengendali data berhak atas informasi lebih lanjut tentang serangan, konsekuensinya, dan tindakan yang diambil daripada yang awalnya diberikan. Pihak pengolah data juga diperintahkan untuk melakukan investigasi forensik independen dan melaporkan secara berkala. Putusan tersebut menunjukkan bahwa perjanjian pengolahan data yang dirancang dengan baik pada praktiknya merupakan instrumen terpenting untuk memperoleh informasi tepat waktu setelah suatu insiden, justru karena pengendali data membutuhkan informasi tersebut untuk melaksanakan kewajiban pemberitahuannya sendiri.

Kapan hak atas kompensasi muncul?

Subjek data dapat mengajukan klaim kompensasi dari pengontrol atau pengolah data berdasarkan Pasal 82 GDPR. Namun, serangan siber tidak secara otomatis menimbulkan klaim. Klaim tersebut harus dibuktikan:

• bahwa GDPR telah dilanggar;
• bahwa kerugian benar-benar telah diderita; dan
• bahwa terdapat hubungan sebab-akibat antara pelanggaran tersebut dan kerugian tersebut.

Kerugian materiil dapat berupa kerugian finansial, biaya pemulihan, atau kerugian yang disebabkan oleh penipuan identitas. Sedangkan untuk kerugian non-materiil, Mahkamah Kehakiman Uni Eropa dalam kasus Österreichische Post (CJEU 4 Mei 2023, C-300/21) menyatakan bahwa tidak ada ambang batas minimum keseriusan, tetapi pelanggaran GDPR saja tidak cukup untuk mendapatkan ganti rugi.

Kasus Natsionalna agentsia za prihodite (CJEU 14 Desember 2023, C-340/21) sangat relevan dengan pelanggaran data setelah serangan siber. Di sana, Pengadilan memutuskan bahwa ketakutan akan kemungkinan penyalahgunaan data pribadi yang bocor di masa mendatang dapat dengan sendirinya merupakan kerugian non-materiil. Namun, subjek data harus membuktikan ketakutan tersebut dan konsekuensinya secara konkret; hanya menunjukkan fakta bahwa data telah bocor tidaklah cukup. Dalam putusan yang sama, Pengadilan menegaskan bahwa pengontrol data berkewajiban untuk membuktikan bahwa langkah-langkah keamanan yang diambil sudah tepat, dan bahwa serangan oleh pihak ketiga dengan sendirinya tidak membebaskan pengontrol data dari tanggung jawab.

Tanggung jawab berdasarkan GDPR ada bersamaan dengan dasar hukum perdata tentang pelanggaran kontrak dan perbuatan melawan hukum. Berdasarkan Pasal 6:162(1) Kitab Undang-Undang Hukum Perdata Belanda, pihak yang melakukan perbuatan melawan hukum yang dapat diatribusikan harus memberikan kompensasi atas kerugian yang ditimbulkan. Persyaratan relativitas Pasal 6:163 berlaku: norma yang dilanggar harus berfungsi untuk melindungi dari jenis kerugian yang diderita pihak yang dirugikan.

Yang penting, Pasal 82 GDPR ada bersamaan dengan dasar-dasar tersebut. Oleh karena itu, subjek data tidak wajib mendasarkan klaim semata-mata pada pelanggaran kontrak atau perbuatan melawan hukum, tetapi dapat langsung mengandalkan dasar tanggung jawab yang berdiri sendiri yang disediakan oleh GDPR. Bagi organisasi yang terkena dampak, kombinasi dasar-dasar ini berarti bahwa beberapa pihak dapat mengajukan klaim secara bersamaan setelah terjadi serangan.

Siapa yang bisa dimintai pertanggungjawaban?

Organisasi yang bersangkutan dapat dimintai pertanggungjawaban jika gagal melaksanakan kewajiban kontraktualnya atau telah mengambil langkah-langkah keamanan yang tidak memadai. Penyedia atau pengolah layanan TI juga dapat dimintai pertanggungjawaban. Apa yang dapat diharapkan dari penyedia layanan tersebut ditentukan terutama oleh kontrak.

Dalam hubungan pemrosesan data, perjanjian pemrosesan data memainkan peran sentral. Pasal 28 GDPR mewajibkan pengendali dan pengolah data untuk membuat perjanjian tersebut, yang mengatur antara lain langkah-langkah keamanan dan penanganan pelanggaran data. Jika serangan terjadi akibat keamanan yang tidak memadai di pihak pengolah data, pengendali dapat meminta pertanggungjawaban pengolah data berdasarkan perjanjian tersebut atas kerugian yang diakibatkan.

Hal itu terlihat jelas dari kasus yang menyangkut serangan siber terhadap kotamadya Hof van Twente (Pengadilan Distrik Overijssel, 10 Mei 2023, ECLI:NL:RBOVE:2023:1731). Para pihak telah menyepakati pemantauan fungsional, bukan pemantauan keamanan. Pengadilan memutuskan bahwa kewajiban untuk berhati-hati dari seorang administrator TI tidak meluas hingga pemantauan keamanan menjadi bagian tersirat dari penugasan untuk pemantauan fungsional, dan menolak klaim kotamadya tersebut. Pengadilan juga mempertimbangkan bahwa kotamadya itu sendiri telah mengambil keputusan yang meningkatkan risiko, termasuk kebijakan kata sandinya dan pembukaan port RDP.

Kasus yang merupakan kebalikannya adalah kasus O'Cliance (Pengadilan Distrik Amsterdam(14 November 2018, ECLI:NL:RBAMS:2018:10124). Di sana, pemasok telah memasang infrastruktur TI lengkap dan mengambil alih pengelolaannya. Setelah serangan ransomware yang juga mengenkripsi cadangan data, pengadilan memutuskan bahwa penyediaan paket lengkap tersebut membawa kewajiban kehati-hatian yang luas dan bahwa tindakan pencegahan yang sederhana telah diabaikan. Namun, tanggung jawab tidak diberikan sepenuhnya: karena kesalahan pelanggan, dua pertiga dari kerugian tetap menjadi tanggung jawab pemasok.

Betapa beratnya beban pembuktian mengenai keamanan yang memadai dapat diilustrasikan oleh kasus peretasan akun email dealer mobil. Dalam putusan sementara tanggal 5 November 2024 (Pengadilan Banding Arnhem-Leeuwarden, ECLI:NL:GHARL:2024:6812), dealer tersebut diberi kesempatan untuk membuktikan bahwa akun emailnya telah diamankan dengan tepat sesuai dengan GDPR, setelah seorang peretas menggunakan akun tersebut untuk mengirimkan instruksi pembayaran palsu kepada pembeli. Dalam putusan lanjutan tanggal 22 Juli 2025 (ECLI:NL:GHARL:2025:4556), pengadilan memutuskan bahwa bukti tersebut belum disampaikan, setelah itu para pihak masih harus membahas kesalahan yang turut dilakukan oleh pembeli. Oleh karena itu, kedua putusan tersebut menyangkut proses hukum yang sama.

Intinya adalah bahwa pengaturan kontraktual, risiko pemrosesan, tindakan yang sebenarnya diambil, peringatan yang diberikan oleh kedua belah pihak, dan perilaku pihak yang dirugikan semuanya penting. Selain tanggung jawab perdata, Otoritas Perlindungan Data Belanda dapat mengenakan denda administratif hingga EUR 20 juta atau 4 persen dari omset tahunan di seluruh dunia, mana pun yang lebih tinggi. Denda tersebut tidak bergantung pada apakah subjek data individu mengalami kerugian atau tidak.

Jalur hukum pidana

Serangan siber juga dapat merupakan tindak pidana, seperti penyusupan komputer, membuat data tidak dapat diakses atau mengambil alih data non-publik. Pasal 138ab(1) KUHP Belanda menyatakan bahwa memperoleh akses ke sistem otomatis secara sengaja dan melawan hukum merupakan suatu tindak pidana.

Korban dapat melaporkan pelanggaran tersebut kepada polisi, yang memiliki tim khusus untuk kejahatan siber. Jika tersangka dituntut, korban dapat bergabung dalam proses pidana sebagai pihak yang dirugikan dan menuntut ganti rugi di sana. Jalur ini menghindari proses perdata terpisah, tetapi hasilnya bergantung pada deteksi, penuntutan, dan bukti, yang seringkali tidak membuahkan hasil jika pelaku beroperasi secara internasional. Bagi organisasi, pelaporan seringkali juga merupakan kebutuhan praktis, karena perusahaan asuransi dan mitra rantai pasokan memintanya.

Apa saja yang dicakup oleh asuransi siber?

Polis asuransi siber dapat memberikan perlindungan untuk, antara lain:

• respons insiden dan investigasi forensik;
• pemulihan sistem dan data;
• kerugian akibat gangguan bisnis dan kehilangan omset;
• komunikasi krisis;
• tanggung jawab terhadap pihak ketiga;
• biaya hukum; dan
• dalam beberapa kasus denda, pembayaran penyelesaian atau uang tebusan, sejauh dapat diasuransikan berdasarkan hukum yang berlaku.

Cakupan pertanggungan yang tepat bergantung pada polis. Perhatikan pengecualian, kondisi keamanan, periode pemberitahuan, biaya pengurangan, dan persyaratan untuk melibatkan ahli. Pasal 7:957(1) Kitab Undang-Undang Hukum Perdata Belanda juga mewajibkan pihak tertanggung untuk mengambil tindakan yang wajar untuk mencegah atau membatasi kerugian. Jika kewajiban penyelamatan tersebut tidak dipatuhi, perusahaan asuransi dapat mengurangi pembayaran ganti rugi.

Oleh karena itu, pihak asuransi siber harus diberitahu sesegera mungkin. Menggunakan ahli eksternal atau membayar uang tebusan tanpa persetujuan pihak asuransi dapat memengaruhi pertanggungan.

Apa yang harus Anda lakukan segera setelah serangan siber?

• Catat kejadian dan semua tindakan terkait dengan cermat.
• Isolasi sistem yang terpengaruh tanpa kehilangan bukti.
• Libatkan seorang ahli forensik.
• Menilai apakah terjadi pelanggaran data yang perlu dilaporkan.
• Menilai apakah subjek data harus diinformasikan.
• Laporkan pelanggaran tersebut kepada polisi.
• Laporkan insiden tersebut kepada perusahaan asuransi siber Anda.
• Simpan log, cadangan, email, dan data relevan lainnya.
• Petakan kerusakan dan pihak-pihak yang berpotensi bertanggung jawab.
• Berikan informasi kepada pelanggan, karyawan, dan mitra rantai pasokan dengan cermat dan tepat waktu.

Oleh karena itu, serangan siber bukan hanya insiden teknis. Ini juga merupakan masalah perlindungan data, hukum perdata, hukum pidana, dan hukum asuransi. Respons yang cepat dan terdokumentasi dengan baik tidak hanya membatasi kerusakan, tetapi juga sangat menentukan untuk pemberitahuan, perlindungan asuransi, dan posisi pembuktian Anda dalam setiap proses hukum.

Dalam penutupan

Hak dan kewajiban setelah serangan siber tersebar di beberapa bidang hukum, dan hasil suatu kasus sangat bergantung pada fakta spesifik, isi kontrak, dan kualitas catatan. Kasus-kasus hukum yang dibahas menunjukkan bahwa baik pemasok maupun pelanggan dinilai berdasarkan perilaku mereka sendiri, dan tenggat waktu seperti periode pemberitahuan tujuh puluh dua jam tidak memberikan ruang untuk penundaan.

Law & More Membantu organisasi dan subjek data dalam penanganan hukum insiden siber: mulai dari menilai kewajiban pemberitahuan dan meninjau perjanjian pemrosesan data hingga menetapkan tanggung jawab, masalah asuransi, dan pemulihan kerugian. Apakah Anda menghadapi serangan siber atau pelanggaran data, atau apakah Anda ingin kontrak Anda ditinjau terlebih dahulu terhadap risiko-risiko ini oleh tim kami? Hukum IT tim? Silakan saja kontak Law & More untuk diskusi tanpa kewajiban mengenai situasi Anda.

Pertanyaan yang sering diajukan

Di bawah ini kami menjawab pertanyaan-pertanyaan yang paling sering diajukan kepada kami mengenai topik ini.

Siapa saja korban dari serangan siber?

Terdapat tiga lapisan. Pertama, organisasi yang terdampak itu sendiri, yang menanggung kerugian akibat gangguan sistem, kehilangan omset, biaya pemulihan, biaya investigasi forensik, dan kerusakan reputasi. Kedua, subjek data, yaitu individu yang data pribadinya telah terungkap, seperti pelanggan, karyawan, dan pasien. Ketiga, pihak ketiga yang menderita kerugian melalui hubungan kontraktual atau rantai pasokan, misalnya karena mereka bergantung pada pemasok yang mengalami gangguan. Klasifikasi tersebut menentukan dasar pengajuan klaim oleh suatu pihak, dan terhadap siapa.

Dalam jangka waktu berapa lama saya harus memberitahukan adanya pelanggaran data?

Pasal 33 GDPR mewajibkan pemberitahuan kepada otoritas pengawas tanpa penundaan yang tidak semestinya dan, jika memungkinkan, dalam waktu tujuh puluh dua jam setelah mengetahui adanya pelanggaran. Kewajiban ini tidak berlaku jika pelanggaran tersebut kemungkinan kecil akan menimbulkan risiko terhadap hak dan kebebasan individu. Penilaian tersebut memerlukan analisis tentang sifat pelanggaran, kategori data yang terpengaruh, dan kemungkinan konsekuensinya.

Kapan saya harus memberi tahu subjek data itu sendiri?

Berdasarkan Pasal 34 GDPR, jika pelanggaran tersebut kemungkinan besar akan menimbulkan risiko tinggi terhadap hak dan kebebasan subjek data, komunikasi dapat diabaikan jika telah dilakukan tindakan teknis yang tepat seperti enkripsi, jika tindakan selanjutnya memastikan risiko tinggi tersebut tidak akan lagi terjadi, atau jika komunikasi individual akan memerlukan upaya yang tidak proporsional. Dalam kasus terakhir, komunikasi publik sudah cukup.

Bisakah saya memaksa pemasok yang telah diretas untuk memberikan informasi?

Ya, jika perjanjian pemrosesan data mengaturnya. Dalam proses ringkas antara Blauw Research dan Nebu (Pengadilan Distrik Rotterdam, 6 April 2023, ECLI:NL:RBROT:2023:2931), hakim yang memberikan putusan sementara menyatakan bahwa berdasarkan perjanjian pemrosesan data, pengendali data berhak atas informasi lebih lanjut tentang serangan, konsekuensinya, dan tindakan yang diambil daripada yang telah diberikan, dan memerintahkan pengolah data untuk melakukan investigasi forensik independen dan melaporkannya secara berkala. Informasi tersebut diperlukan untuk memenuhi kewajiban pemberitahuan Anda sendiri.

Sebagai subjek data, apakah saya secara otomatis berhak atas kompensasi setelah terjadi pelanggaran data?

Tidak. Pasal 82 GDPR memberikan dasar tersendiri, tetapi Anda harus membuktikan bahwa GDPR telah dilanggar, bahwa Anda benar-benar menderita kerugian, dan bahwa ada hubungan sebab akibat antara pelanggaran dan kerugian tersebut. Beban pembuktian berada pada penggugat.

Apakah rasa takut akan penipuan identitas termasuk dalam kategori kerugian non-materiil?

Mungkin saja. Dalam kasus Natsionalna agentsia za prihodite (CJEU 14 Desember 2023, C-340/21), Mahkamah Eropa memutuskan bahwa kekhawatiran akan kemungkinan penyalahgunaan data pribadi yang bocor di masa mendatang dapat dengan sendirinya merupakan kerugian non-materiil. Namun, subjek data harus membuktikan kekhawatiran tersebut dan konsekuensinya secara konkret. Kasus Österreichische Post (CJEU 4 Mei 2023, C-300/21) menambahkan bahwa tidak ada ambang batas minimum keseriusan, tetapi pelanggaran GDPR saja tidaklah cukup.

Siapa yang harus membuktikan bahwa langkah-langkah keamanan tersebut sudah tepat?

Pengontrol data. Dalam kasus C-340/21, Mahkamah Eropa menegaskan bahwa pengontrol data berkewajiban untuk menunjukkan bahwa langkah-langkah keamanan yang diambil sudah tepat, dan bahwa serangan oleh pihak ketiga dengan sendirinya tidak membebaskannya dari tanggung jawab. Di Belanda, hal ini terjadi dalam kasus peretasan akun email dealer mobil, di mana Pengadilan Banding Arnhem-Leeuwarden awalnya memberi dealer kesempatan untuk memberikan bukti tersebut (ECLI:NL:GHARL:2024:6812) dan kemudian memutuskan bahwa bukti tersebut belum diberikan (ECLI:NL:GHARL:2025:4556).

Apakah penyedia TI saya bertanggung jawab jika mereka gagal mendeteksi serangan?

Itu tergantung pada apa yang telah disepakati. Dalam kasus yang berkaitan dengan serangan siber terhadap kotamadya Hof van Twente (Pengadilan Distrik Overijssel, 10 Mei 2023, ECLI:NL:RBOVE:2023:1731), para pihak telah menyepakati pemantauan fungsional, bukan pemantauan keamanan. Pengadilan memutuskan bahwa kewajiban kehati-hatian seorang administrator TI tidak meluas hingga pemantauan keamanan menjadi bagian tersirat darinya, dan menolak klaim tersebut. Jika paket total yang lebih luas disediakan, kewajiban kehati-hatian mungkin malah jauh lebih luas, seperti dalam kasus O'Cliance (Pengadilan Distrik Overijssel, 10 Mei 2023, ECLI:NL:RBOVE:2023:1731). Amsterdam(14 November 2018, ECLI:NL:RBAMS:2018:10124), di mana pemasok dinyatakan bertanggung jawab atas dua pertiga dari kerugian tersebut.

Apakah perilaku saya sendiri dapat mengurangi kompensasi yang akan diterima?

Ya. Kesalahan kontributif memainkan peran berulang dalam kasus-kasus ini. Dalam kasus O'Cliance, sepertiga dari kerugian tetap menjadi tanggung jawab pelanggan, dan dalam kasus peretasan akun email, para pihak diharuskan untuk mengatasi kesalahan kontributif pembeli. Oleh karena itu, kebijakan kata sandi Anda sendiri, port yang dibiarkan terbuka, atau peringatan yang diabaikan dapat secara langsung memengaruhi hasilnya.

Denda apa saja yang dapat dikenakan oleh otoritas perlindungan data?

Untuk pelanggaran GDPR, otoritas pengawas dapat mengenakan denda administratif hingga EUR 20 juta atau 4 persen dari omset tahunan di seluruh dunia, mana pun yang lebih tinggi. Denda ini tidak bergantung pada apakah subjek data individu benar-benar menderita kerugian dan oleh karena itu merupakan risiko terpisah di samping tanggung jawab perdata.

Bisakah saya melaporkan pelanggaran tersebut dan menuntut ganti rugi melalui proses pidana?

Ya. Pasal 138ab(1) KUHP Belanda menyatakan bahwa memperoleh akses ke sistem otomatis secara sengaja dan tanpa izin merupakan suatu tindak pidana. Anda dapat melaporkan tindak pidana tersebut kepada polisi dan, jika tersangka dituntut, dapat bergabung dalam proses pidana sebagai pihak yang dirugikan untuk menuntut ganti rugi. Hasilnya bergantung pada deteksi, penuntutan, dan bukti, yang seringkali tidak menghasilkan apa pun jika pelakunya beroperasi secara internasional.

Apa saja yang biasanya dicakup oleh asuransi siber?

Biasanya mencakup respons insiden dan investigasi forensik, pemulihan sistem dan data, kerugian akibat gangguan bisnis dan kehilangan omset, komunikasi krisis, kewajiban terhadap pihak ketiga dan biaya hukum, dan dalam beberapa kasus denda, pembayaran penyelesaian atau tebusan sejauh yang dapat diasuransikan berdasarkan hukum yang berlaku. Perhatikan pengecualian, kondisi keamanan, periode pemberitahuan dan pengurangan, dan tinjau polis sebelum insiden terjadi.

Bisakah saya kehilangan perlindungan jika bertindak salah setelah diserang?

Hal itu mungkin terjadi. Pasal 7:957(1) Kitab Undang-Undang Hukum Perdata Belanda mewajibkan pihak tertanggung untuk mengambil tindakan yang wajar untuk mencegah atau membatasi kerugian; jika kewajiban penyelamatan tersebut tidak dipatuhi, pihak asuransi dapat mengurangi pembayaran. Mempekerjakan ahli eksternal atau membayar uang tebusan tanpa persetujuan pihak asuransi juga dapat memengaruhi pertanggungan. Beri tahu pihak asuransi Anda sesegera mungkin.

Apa langkah-langkah yang harus saya ambil segera setelah terjadi serangan siber?

Catat insiden dan semua tindakan yang diambil, isolasi sistem yang terpengaruh tanpa kehilangan bukti, dan libatkan ahli forensik. Kemudian, nilai apakah ada pelanggaran data yang perlu dilaporkan dan apakah subjek data harus diinformasikan. Laporkan pelanggaran tersebut, beri tahu perusahaan asuransi siber Anda, simpan log, cadangan, dan korespondensi, petakan kerusakan dan pihak-pihak yang berpotensi bertanggung jawab, serta informasikan kepada pelanggan, karyawan, dan mitra rantai pasokan dengan cermat dan tepat waktu.