Кой плаща, когато пробивът се случи: личната отоворност на ръководството по Закона за киберсигурност

Законът за киберсигурност (ЗКС) в новата си редакция от тази година урежда лична отговорност на ръководството на компаниите, определени като съществени и важни субекти по ЗКС, при „неизпълнение на техните задължения“. Новата редакция обхваща широк спектър от компании в здравеопазването, водоснабдяването, транспорта, енергетиката, производството на машини, автомобили и части за тях, производството и дистрибуцията на храни, услугите по управление на ИКТ системи и други доставчици на цифрови услуги.

В тази връзка съдържанието на вътрешните правила и на договорите с ръководните кадри е ключово. Доколкото ЗКС изисква процес, а не резултат, централният въпрос ще бъде дали мерките са били подходящи и дали ръководството е изпълнило своята роля. Успехът на регресни искове към ръководството ще зависи от доказаното в производството срещу дружеството – обект на киберинцидент.

Какви задължения има ръководството

Лицата в ръководството на важен или съществен субект по ЗКС – средните предприятия с дейност по приложения № 1 и 2 към закона, съответно големите предприятия по приложение № 1 – одобряват мерките за управление на риска, следят за прилагането им, преминават специализирано обучение за разпознаване на киберрискове на всеки две години и организират обучение за служителите.

За нарушение на тези задължения всеки член на ръководството може да бъде глобен лично. Отговорност може да понесе всеки, който представлява дружеството, взема решения от негово име или го контролира. При съществените субекти органът може да поиска и временна забрана за упражняване на управленски функции – принудителна мярка за осигуряване на прилагането на закона.

Извън санкциите, договорната отговорност също може да доведе до сериозни загуби за член на ръководството в зависимост от обстоятелствата около инцидента, щетите, характера на договора и неговото съдържание.

Кога идват проверките

Значителният киберинцидент е типичният повод националният контролен орган да провери важен субект, а при съществения субект проверките могат да се извършват и без да има инцидент. Самият инцидент не е задължително да бъде кибератака – той може да е резултат и от реализирана физическа опасност, човешка грешка или техническа неизправност на ИКТ продукт или система.

Например, ако поправката за уязвимостта PHP2Shell не бъде своевременно приложена, без да има документирана обосновка и компенсаторни мерки, дружеството би било изложено на санкции и договорна отговорност в случай на атака през нея – каквато е повече от вероятна.

Липсата на уведомяване за инцидента е изрично посочена сред обстоятелствата, които органът отчита при определяне на санкцията. Независимо че България закъснява с методиките за определяне на важни и съществени субекти, задълженията тежат върху компаниите: неприлагането на мерките може да бъде самостоятелно нарушение при съществените субекти и би довело до сигурни санкции при инциденти, настъпили при важните субекти.

Рисковете за компанията и за хората, които я управляват

В случай на неизпълнение на задълженията от страна на ръководството на важен или съществен субект дружеството рискува имуществена санкция до 10 млн. евро или 2% от световния годишен оборот на групата за съществените субекти и до 7 млн. евро или 1,4% за важните, задължителни предписания и публично обявяване на нарушението, а отделно – претенции от клиенти, партньори и репутационни щети.

Членовете на ръководството рискуват лична глоба, а при съществените субекти – и временно отстраняване от управлението. Ако дружеството понесе вреди, може да потърси от тях обезщетение съгласно договора им.

Важно е ръководствата на български компании, които са членове на икономически групи, да знаят, че носят отговорност за съдържанието и изпълнението на груповите политики, независимо дали имат влияние върху тях или не. Ето защо е необходимо много внимателно да прегледат състоянието на информационната сигурност на компаниите, в чието ръководство участват, и да поискат отделен бюджет и съобразяване на мерките с местните особености – както на дейността и структурата на българското дружество, така и на местното законодателство.

От разпределението на задачите до документираната защита

Ръководството трябва да се заинтересува дали дружеството попада в обхвата на ЗКС, как се категоризира и доколко неговата информационна сигурност съответства на законовата рамка. Необходимо е да знае какви политики съществуват или следва да се съставят, кой следи докладите за уязвимостите, кой изследва остатъчните рискове и дали има ясен план в случай на инцидент – както за уведомяване, така и за продължаване на дейността.

Отговорните за сигурността поддържат опис на активите, приоритизират уязвимостите по критичност и прилагат корекциите в определени срокове. Всяко отлагане се документира и одобрява на правилното ниво, а за сигнали от външни изследователи има канал за координирано разкриване.

Юристите проследяват документирането на необходимите мерки и създават процедура за ескалация на инциденти с роли, заместници, критерии за значимост и образци, така че 24-часовият срок да е изпълним и извън работно време. Те поддържат и досието, което органът ще поиска, проверяват дали застраховката на членовете на ръководството покрива тези рискове и в каква степен, преглеждат договорите с доставчиците и членовете на ръководството, както и вътрешногруповите договори.

След всеки инцидент се прави преглед, констатациите се докладват на ръководството и се отразяват в оценката на риска. Именно този документиран цикъл е най-добрата защита както на дружеството, така и на хората, които го управляват.

автор: адвокат Жулиета Мандажиева, LL.M, Act Legal Bulgaria