Īsi: IT drošība pieder pie uzņēmuma vadības uzdevumiem. Vadītāju atbildība par IT drošības nepilnībām tiek apspriesta galvenokārt tad, ja zināmi riski nav pienācīgi apstrādāti, atbildības nav noregulētas vai lēmumi nav pieņemti izsekojami. Tādās situācijās kā PHP2Shell palīdz skaidrs, dokumentēts lēmums, kas balstīts uz pieejamajiem faktiem. Šī lapa ir vispārīga informācija, nevis juridiska konsultācija.
Nav juridiska konsultācija: atbildības jautājumi stipri atkarīgi no konkrētā gadījuma, uzņēmējdarbības formas un līgumiskajiem regulējumiem. Konkrētus jautājumus lieciet novērtēt advokātam, kas specializējas uzņēmējtiesībās.
Vadītāju atbildība un IT drošība: vispārīgais ietvars
GmbH (sabiedrības ar ierobežotu atbildību) vadītājiem GmbHG (Vācijas likums par sabiedrībām ar ierobežotu atbildību) 43. paragrāfs prasa kārtīga uzņēmēja rūpību. Akciju sabiedrības valdes locekļiem salīdzināms noteikums ir AktG (Vācijas akciju likums) 93. paragrāfā; AktG 91. paragrāfa 2. punkts papildus prasa piemērotus pasākumus, lai agri atpazītu pastāvēšanai draudošas norises. No šiem vispārīgajiem pienākumiem speciālistu diskusijā tiek secināts, ka arī IT riski jāpārvalda pienācīgi.
Uzņēmējdarbības lēmumiem pastāv izvērtēšanas rezerve. Kas lemj, balstoties uz pienācīgu informāciju un sabiedrības labā, saskaņā ar tā saukto Business Judgment Rule parasti rīkojas pienācīgi, pat ja lēmums vēlāk izrādās nelabvēlīgs. No tā izriet praktisks secinājums: izšķiroša bieži ir ne tik daudz rezultāta, cik tas, vai lēmums pieņemts informēti un izsekojami.
Ko NIS2 pievieno
Uzņēmumiem, uz kuriem attiecas NIS2, vadības atbildība tiek regulēta skaidri. Vadībai jāapstiprina riska pārvaldības pasākumi, jāuzrauga to īstenošana un jāapmeklē apmācības kiberdrošībā. Vācijā transponēšana notiek ar NIS2UmsuCG (Vācijas likums). Vai jūsu uzņēmums ir skarts un kādi pienākumi konkrēti ir spēkā, skatiet BSI (Vācijas Federālais informācijas drošības birojs) norādēs. Vispārīgu pārskatu sniedz NIS2 un tīmekļa serveru drošība.
Klāt nāk datu aizsardzības pienākumi. Saskaņā ar VDAR uzņēmumam jāveic piemēroti tehniski un organizatoriski pasākumi un personas datu aizsardzības pārkāpumi jānovērtē, jādokumentē un vajadzības gadījumā jāpaziņo saskaņā ar 33. pantu.
Ko tāda situācija kā PHP2Shell prasa no vadības
PHP2Shell ietver divas kritiskas ievainojamības pašā PHP (CVE-2026-109618 un CVE-2026-109619, katra CVSS v4.0 9.2). BSI ir izsludinājis 3. brīdinājuma līmeni (oranžs) un iesaka nekavējoties atjaunināt un, ja tas nav iespējams, tīmekļa serverus uz laiku atvienot no tīkla. Vadībai tā rodas tipiska izvērtēšana: apgrozījums un pieejamība pret augstu, publiski zināmu risku.
Neviens neprasa, lai vadītāji paši ielāpotu serverus. Taču var sagaidīt, ka viņi situāciju ņem vērā, noskaidro atbildības, liek sev ziņot un pieņem lēmumu. Jautājumi, kas vadībai jāuzdod sev:
- Kuras mūsu sistēmas izmanto PHP un kas par tām atbild, iekšēji vai pie pakalpojumu sniedzēja?
- Vai atjauninājumi ir ieinstalēti un procesi pārstartēti, un vai tam ir pierādījums?
- Ja nē: kāpēc ne, kādi pagaidu pasākumi darbojas un vai sistēmu atvienojam no tīkla?
- Vai ir norādes uz ielaušanos un kas novērtē iespējamos ziņošanas pienākumus?
Lēmumu dokumentēšana
Situācijas ainu, iespējas, lēmumu un pamatojumu īsi fiksējiet rakstiski ar datumu un laiku. Šādam protokolam nav jābūt garam. Tas vēlāk parāda, ka vadība bija informēta un izvērtēja. Tas skaidri attiecas arī uz lēmumu ierobežotu laiku turpināt darbināt sistēmu, neraugoties uz risku.
| Saturs | Piemērs |
|---|---|
| Situācijas aina | BSI 3. brīdinājuma līmenis, ielāpi pieejami kopš 2026-10-21 |
| Skartās sistēmas | Veikals, klientu portāls, iekšējā viki instalācija |
| Iespējas | nekavējoties ielāpot, pagaidu pasākumi, atvienot no tīkla |
| Lēmums | Veikals ielāpots, viki bez savienojuma līdz atjauninājumam |
| Pamatojums un atbildīgie | Pierādījums no pakalpojumu sniedzēja, kontrole IT vadītājam |
Ielāps nenoņem jau ievadītu ļaunprātīgu programmatūru. Arī lēmums par to, vai tiek meklētas pēdas, jāiekļauj protokolā.
Organizēt ilgtermiņā, nevis improvizēt nopietnā gadījumā
Labākā sagatavotība ir skaidra organizācija: nozīmēts atbildīgais par informācijas drošību, procedūra drošības atjauninājumiem, regulāri ziņojumi vadībai, pārbaudīts IT ārkārtas plāns un neatkarīga pārbaude saprātīgos intervālos. Kā metodisku ietvaru der izmantot BSI IT-Grundschutz.
Pie organizācijas pieder arī ziņojumu veidošana tā, lai vadība tos saprot. Bieži pietiek ar īsu, regulāru ziņojumu ar dažām norādēm: cik sistēmu ir aktuālā stāvoklī, kur ir izņēmumi un kāpēc, kādi incidenti vai gandrīz incidenti bijuši, kādi lēmumi gaida. Kas šādus ziņojumus pieņem, uzdod jautājumus un fiksē rezultātus, tas vēlāk var pierādīt, ka uzraudzība patiešām notikusi. Tas attiecas neatkarīgi no tā, vai tehnika atrodas uzņēmumā vai pie pakalpojumu sniedzēja.
Kā PHP SOS palīdz konkrēti?
- Mēs sagatavojam saprotamu jūsu tīmekļa serveru situācijas ainu uzņēmuma vadībai ar skaidrām iespējām.
- Mēs īstenojam izvēlēto iespēju un sniedzam rakstisku tehnisko pierādījumu.
- Ar drošības auditu vai penetrācijas testu mēs radām neatkarīgu pamatu jūsu lēmumiem.
- Ar drošības uzturēšanas līgumu mēs ilgtermiņā noregulējam atjauninājumus un ziņojumus.
Biežāk uzdotie jautājumi
Vai vadītājs personiski atbild par hakeru uzbrukumu?
Uzbrukums vien personisko atbildību nerada. Par atbildību runā galvenokārt tad, ja ir pārkāpti rūpības pienākumi, piemēram, ja zināmi riski ignorēti vai atbildības nav noregulētas. Vai tā ir konkrētā gadījumā, var novērtēt tikai juridiska konsultācija.
Vai IT drošību varu pilnībā nodot IT nodaļai vai pakalpojumu sniedzējam?
Uzdevumus var deleģēt, taču atbildība par izvēli, aprīkojumu un uzraudzību paliek vadībai. Liekiet sev regulāri ziņot un fiksējiet, kādi lēmumi pieņemti uz kāda pamata.
Ko NIS2 maina vadības atbildībā?
NIS2 skarto uzņēmumu vadībai liek apstiprināt riska pārvaldības pasākumus, uzraudzīt to īstenošanu un piedalīties apmācībās. Detaļas izriet no Vācijas transponēšanas likuma un BSI norādēm.
Vai palīdz D&O apdrošināšana?
Vadības civiltiesiskās atbildības apdrošināšana (D&O) var segt noteiktus vadības atbildības riskus, taču noteikumi stipri atšķiras. Aptvērumu noskaidrojiet ar savu brokeri vai apdrošinātāju.