Instructure/Canvas gagnabrot - Afleiðingar fyrir upplýsingatæknibirgja

Instructure/Canvas gagnabrot og NIS2/lög um netöryggi – Afleiðingar fyrir upplýsingatæknibirgja

Hvað gerðist?

Hinn 2. maí 2026 staðfesti Instructure öryggisatvik í Canvas, þar sem upplýsingar nemenda, þar á meðal nöfn, tölvupóstföng, auðkenni nemenda og skilaboð, gætu hafa orðið óvarin. Alls urðu 31 sænsk háskólastofnun fyrir áhrifum, sem allar nota Canvas sem er afhent í gegnum SUNET.

Hver ber ábyrgðina?

Þrír aðilar koma við sögu: Instructure (hugbúnaðarveitan), SUNET (sænskur milliliður og innkaupastaður) og háskólarnir (endaneytendur). Samkvæmt lögum um netöryggi ber SUNET mesta ábyrgð í Svíþjóð:

Ábyrgð á birgðakeðju. Lög um netöryggi krefjast þess að stofnanir setji öryggiskröfur á birgja og undirverktaka sem veita stafræna þjónustu. SUNET gæti verið skoðað með tilliti til þess hvort samningur þess við Instructure innihélt fullnægjandi kröfur.

Tilkynning um atvik. Ef um mikið atvik er að ræða verður rekstraraðili að senda snemmbúna viðvörun innan 24 klukkustunda, ítarlegri tilkynningu innan 72 klukkustunda, framgangsskýrslu ef atvikið er enn í gangi og loks lokaskýrslu.

Refsingar. Stjórnendum er hægt að refsa persónulega fyrir annmarka og stofnunin á hættu á verulegum fjárhagslegum sektum miðað við alþjóðlega veltu.

MSP-ingar og mikilvægir upplýsingatæknibirgjar standa frammi fyrir nákvæmlega sömu áhættu

Þetta er ekki bara vandamál SUNET. Sem MSP eða upplýsingatæknibirgir til hins opinbera; skóla, sveitarfélaga, svæða, ríkisstofnana. þú ert í nákvæmlega sömu stöðu. Þú ert hlekkurinn milli undirliggjandi vettvangs og endaneytanda sem fellur undir lögin.

Og hér er það sem ætti virkilega að vekja athygli: brotið átti sér ekki stað í sænsku háskólunum, það átti sér stað hjá birgja þeirra í Bandaríkjunum.

Samt eru það sænskir aðilar í keðjunni sem bera tilkynningarskyldur, sæta eftirliti og eiga á hættu refsingar. Sem mikilvægur upplýsingatæknibirgir getur þú staðið frammi fyrir háum sektum fyrir öryggisbrest annarra, ef þú hefur ekki:

• Skjalfestar öryggiskröfur á undirverktaka í samningum
• Atvikslausnaráætlun með ströngum tímaramma (24/72 klukkustundir) innbyggðum
• Ferli til að stöðugt fylgjast með og fylgja eftir öryggisstöðu birgja þinna

Rekstraraðilar verða einnig að bera kennsl á sig sjálfir að þeir falla undir og skrá sig hjá sænska almannavarnarstofnuninni. Engin yfirvöld munu koma banka. Ef þetta eina skref er sleppt getur það ein og sér kallað fram eftirlitsaðgerðir.

Sektirnar eru ekki táknrænar: fyrir mikilvægar einingar geta refsingar náð 10 milljónum evra eða 2% af árlegri alþjóðlegri veltu. Fyrir mikilvægar einingar er hámarkið 7 milljónir evra eða 1,4%. Canvas-málið er áþreifanleg mynd af því hvernig reglugerðin virkar í reynd, og önnur vakningarhringing fyrir alla sænska upplýsingatækniðnaðinn.