दफ़्तरों और संस्थानों के लिए साइबर कानून: अधिकारियों की जवाबदेही और तैयारी

दफ़्तरों, कॉलेजों, विश्वविद्यालयों, स्कूलों और अस्पतालों पर होने वाला हर साइबर हमला (cyber incident) अब एक कानूनी मामला है, जिसकी समय-सीमा और व्यक्तिगत जवाबदेही तय है। CERT-In के निर्देशों के अनुसार कई तरह की साइबर घटनाओं की सूचना 6 घंटे के भीतर देनी होती है; 13 मई 2027 से डेटा सुरक्षा (DPDP) कानून की मुख्य जिम्मेदारियाँ लागू होंगी, जिनमें ₹250 करोड़ तक का जुर्माना है; और IT Act की धारा 85 के तहत संस्था के प्रभारी अधिकारी तब तक दोषी माने जाते हैं, जब तक वे यह साबित न करें कि उन्होंने पूरी सावधानी (due diligence) बरती थी।

डिजिटल अरेस्ट और फ़िशिंग: दफ़्तर तक कैसे पहुँचते हैं

डिजिटल अरेस्ट. किसी वरिष्ठ प्रोफ़ेसर को वीडियो कॉल पर वर्दी में एक व्यक्ति खुद को CBI अधिकारी बताकर “डिजिटल अरेस्ट” घोषित करता है और “जाँच” के लिए पैसा माँगता है। कानून में “डिजिटल अरेस्ट” नाम की कोई चीज़ नहीं है। यह लोक सेवक का रूप धारण करना (BNS धारा 204), भय दिखाकर उगाही (extortion, BNS धारा 308) और छद्म रूप से ठगी (BNS धारा 319; IT Act धारा 66D) है।

फ़िशिंग (phishing). बैंक या विभाग जैसा दिखने वाला ईमेल, जिसका लिंक नकली लॉगिन पेज पर पासवर्ड ले लेता है: नकली पेज धारा 66D, चुराए पासवर्ड का इस्तेमाल धारा 66C।

बचाव. ठगी डर, अधिकार, अकेलेपन और जल्दबाज़ी पर टिकी है। किसी सहकर्मी को तुरंत बता दें।

वेंडर बैंक-बदलाव ठगी (vendor bank-change fraud)

लखनऊ के एक संस्थान के लेखाधिकारी को सप्लायर के नाम से ईमेल आता है: “हमारा बैंक खाता बदल गया है।” ईमेल हैक हुए मेलबॉक्स से (IT Act धारा 43 और 66) या मिलते-जुलते पते से (धारा 66C और 66D) आता है; दोनों में BNS धारा 318 की ठगी है।

ठग को किया गया भुगतान सामान्यतः असली सप्लायर का कर्ज़ नहीं चुकाता, इसलिए संस्था को दोबारा भुगतान करना पड़ सकता है।

दो मिनट का बचाव:

• बैंक विवरण में बदलाव केवल सप्लायर के लेटरहेड पर हस्ताक्षरित अनुरोध पर स्वीकार करें।
• वेंडर फ़ाइल में पहले से दर्ज नंबर पर कॉल करके पुष्टि करें (call-back), नए ईमेल में दिए नंबर पर कभी नहीं।
• बदले हुए खाते में पहले भुगतान से पहले वरिष्ठ अधिकारी की स्वीकृति लें।

कुलपति या निदेशक की फ़ोटो वाले WhatsApp गिफ़्ट कार्ड संदेशों के लिए लिखित स्थायी निर्देश (standing instruction) जारी करें: आधिकारिक नंबर पर पुष्टि के बिना कोई भुगतान नहीं, और पुष्टि अनुशासनहीनता नहीं।

CERT-In: 6 घंटे का नियम

CERT-In ने IT Act की धारा 70B(6) के तहत 28 अप्रैल 2022 को निर्देश जारी किए, जो 27 जून 2022 से लागू हैं। ये सेवा प्रदाताओं, इंटरमीडियरी, डेटा सेंटर, बॉडी कॉर्पोरेट और सरकारी संगठनों पर लागू होते हैं। मुख्य बातें:

• रैनसमवेयर (ransomware), अनधिकृत पहुँच, डेटा लीक, फ़िशिंग, वेबसाइट से छेड़छाड़ जैसी सूचीबद्ध घटनाओं की सूचना, पता चलने के 6 घंटे के भीतर।
• सभी ICT सिस्टम के लॉग 180 दिन तक भारत में सुरक्षित रखना।

सही क्रम: अलग करें (isolate), लॉग सुरक्षित करें, रिपोर्ट करें, फिर बहाल करें (restore)। फिरौती (ransom) न दें।

डेटा सुरक्षा: आज और 13 मई 2027 से

आज का कानून. IT Act धारा 43A: संवेदनशील व्यक्तिगत डेटा (sensitive personal data) में सुरक्षा की लापरवाही से नुकसान होने पर बॉडी कॉर्पोरेट मुआवज़ा देती है; ₹5 करोड़ तक के दावे धारा 46 के Adjudicating Officer के पास। अनुबंध के तहत काम करने वाला वेंडर यदि डेटा बिना सहमति के उजागर करे, तो धारा 72A के तहत 3 वर्ष तक कारावास, या ₹5 लाख तक जुर्माना, या दोनों।

13 मई 2027 से. Digital Personal Data Protection Act, 2023 और DPDP Rules, 2025 की मुख्य जिम्मेदारियाँ लागू होंगी, और उसी दिन DPDP Act की धारा 44(2) से IT Act की धारा 43A हट जाएगी। यह कानून सरकारी निकायों पर भी लागू है, जब तक विशेष छूट न हो।

• उचित सुरक्षा उपाय (reasonable security safeguards) न करने पर ₹250 करोड़ तक जुर्माना।
• डेटा उल्लंघन (data breach) की सूचना Data Protection Board और हर प्रभावित व्यक्ति को देनी होगी; सूचना न देने या बच्चों के डेटा संबंधी दायित्व तोड़ने पर ₹200 करोड़ तक।
• 18 वर्ष से कम आयु के विद्यार्थियों का डेटा लेने के लिए माता-पिता या अभिभावक की सत्यापन योग्य सहमति।

उदाहरण: हॉस्टल छात्रों के पते वाली स्प्रेडशीट “anyone with the link” पर साझा होकर फ़ॉरवर्ड हो गई। हैकर की ज़रूरत नहीं पड़ी।

धारा 85: अधिकारियों की व्यक्तिगत जवाबदेही

IT Act धारा 85: जहाँ IT Act का अपराध किसी कंपनी (बॉडी कॉर्पोरेट, फ़र्म या व्यक्तियों का संघ भी) द्वारा हो, वहाँ कामकाज का प्रभारी हर व्यक्ति दोषी माना जाता है, जब तक वह साबित न करे कि अपराध उसकी जानकारी के बिना हुआ या उसने पूरी सावधानी बरती। जिनकी सहमति, मिलीभगत या लापरवाही से अपराध हुआ, वे भी उत्तरदायी हैं।

Due diligence फ़ाइल में रखा रिकॉर्ड है: निर्देश, प्रशिक्षण, समय पर रिपोर्ट, सुरक्षा शर्तों वाला अनुबंध।

8-बिंदु तैयारी योजना

1. भुगतान सत्यापन: बैंक-बदलाव पर call-back और वरिष्ठ स्वीकृति।
2. नकली पहचान पर स्थायी निर्देश।
3. साइबर घटना प्रक्रिया: एक नोडल अधिकारी, एक रिपोर्टिंग चैनल, CERT-In को 6 घंटे में सूचना, 180 दिन के लॉग।
4. अनुबंध की शर्तें: गोपनीयता, डेटा सुरक्षा, उल्लंघन की सूचना, बैंक-बदलाव प्रक्रिया।
5. 13 मई 2027 से पहले DPDP तैयारी: कौन सा डेटा, क्यों, कब तक, किसकी सहमति से।
6. बौद्धिक संपदा नीति (IP policy) स्पष्ट।
7. छात्र सुरक्षा प्रोटोकॉल: गोपनीय संपर्क व्यक्ति, वार्डन के लिए लिखित मार्गदर्शन, और नाबालिग के मामले में POCSO धारा 19 के तहत पुलिस या SJPU को सूचना।
8. दर्ज की गई सावधानी: सब कुछ फ़ाइल में।

अक्सर पूछे जाने वाले प्रश्न

क्या CERT-In का 6 घंटे का नियम सरकारी दफ़्तरों पर लागू है?

हाँ। निर्देश स्पष्ट रूप से सरकारी संगठनों पर भी लागू होते हैं।

क्या DPDP Act अभी से लागू है?

Board से जुड़े प्रावधान लागू हैं; मुख्य जिम्मेदारियाँ 13 मई 2027 से। तब तक IT Act धारा 43A और 72A लागू हैं।

ठगी में पैसा चला गया, पहले FIR करें या 1930?

पहले 1930 और cybercrime.gov.in, ताकि पैसा रास्ते में रोका जा सके। FIR (BNSS धारा 173) बाद में भी हो सकती है।

त्वरित क्विज़

अधिकारियों, प्रशासकों, लेखा, HR और IT स्टाफ़ के लिए (अंग्रेज़ी में): Cyber Crime Law for Offices and Institutions, ₹599। यह पूर्णता प्रमाणपत्र है, कोई पेशेवर योग्यता नहीं।

स्रोत

• सूचना प्रौद्योगिकी अधिनियम, 2000 (Information Technology Act, 2000): धारा 43, 43A, 46, 66, 66C, 66D, 70B(6), 70B(7), 72A, 85
• CERT-In निर्देश, 28 अप्रैल 2022 (IT Act धारा 70B(6) के तहत)
• डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम, 2023 (Digital Personal Data Protection Act, 2023): धारा 8, 44(2); DPDP Rules, 2025
• भारतीय न्याय संहिता, 2023 (Bharatiya Nyaya Sanhita, 2023): धारा 204, 308, 318, 319
• भारतीय नागरिक सुरक्षा संहिता, 2023: धारा 173
• लैंगिक अपराधों से बालकों का संरक्षण अधिनियम, 2012 (POCSO Act): धारा 19

यह पेज केवल शिक्षा और सामान्य जानकारी के लिए है, किसी विशेष मामले के लिए कानूनी सलाह नहीं। कानून 29 अक्टूबर 2026 की स्थिति के अनुसार।