клиентът иска да знае дали докладвам инциденти в рамките на 24 часа

24 часа е предупреждение, а не пълно докладване

Не, не в смисъла на пълен доклад за инцидента в рамките на 24 часа — но съществува задължение, което е много близко до това. Член 21, параграф 2 на Директива NIS2 задължава „важни въпросът дали предприятието само по себе си попада под NIS2.

Това, което клиентът обикновено иска да знае с този въпрос, не е дали ти отговаряш на законното задължение за докладване при надзорния орган, а дали го информираш достатъчно бързо, ако се случи нещо у теб, което засяга неговото предоставяне на услуги. Това е договорено условие, а не законна граница от самата директива — 24-те часа от NIS2 са задължение между организацията и надзорния орган, а не автоматично между доставчик и клиент. Ако имаш процедура за инцидент със собствени вътрешни срокове за докладване, това е доказателството, което обикновено се подхожда тук; тази процедура е описана при въпросът за процедура за инциденти в областта на киберсигурността. Ако нямаш установен срок, то „не

Където е записано в директивата: член 21, параграф 2

Поетапната задължение за докладване — ранно предупреждение в рамките на 24 часа, докладване в рамките на 72 часа, окончателен доклад — е предвидено в член 21 (2) на Директива (EU) 2022/2555, като част от десетте мерки, които са посочени там. Това задължение е насочено към връзката между субекта и компетентния контролен орган или CSIRT, а не към връзката между доставчика и купувача. Холандският Закон за киберсигурност преобразува тази директива в национално законодателство; кой точно попада под задължението за докладване и от кой момент следва от този закон, щом той влезе в сила.