Как отговарям на въпроса относно нашата процедура за докладване при нарушение на данни

Самата процедура за докладване, не нарушението на данни

Въпросът е за вашия вътрешен процес, а не дали е имало нарушение преди. Клиентът иска да знае дали съществува установена процедура за управление на инциденти в областта на сигурността: кой докладва за съмнение, на кого, в какъв период се прави преход към по-висока степен, и кой решава дали да се информира надзорен орган или засегнатите лица. Това е същата процедура, към която се обръщат при процедурата за инциденти в областта на сигурността — нарушението на данни е на практика конкретен тип инцидент в рамките на този процес, не отделен документ.

Ако имате такава процедура, "да" може да се обоснове със самия документ: план със стъпки, отговорна длъжност (често security officer или DPO), и регистър на предишни докладвания като доказателство, че процесът работи. Ако липсва установена процедура, но съществува неформална комуникационна линия ("позвони на собственика"), то това обикновено не е достатъчно за "да" — досието няма източник, на който да се опира, и системата в този случай не предлага никакъв отговор. Някои клиенти питат също дали вие самите попадате под задължение за докладване; това е различен въпрос от самата процедура и може да се проследи чрез статутът като субект на NIS2.

Защо това попада под член 21 параграф 2

Член 21 параграф 2 на Директивата NIS2 посочва "управлението на инциденти" като един от десетте задължителни мерки, а процедурата за докладване на нарушения на данни е неговото приложение спрямо личните данни. ISO/IEC 27001 Приложение A го разработва по-нататък в контролните мерки около управлението на инциденти, което обяснява защо клиенти с въпрос по ISO често приемат същата процедура като доказателство. Законът за киберсигурност, холандския преход, влиза в сила на 15 август 2026 г. и установява това задължение и национално за субектите, които попадат под него.