клиентът пита колко бързо бихме им уведомили за нарушение на данни

Три известяване в рамките на 72 часа, не едно

Клиентът пита за срок за известяване, но член 21, параграф 2 на NIS2 не предвижда отделен срок — това е поредица от три момента. В рамките на 24 часа след установяването на значително инцидент се издава ранното предупреждение до компетентния орган или CSIRT. В рамките на 72 часа следва подробнено известяване с първоначална оценка на тежестта и въздействието. И в рамките на един месец след разрешаването следва окончателен доклад с причините, предприетите мерки и трансграничните ефекти. Ако въпросникът просто пита "в рамките на колко часа известявате за утечка на данни", отговорът всъщност е троен, и можете да го попълните така: не едно число, а трите етапа със своите собствени срокове.

Важна подробност: тези срокове се отнасят до субекти, които сами са обхванати от ръководството, и задължението за известяване е към собственото надзорно лице — не автоматично към клиента, който подава въпросника. Дали самото предприятие е такъв обхванат субект, зависи от сектор и размер; това е описано при е ли предприятието само под NIS2-директивата или национално прилагане на нея. Това, което клиентът обикновено иска да знае, е дали съществува вътрешна процедура, която може да постигне такива срокове — това е различно от законовото задължение за известяване към органите на власт и се обработва отделно при има ли процедура за обработка на инциденти по безопасност.

Където се намира това в ръководството: член 21, параграф 2, точка b

Трите момента на известяване — 24 часа, 72 часа, един месец — следват право от член 21, параграф 2, буква b на Директива (EU) 2022/2555. Холандския закон за киберсигурност транспонира това задължение в национално право и влиза в сила на 15 август 2026 г.; до тогава ръководството само е източник, след това текстът на закона, както е публикуван на wetten.overheid.nl.