въпросникът пита как бихме докладвали нарушение на данни на тях

Този въпрос отнася мнение за процедура на докладване, а не за задължение за докладване пред надзорен орган

Клиентът пита тук как функционира вашият процес за управление на инциденти, а не дали сте някога докладвали на Управление по защита на личните данни за нарушение на данни. Исканият отговор е описание на процеса: как разпознавате инцидент в сигурността, кой се уведомява вътрешно, в какъв период клиентът получава уведомление и по какъв канал. Това е именно което трябва да попада под процедурата за инциденти в областта на сигурността е трябва да попада под, ако вече сте установили политика за това.

Ако имате такъв установен процес, отговорът обикновено е "да": имате процедура, назначено лице и договорено времево ограничение за уведомяване на клиентите, чиито данни или системи могат да бъдат засегнати. Ако този процес липсва или съществува само устно, тогава "не" или "частично" е фактически правилният отговор — обещание, че ще го правите "отсега нататък" не е отговор за днес. Обратете внимание и на връзката с доставчици: ако инцидентът възникне при трета страна, която работи за вас, това засяга изискванията, които поставяте пред вашите собствени доставчици, и някои въпросници питат за това отделно.

Защо това попада под член 21 параграф 2

Процедурите за докладване на инциденти са част от десетте мерки на член 21, параграф 2 на Директива NIS2 (Директива (EU) 2022/2555); буква b специално споменава управлението на инциденти. В Закона за кибербезопасност, холандския превод, който влиза в сила на 15 август 2026 г., същото задължение се повтаря за субекти, които попадат под този закон. ISO/IEC 27001 изисква подобна документация в Приложение A, под контролните мерки за управление на инциденти. Кой от трите се прилага за вас, зависи от това дали вашето предприятие самото попада под един от тези регламенти — това е друг въпрос от този.