musím nahlásit hack nebo únik dat svému zadavateli

Hlášení zákazníkovi je zpravidla smluvní, nikoli zákonné

Oznamovací povinnost v případě kybernetického incidentu se ve většině případů nachází v kontraktu s vaším zákazníkem, nikoli přímo v zákoně. Článek 21 odst. 2 směrnice NIS2 zavazuje organizace, které samy na ni podléhají, k reakci na incidenty a k hlášení svému vlastnímu dohledovacímu orgánu — jedná se o seznam deseti opatření, které se v téměř každém dotazníku opakují. Tato oznamovací povinnost vůči dohledovacímu orgánu se liší od oznamovací povinnosti vůči zákazníkovi. To, zda musíte incident hlásit své objednávající straně, závisí tedy na tom, co je uvedeno ve smlouvě o zpracování nebo smlouvě o dodávce, a na tom, zda váš zákazník sám podléhá směrnici NIS2 a je tedy závislý na vašem hlášení, aby měl své vlastní dodavatelské řetězce v pořádku.

V praxi se v dotazníku neobjevuje otázka "měl jste incident", ale zda existuje postup pro rozpoznání, vyhodnocení a hlášení incidentů — to je přesně to, na co se zaměřuje otázce na postup v případě bezpečnostních incidentů cílů. Pokud máte tento postup, můžete na tuto otázku odpovědět kladně bez nutnosti informovat o jakémkoli konkrétním incidentu a kdy k němu došlo. Tato poslední informace zůstává samostatnou, smluvní otázkou, která se může lišit podle jednotlivých zákazníků.

Na čem se to zakládá: Zákon o kybernetické bezpečnosti a Příloha A

Zákon o kybernetické bezpečnosti, nizozemská transpozice NIS2, která vstoupí v platnost 15. srpna 2026, stanoví oznamovací povinnost regulačnímu orgánu pro subjekty, na které se zákon vztahuje — to, zda se na váš podnik vztahuje, je otázka, která se také vrací k zda podnik sám spadá pod směrnici NIS2. ISO/IEC 27001 Příloha A to implementuje interně jako kontrolní opatření pro řízení incidentů, oddělené od jakékoli oznamovací povinnosti vůči externí straně. Smluvní oznamovací povinnost vůči zákazníkovi tedy stojí vedle, nikoli místo, těchto právních a normativních rámců.