musíme informovat našeho zákazníka, pokud došlo k úniku dat

Obvykle ano, pokud incident ovlivňuje službu pro tohoto klienta

Ve většině případů musíte incident hlásit svému klientovi, ale ne každý incident a ne každému. Článek 21 odstavec 2 Směrnice NIS2 uvádí "řešení incidentů" jako jedno z deseti povinných opatření, a většina seznamů dotazů od klientů to překládá do následujících otázek: máte proces na hlášení incidentů, komu a v jaké lhůtě. Jedná se o něco jiného než o právní povinnost hlásit dohledovacímu orgánu — otázka vašeho klienta se týká smluvní nebo operační dohody mezi vámi a ním, nikoli povinnosti hlášení, kterou vám brzy nařídí Zákon o kybernetické bezpečnosti.

Únik dat, který se týká pouze vašich vlastních interních systémů a nezasahuje žádná data nebo služby relevantní pro tohoto klienta, často spadá mimo tuto dohodu. Jakmile incident zasáhne data, systémy nebo dodávky relevantní pro tohoto klienta, je hlášení samozřejmé — často v lhůtě, která je uvedena ve vaší smlouvě nebo smlouvě o zpracování, nikoli v lhůtě, kterou bychom mohli zde uvést. Nejdříve si proto ověřte, co je dojednáno ve vaší vlastní smlouvě s tímto klientem, protože to má přednost před obecnou odpovědí v seznamu dotazů.

Jaký je důkazní dokument a jak odpovídáte bez postupu

Základním důkazem je postupem pro řešení bezpečnostních incidentů: v něm je uvedeno, kdo interně rozhoduje, zda má být něco hlášeno, komu a v jaké lhůtě. Pokud jste tento postup nezdokumentovali, pak je "ne" fakticky správná odpověď — ano bez dokumentu se neobstojí při auditu. Klienti, kteří si tuto otázku kladou, si v témže seznamu často kladou také otázku na politiky analýzy rizik a bezpečnosti informačních systémů, protože řešení incidentů v článku 21 odstavec 2 NIS2 a v Příloze A normy ISO/IEC 27001 je považováno za související součást bezpečnostní politiky, nikoli za samostatný proces.