dotazník se ptá, zda jsme hlásili incidenty regulačnímu orgánu

Oznamovací povinnost platí pouze v případě, že sami podléháte NIS2

Tato otázka je relevantní pouze v případě, že vaše podnik je sám entitou NIS2 — podstatnou nebo důležitou. Pokud tam nepatříte, odpověď bývá obvykle "neuplatnitelné" a můžete to také takto poznamenat s krátkou poznámkou. Máte-li pochybnosti o tomto stavu, je třeba jej nejprve objasnit prostřednictvím zda společnost spadá pod směrnici NIS2 — odpověď na tuto otázku na tom přímo závisí.

Pokud podléháte NIS2, otázka se točí kolem toho, zda jste incidenty splňující kritéria hlášení skutečně nahlásili CSIRT nebo příslušnému orgánu dohledu v souladu s platnými lhůtami (první hlášení, mezihlášení, závěrečná zpráva). Pokud jste tak učinili, "ano" lze podpořit potvrzením o hlášení nebo registrem incidentů jako důkazem. Pokud jste v požadovaném období prostě neměli hlásitelný incident, "ne" je fakticky správná odpověď — to není nedostatek a můžete to také vysvětlit v textovém poli. Problematické to je pouze v případě, že incident byl, splňoval kritéria, a nebyla učiněna žádná hlášení; to je skutečnost, kterou váš spis musí prostě odrážet, ne něco, co by se mělo jinak formulovat. Tato otázka ostatně souvisí s postupem pro řešení bezpečnostních incidentů: bez fungujícího postupu obvykle není ani uzavřený proces hlášení.

Odkud to vychází: článek 21 odst. 2 písm. b a Zákon o kybernetické bezpečnosti

Oznamovací povinnost sama není v článku 21 odst. 2 — tento článek popisuje deset opatření, včetně písm. b řízení incidentů jako bezpečnostního opatření. Vlastní oznamovací povinnost s termíny je upravena odděleně v směrnici a pro Nizozemsko je transponována v Zákoně o kybernetické bezpečnosti, který nabývá účinnosti 15. srpna 2026. Do tohoto data neexistuje v Nizozemsku žádná zákonná oznamovací povinnost na základě NIS2; to, co zákazník v dotazníku nyní již často hledá, je obvykle předstihem vytvořená povinnost nebo otázka ISO 27001 na registraci incidentů v příloze A.