skal vi informere vores kunde, hvis der har været et datalek

Normalt ja, hvis hændelsen påvirker den tjeneste, vi leverer til kunden

I de fleste tilfælde skal du indberette en hændelse til din kunde, men ikke hver hændelse og ikke til alle. Artikel 21, stk. 2 i NIS2-direktivet nævner "hændelseshåndtering" som en af de ti obligatoriske foranstaltninger, og de fleste kundespørgeskemaer oversætter det til: har I en proces til at indberette hændelser, til hvem, og inden for hvilken tidsfrist. Det er noget helt tredje end en lovpligtig indberetning til en tilsynsmyndighed — dit kundes spørgsmål handler om den kontraktuelle eller operationelle aftale mellem jer og dem, ikke om den indberetningspligt, som Cybersikkerhedsloven snart pålægger visse enheder.

Et dataindgreb, der kun påvirker dine egne interne systemer og ikke påvirker nogle data eller tjenester, som er relevante for den kunde, falder ofte uden for aftalen. Så snart hændelsen påvirker data, systemer eller leveringer, som er relevante for den kunde, ligger indberetning for hånden — normalt inden for den frist, der er fastsat i kontrakten eller databehandleraftalen, ikke inden for en frist, som vi kan angive her. Kontroller derfor først, hvad der er aftalt i din egen aftale med den kunde, da det går forud for et generelt svar i et spørgeskema.

Hvad dokumentationen er, og hvad du svarer uden procedure

Det grundlæggende bevis er proceduren for håndtering af sikkerhedshændelser: heri fremgår det, hvem der internt beslutter, om noget skal indberettes, til hvem, og inden for hvilken tidsfrist. Hvis du ikke har dokumenteret denne proces, er "nej" det faktisk korrekte svar — et ja uden dokumentation holder ikke stik ved en revision. Kunder, der stiller dette spørgsmål, spørger ofte også på samme liste efter politik for risikovurdering og sikring af informationssystemer, fordi hændelseshåndtering i artikel 21, stk. 2 NIS2 og i Annex A til ISO/IEC 27001 ses som en sammenhængende del af sikkerhedspolitikken, ikke som en isoleret proces.