kunde vil vide, om jeg melder hændelser inden for 24 timer

24 timer er en advarsel, ikke en fuldstændig indberetning

Nej, ikke i betydningen en fuldstændig incidentrapport inden for 24 timer — men der er dog en forpligtelse, der ligger tæt på. Artikel 21, stk. 2 i NIS2-direktivet forpligter "vigtige" og "væsentlige" enheder til at indberette betydelige hændelser i faser: en tidlig advarsel inden for 24 timer, efterfulgt af en fuldstændig indberetning inden for 72 timer, og en endelig rapport senere. Denne forpligtelse gælder direkte for den enhed, der falder ind under NIS2 — det er som regel den kunde, der sender spørgeskemaet, ikke automatisk den leverandør, der udfylder det. Om den 24-timers forpligtelse også påhviler din egen virksomhed, afhænger af, om du selv som enhed falder ind under direktivet; det er beskrevet under hvorvidt virksomheden selv falder ind under NIS2.

Hvad en kunde normalt ønsker at vide med dette spørgsmål, er ikke, om du opfylder den juridiske indberetningspligt over for en tilsynsmyndighed, men om du informerer ham tilstrækkeligt hurtigt, hvis der sker noget hos dig, der påvirker hans tjenesteydelse. Det er en kontraktuel aftale, ikke en juridisk frist fra direktivet selv — de 24 timer fra NIS2 er en forpligtelse mellem enhed og tilsynsmyndighed, ikke automatisk mellem leverandør og kunde. Hvis du har en incidentprocedure med dine egne interne indberetningsfrister, er det det bevisstykke, der normalt hører til her; denne procedure er beskrevet under spørgsmålet om en procedure for sikkerhedshændelser. Hvis du ikke har en fastsat frist, er "nej" med en kort forklaring mere ærligt end et "ja", du ikke kan underbygge.

Hvor det fremgår af direktivet: artikel 21, stk. 2

Den faseopdelte indberetningspligt — tidlig advarsel inden for 24 timer, indberetning inden for 72 timer, endelig rapport — fremgår af artikel 21, stk. 2 i Direktiv (EU) 2022/2555, som en del af de ti foranstaltninger, der er opført der. Denne forpligtelse sigter mod forholdet mellem enheden og den kompetente tilsynsmyndighed eller CSIRT, ikke forholdet mellem leverandør og kunde. Den hollandske cybersikkerhedslov implementerer dette direktiv i national lovgivning; hvem der præcist falder ind under indberetningspligten, og fra hvilket tidspunkt, følger af denne lov, når den træder i kraft.