skal jeg meddele et dataindtrængning til den kunde, hvis data det vedrører

Kontraktmæssigt normalt ja, lovmæssigt ikke automatisk til kunden

Normalt ja, men ikke fordi NIS2 foreskriver det sådan. Artikel 21, stk. 2 i direktivet forpligter til at rapportere en betydelig trussel eller hændelse til det nationale CSIRT eller den kompetente myndighed — ikke direkte til hver kunde. Rapporteringspligten over for kunden selv fremgår normalt af kontrakten eller databehandleraftalen, og denne er ofte strengere og hurtigere end det NIS2 kræver. Den, der kun ser på direktivet og ikke konsulterer sine egne kontrakter, går derfor glip af den pligt, der i praksis er mest afgørende.

For den kunde, der stiller spørgsmålet på en spørgeliste, drejer det sig normalt ikke om den lovmæssige rapporteringspligt, men om processen: har I en fast rutine til at genkende, vurdere og rapportere en hændelse, og fremgår det heraf, hvornår en kunde bliver informeret? Det er præcis hvad proceduren for sikkerhedsincidenter handler om, og de fleste lister spørger til eksistensen af denne procedure, ikke til enkelttilfælde. Har virksomheden ikke denne procedure dokumenteret, er "nej" her det ærlige svar — en tilsagn om, at en kunde altid bliver ringet op, kan ingen her udfylde for dig.

Hvad dette er baseret på: artikel 21, stk. 2 NIS2 og egen kontrakt

Artikel 21, stk. 2 i Direktiv (EU) 2022/2555 nævner de ti foranstaltninger, som en enhed skal træffe, herunder under i) en hændelseshåndteringsproces; rapporteringspligten over for en myndighed fremgår af artikel 23, ikke af stk. 2 selv, og vedrører CSIRT'en eller den kompetente myndighed. Bilag A til ISO/IEC 27001 indeholder en lignende styringskontrol for hændelsesstyring, herunder kommunikation til interessenter, men heller ikke dér er kunden automatisk standardmodtageren — det udfyldes af hver organisation. Den Cybersikkerhedslov, den danske omtolkning, der træder i kraft den 15. august 2026, følger den samme struktur. Den, der ønsker at vide, om egen virksomhed selv falder under disse regler, tjekker det hos spørgsmålet om virksomheden er en NIS2-enhed; rapporteringen til kunden selv forbliver under alle omstændigheder et spørgsmål om den gældende kontrakt.