kunde spørger, hvor hurtigt vi ville meddele dem om et datalæk

Tre anmeldingstidspunkter inden for 72 timer, ikke ét

Kunden spørger efter en anmeldelssfrist, men artikel 21, stk. 2 i NIS2 har ingen enkelt frist — det er en serie af tre tidspunkter. Inden for 24 timer efter opdagelsen af en betydelig hændelse sendes en tidlig advarsel til den kompetente myndighed eller CSIRT. Inden for 72 timer følger en mere omfattende anmeldelse med en første vurdering af alvor og påvirkning. Og inden for en måned efter afslutningen følger en slutrapport med årsag, trufne foranstaltninger og grænseoverskridende virkninger. Hvis spørgeskemaet simpelthen spørger "inden hvor mange timer anmelder I et datalek", er svaret faktisk tredelt, og det må du også udfylde på den måde: ikke ét tal, men de tre trin med deres egen frist.

Vigtig detalje: disse frister gælder for enheder, der selv falder ind under direktivet, og anmeldelsespligten er over for egen tilsynsmyndighed — ikke automatisk over for kunden, der sender spørgeskemaet. Hvorvidt virksomheden selv er sådan en anmeldelsespligtig enhed, afhænger af sektor og størrelse; det er beskrevet under er virksomheden omfattet af NIS2-direktivet eller dets nationale gennemførelse. Hvad kunden normalt ønsker at vide, er om der findes en intern procedure, der kan overholde denne slags frister — det er et andet punkt end den juridiske anmeldelsespligt over for staten, og behandles separat under findes der en procedure for behandlingen af sikkerhedshændelser.

Hvor det står i direktivet: artikel 21, stk. 2, punkt b

De tre anmeldingstidspunkter — 24 timer, 72 timer, en måned — følger direkte af artikel 21, stk. 2, litra b i Europa-Parlamentets og Rådsforordning (EU) 2022/2555. Den nederlandske cybersikkerhedslova implementerer denne forpligtelse i nationalt lov og træder i kraft den 15. august 2026; indtil da er direktivet selv kildestedet, derefter wetteksten som offentliggjort på wetten.overheid.nl.