ο πελάτης θέλει να γνωρίζει αν αναφέρω περιστατικά εντός 24 ωρών

Τα 24 ωρόλογα είναι ειδοποίηση, όχι πλήρης αναφορά

Όχι, όχι με την έννοια μιας πλήρους έκθεσης περιστατικού εντός 24 ωρών — αλλά υπάρχει υποχρέωση που πλησιάζει πολύ. Το άρθρο 21 παράγραφος 2 της Οδηγίας NIS2 υποχρεώνει τους «σημαντικούς» και «ουσιώδεις» φορείς να αναφέρουν τα σημαντικά περιστατικά σε φάσεις: μία πρώιμη ειδοποίηση εντός 24 ωρών, ακολουθούμενη από πλήρη αναφορά εντός 72 ωρών και τελικό έκθεση αργότερα. Αυτή η υποχρέωση ισχύει άμεσα για τον φορέα που εμπίπτει στο πεδίο εφαρμογής του NIS2 — αυτός είναι συνήθως ο πελάτης που αποστέλλει το ερωτηματολόγιο, όχι αυτόματα ο προμηθευτής που το συμπληρώνει. Το αν αυτή η 24-ωρη υποχρέωση ισχύει και στο δικό σου επιχειρηματικό δίκτυο εξαρτάται από το αν εσύ ο ίδιος ως φορέας εμπίπτεις στο πεδίο εφαρμογής της οδηγίας· αυτό περιγράφεται στο το ερώτημα του αν η επιχείρηση αυτή εμπίπτει στο NIS2.

Αυτό που συνήθως θέλει να γνωρίσει ένας πελάτης με αυτό το ερώτημα δεν είναι το αν ανταποκρίνεσαι στη νόμιμη υποχρέωση αναφοράς προς ένα όργανο εποπτείας, αλλά το αν τον ενημερώνεις αρκετά γρήγορα εάν κάτι παρουσιάσει πρόβλημα στο δικό του που επηρεάζει την παροχή υπηρεσιών του. Αυτή είναι μια συμβατική συμφωνία, όχι νόμιμη προθεσμία από την ίδια την οδηγία — τα 24 ωρόλογα από το NIS2 είναι υποχρέωση μεταξύ φορέα και επιτηρητή, όχι αυτόματα μεταξύ προμηθευτή και πελάτη. Εάν έχεις μια διαδικασία περιστατικών με τις δικές σας εσωτερικές προθεσμίες αναφοράς, αυτό είναι το αποδεικτικό στοιχείο που συνήθως ταιριάζει εδώ· αυτή η διαδικασία περιγράφεται στο το ερώτημα για μια διαδικασία για περιστατικά ασφαλείας. Εάν δεν έχεις ορισμένη προθεσμία, τότε το «όχι» με σύντομη εξήγηση είναι περισσότερο ειλικρινές από ένα «ναι» που δεν μπορείς να υποστηρίξεις.

Όπου βρίσκεται αυτό στην Οδηγία: άρθρο 21 παράγραφος 2

Η σταδιακή υποχρέωση αναφοράς — πρώιμη ειδοποίηση εντός 24 ωρών, αναφορά εντός 72 ωρών, τελικό έκθεση — περιλαμβάνεται στο άρθρο 21 παράγραφος 2 της Οδηγίας (ΕΕ) 2022/2555, ως μέρος των δέκα μέτρων που αναφέρονται εκεί. Αυτή η υποχρέωση στρέφεται στη σχέση μεταξύ του φορέα και της αρμόδιας αρχής επιτήρησης ή του CSIRT, όχι στη σχέση μεταξύ προμηθευτή και πελάτη. Ο ολλανδικός νόμος περί κυβερνοασφάλειας καθιερώνει αυτή την οδηγία σε εθνική νομοθεσία· ποιος ακριβώς εμπίπτει στην υποχρέωση αναφοράς και από ποια στιγμή, προκύπτει από αυτόν τον νόμο μόλις τεθεί σε ισχύ.