πρέπει να αναφέρω ένα παραβίαση δεδομένων στον πελάτη του οποίου τα δεδομένα αφορούν

Συμβατικά συνήθως ναι, νόμιμα όχι αυτόματα στον πελάτη

Συνήθως ναι, αλλά όχι επειδή το NIS2 το προβλέπει έτσι. Το άρθρο 21 παράγραφος 2 της Οδηγίας υποχρεώνει να ενημερωθεί για ένα σημαντικό κίνδυνο ή συμβάν το εθνικό CSIRT ή την αρμόδια αρχή — όχι άμεσα κάθε πελάτη. Η υποχρέωση ενημέρωσης του πελάτη καθαυτού συνήθως προβλέπεται στο συμβόλαιο ή τη σύμβαση επεξεργασίας, και είναι συχνά αυστηρότερη και ταχύτερη από ό,τι ζητά το NIS2. Όποιος κοιτάει μόνο την Οδηγία και δεν συμβουλεύεται τα δικά του συμβόλαια, χάνει λοιπόν την υποχρέωση που στην πράξη είναι η πρώτη που έχει σημασία.

Για τον πελάτη που θέτει το ερώτημα σε μια λίστα ερωτήσεων, συνήθως δεν πρόκειται για τη νόμιμη υποχρέωση ενημέρωσης αλλά για τη διαδικασία: έχετε μια σταθερή διαδρομή για να αναγνωρίσετε, να αξιολογήσετε και να αναφέρετε ένα συμβάν, και περιέχει πότε θα ενημερωθεί ένας πελάτης; Αυτό είναι ακριβώς που τη διαδικασία για περιστατικά ασφαλείας αφορά, και οι περισσότερες λίστες ρωτούν για την ύπαρξη αυτής της διαδικασίας, όχι για μεμονωμένες καταστάσεις. Αν η επιχείρηση δεν έχει αυτή τη διαδικασία γραπτή, τότε το «όχι» είναι εδώ η ειλικρινής απάντηση — κανείς δεν μπορεί να σας συμπληρώσει εδώ μια δέσμευση ότι ένας πελάτης θα κληθεί πάντα.

Στο οποίο βασίζεται: άρθρο 21 παράγραφος 2 NIS2 και το δικό σας συμβόλαιο

Το άρθρο 21 παράγραφος 2 της Οδηγίας (ΕΕ) 2022/2555 αναφέρει τα δέκα μέτρα που πρέπει να λάβει μια οντότητα, συμπεριλαμβανομένης υπό i) μιας διαδικασίας χειρισμού συμβάντων· η υποχρέωση ενημέρωσης μιας αρχής προβλέπεται στο άρθρο 23, όχι στην παράγραφο 2 καθαυτή, και αφορά το CSIRT ή την αρμόδια αρχή. Το Παράρτημα A του ISO/IEC 27001 έχει ένα ανάλογο μέτρο ελέγχου για τη διαχείριση συμβάντων, συμπεριλαμβανομένης της επικοινωνίας με τους ενδιαφερόμενους, αλλά και εκεί ο πελάτης δεν είναι αυτόματα ο τυπικός παραλήπτης — αυτό συμπληρώνεται ανά οργανισμό. Ο Νόμος Κυβερνοασφάλειας, η ολλανδική ενσωμάτωση που θα τεθεί σε ισχύ στις 15 Αυγούστου 2026, ακολουθεί την ίδια δομή. Όποιος θέλει να μάθει αν ο δικός του οργανισμός εμπίπτει ή όχι σε αυτούς τους κανόνες, το ελέγχει στο το ερώτημα αν ο οργανισμός είναι οντότητα NIS2; η ενημέρωση του πελάτη καθαυτού παραμένει σε κάθε περίπτωση θέμα του ισχύοντος συμβολαίου.