debemos informar a nuestro cliente si ha habido una fuga de datos

Generalmente sí, si el incidente afecta al servicio prestado a ese cliente

En la mayoría de los casos, debe notificar un incidente a su cliente, pero no todo incidente y no a todos. El artículo 21, apartado 2, de la Directiva NIS2 menciona "gestión de incidentes" como una de las diez medidas obligatorias, y la mayoría de cuestionarios de clientes traducen esto en: ¿dispone de un proceso para notificar incidentes, a quién, y en qué plazo? Esto es diferente de una obligación legal de notificación a una autoridad de supervisión — la pregunta de su cliente se refiere al acuerdo contractual u operativo entre usted y ellos, no a la obligación de notificación que la Ley de Ciberseguridad impondrá próximamente a determinadas entidades.

Una brecha de datos que solo afecta sus propios sistemas internos y no toca ningún dato ni servicio relevante para ese cliente, a menudo queda fuera del acuerdo. En cuanto el incidente afecte datos, sistemas o entregas relevantes para ese cliente, tiene sentido notificarlo — generalmente dentro del plazo establecido en el contrato o en el contrato de tratamiento de datos, no dentro de un plazo que podamos indicarle aquí. Compruebe primero qué se ha acordado en su propio contrato con ese cliente, porque eso tiene prioridad sobre una respuesta general en un cuestionario.

Qué es la evidencia documental y qué contesta sin procedimiento

La evidencia subyacente es el procedimiento para el tratamiento de incidentes de seguridad: en ella consta quién decide internamente si algo debe notificarse, a quién, y en qué plazo. Si no ha documentado ese procedimiento, "no" es la respuesta factualmente correcta — un sí sin documento no resiste una auditoría. Los clientes que formulan esta pregunta, a menudo preguntan también en el mismo cuestionario por política para el análisis de riesgos y la seguridad de sistemas de información, porque la gestión de incidentes en el artículo 21, apartado 2, NIS2 y en el Anexo A de ISO/IEC 27001 se considera como parte conexa de la política de seguridad, no como un proceso independiente.