¿debo notificar una filtración de datos al cliente cuyos datos se ven afectados

Contractualmente sí, por lo general; por ley no automáticamente al cliente

Por lo general sí, pero no porque NIS2 lo prescriba así. El artículo 21 apartado 2 de la Directiva obliga a comunicar una amenaza o incidente significativo a la CSIRT nacional o a la autoridad competente — no directamente a cada cliente. La obligación de comunicación al cliente suele estar en el contrato o en el acuerdo de tratamiento de datos, y suele ser más estricta y más rápida de lo que exige NIS2. Quien solo mira la Directiva y no consulta sus propios contratos, se pierde por tanto la obligación que en la práctica es la que primero importa.

Para el cliente que plantea la pregunta en un cuestionario, por lo general no se trata de la obligación legal de comunicación, sino del proceso: ¿tenéis una ruta fija para detectar, evaluar y comunicar un incidente, e indica en ella cuándo se informa a un cliente? Eso es exactamente de qué trata el procedimiento para incidentes de seguridad supplia.eu, y la mayoría de los cuestionarios preguntan por la existencia de ese procedimiento, no por casuística aislada. Si la empresa no tiene ese procedimiento documentado, entonces «no» es la respuesta honesta aquí — nadie puede rellenar para ti un compromiso de que siempre se llamará a un cliente.

En qué se basa esto: artículo 21 apartado 2 NIS2 y su propio contrato

El artículo 21 apartado 2 de la Directiva (UE) 2022/2555 menciona las diez medidas que debe adoptar una entidad, incluida bajo i) un proceso de tratamiento de incidentes; la obligación de comunicación a una autoridad está en el artículo 23, no en el apartado 2 en sí, y se dirige a la CSIRT o a la autoridad competente. El Anexo A de ISO/IEC 27001 contiene una medida de control comparable para la gestión de incidentes, incluida la comunicación a las partes interesadas, pero tampoco ahí el cliente es automáticamente el receptor estándar — eso se define por cada organización. La Ley de Ciberseguridad, la transposición holandesa que entra en vigor el 15 de agosto de 2026, sigue la misma estructura. Quien quiera saber si su propia empresa está sujeta a estas normas, lo comprueba en la pregunta de si la empresa es una entidad NIS2; la comunicación al cliente en sí sigue siendo en todos los casos una cuestión del contrato vigente.