kas peaksin hack'i või andmelekke teatama oma tellijale

Teatavitamine kliendile on tavaliselt lepinguline, mitte seadusepärane

Kyberuuringu korral teatavitamise kohustus seisneb enamasti sinu kliendiga sõlmitud lepingus, mitte otseselt seaduses. NIS2-direktiivi 21. artikli 2. lõige kohustab direktiivi alla kuuluvaid organisatsioone reageerima juhtumitele ja teatavitama oma järelevalveasutusele — see on see kümne meetme rida, mida näed peaaegu igas küsimustikus. Teatavitamise kohustus järelevalveasutusele on midagi muud kui teatavitamise kohustus kliendile. Kas peate juhtumi teatavitama oma lepingu andja otse, sõltub sellest, mis on kirjutatud töötlemistegevuse lepingus või tarnelepingus, ja sellest, kas teie klient ise NIS2-direktiivi alla kuulub ja seetõttu sõltub teie teatavitamisest oma tarneahela korrashoidmiseks.

Praktikas ei küsi küsimustik mitte "kas teile on juhtum aset leidnud", vaid seda, kas olemas on protseduur juhtumite tuvastamiseks, hindamiseks ja teatavitamiseks — see on täpselt see, mille poole küsimusele turvaincidentide protseduuri kohta püüdleb. Kui sul see protseduur on, saad sa sellele küsimusele jah vastata ilma kunagi pead rääkima konkreetsest juhtumist, selle toimumisajast ega muust. Viimane jääb eraldi, lepinguline küsimuseks, mis võib iga kliendi kohta erineda.

Millele see tugineb: Kyberturvalisuse seadus ja Annex A

Kyberturvalisuse seadus, NIS2-direktiivi Hollandi ülevõtmine, mis jõustub 15. augustil 2026, sätestab teatavitamise kohustuse järelevalveasutusele seaduse alla kuuluvate üksuste jaoks — kas see kehtib su ettevõtte kohta, on küsimus, mis tuleb ka või ettevõte ise ei kuulu NIS2-direktiivi allajuures. ISO/IEC 27001 Annex A käsitleb seda sisemiselt kui juhtumihalduse kontrollimeetmeid, mistahes teatavitamise kohustusest väljaspool välisele poolele. Lepinguline teatavitamise kohustus kliendile on seega kõrvuti, mitte asemele, nendele õiguslike ja normatiivsete raamistikele.