peame eelmise aasta turvaintsidendi meie kliendile teada andma

Vana juhtum kuulub küsimustikku, mitte eraldi teatamiskanalisse

Jah, eelmisel aastal toimunud turvajuhtumi täidad sisule, kui küsimus käsitleb juhtumeid või nende lahendamist — isegi kui juhtum ise on juba suletud. Enamiku kliendiküsimustike küsimus ei käsitle aktuaalset ohtu, vaid seda, kas protseduur on olemas ja kas see toimib. Eelmisel aastal lahendatud juhtum on selleks tõendiks pigem kui risk: see näitab, et turvalisusincidendi käsitlemise menetlusest praktikas on läbitud, alates tuvastamisest kuni sulgemiseni.

See on seega midagi muud kui seadusest tulenev teatamiskohustus järelevalveasutusele — sellel on oma tähtajad ja oma adressaadid, ja need tähtajad on ammu möödas, kui juhtum eelmisest aastast on möödunud. Teie kliendiküsimustik pole teatamispunkt; see on vastutuse küsimus. Vastake sellele lähtudes sellest, mis nüüd on kindlaks tehtud: kas protseduur on olemas, kas seda rakendati, kas juhtumi põhjal rakendati parandusi? Kui viimane puudub, siis "ei" või "osaliselt" on sama kehtiv vastus kui "jah" — kui see vaid ühtib ketendossiee sisuga.

Kust see pärineb: artikkel 21 lõige 2 ja Lisa A

NIS2 direktiivi 21. artikli 2. lõige nimetab juhtumite lahendamist ühe kümme nõutud meetme hulgas, muu hulgas riskianalüüs ja infosüsteemide kaitse ja järjepidevuspoliitika. ISO/IEC 27001 arendab seda välja Annex A-s järelevalvemeetmeteks, mis nõuavad juhtumite registreerimist, reageerimist ja hindamist — eelmisel aastal suletud dossee sobib selle jaoks täpselt näidismaterjali ja. Küberturvalisuse seadus, NIS2 Hollandi muudatus, jõustub 15. augustil 2026 ja reguleerib seadusjärgset teatamiskohustust riigile; see on erinev protsess kui vastutuse andmine, mida klient oma küsimustikus küsib.