peame me klienti teavitama, kui andmete rikkumine on aset leidnud

Tavaliselt jah, kui intsident mõjutab selle kliendi teenust

Enamasti peate teatama intsidendist oma kliendile, kuid mitte igast intsidendist ja mitte kõigile. NIS2-direktiivi artikli 21 lõige 2 nimetab "intsidentide käsitlemist" üheks kümnest kohustuslikust abinõust, ja enamik kliendiküsimustikke tõlgivad seda järgmiselt: kas teil on protsess intsidentidest teatamiseks, kellele ja mis aja jooksul. See erineb seadusliku teatamiskohustusest järelevalveasutusele — teie kliendi küsimus käsitleb lepinguliste või operatsiooniliste kokkulepete vahel teie ja nende vahel, mitte teatamiskohustust, mille Küberneetilise turvalisuse seadus peagi teatud üksustele kehtestab.

Andmelekk, mis mõjutab ainult teie omaid sisemisi süsteeme ja ei puuduta ühtegi selle kliendi andmeid ega teenust, jääb sageli kokkuleppest välja. Niipea, kui intsident mõjutab andmeid, süsteeme või teenuseid, mis on selle kliendi jaoks asjakohased, on teatamine loogiline — tavaliselt lepingus või andmetöötlemise lepingus kehtestatud tähtaja jooksul, mitte tähtaja jooksul, mida me siin saaksime nimetada. Kontrollige seega esmalt, mis on teie lepingus selle kliendiga kokku lepitud, sest see on üldisele vastusele küsimustikus prioriteetne.

Mis on tõendusdokument ja kuidas vastata ilma protseduurita

Aluseks olev tõend on turvalisusincidendi käsitlemise menetlusest: seal on kirjas, kes siseselt otsustab, kas midagi tuleb teatada, kellele ja mis aja jooksul. Kui te ei ole seda protseduuri fikseerinud, siis on "ei" tegelikult õige vastus — jah ilma dokumentita ei pea auditeerimise ajal vastu. Kliendid, kes seda küsimust esitavad, küsivad sageli samast küsimustikust ka riskianalüüsi ja infosüsteemide turvamise poliitika, sest intsidentide käsitlemine artikli 21 lõike 2 NIS2 ja ISO/IEC 27001 lisa A järgi nähakse turvalisuspoliitika sidumata osana, mitte eraldi protsessina.