kuidas vastanud andmete rikkumise teatamiskorra küsimusele

Teatamise protseduur ise, mitte andmelekke

Küsimus käsitleb teie sisemist protsessi, mitte seda, kas kunagi enne on lekkeid esinenud. Klient soovib teada, kas turvaintsidentide käsitlemiseks on kehtestatud protseduur: kes kahtluse teatab, kellele, kui pikal ajal eskalatsioon aset leiab, ja kes otsustab, kas järelevalve organ või kahjustatud isikud tuleb informeerida. See on sama protseduur, mille kohta küsitakse ka järgmiselt: turvaintsidentide käsitlemise protseduur — andmelekke on praktikas selle protsessi spetsiifiline tüüp, mitte eraldi dokument.

Kui teil on see protseduur olemas, saab "jah"-ga kaasneda dokumendi ise: sammude loend, vastutav funktsioon (sageli turbespetsialist või DPO) ja varasemad teatamised registris, mis tõendavad, et protsess ka toimib. Kui kehtestatud protseduur puudub, kuid on olemas mitteformalne liin ("helista omanikule"), siis see tavaliselt "jah"-le ei piisa — dosseel puudub allikas, millele toetuda, ja süsteem ei paku sel juhul vastust. Mõned kliendid küsivad samas nimekirjas ka seda, kas te ise teatamiskohustuse alla kuulude; see on teistsugune küsimus kui protseduur ise ja jälgitav järgmiselt: NIS2 direktiivist tulenev üksusena olemine.

Miks see artikli 21 lõike 2 alla kuulub

NIS2 direktiivi artikli 21 lõige 2 nimetab "intsidentide käsitlemist" ühe kümnest kohustuslikust meetmest, ja andmelekete teatamise protseduur on selle rakendamine isikuandmete suunas. ISO/IEC 27001 lisa A töötab seda ümber intsidentide juhtimise ümbritsevate kontrollmeetmete kaudu, mis selgitab, miks kliendid ISO-küsimusega tihti seda protseduuridokumenti ka tõendina aktsepteerivad. Küberjulgestuse seadus, Hollandi ülevõte, jõustub 15. augustil 2026 ja kehtestab selle kohustuse siis ka rahvuslikult üksusele, kes sellealuseid kuuluvad.