küsimustik küsib, kuidas me andmelekke neile teataksime

See küsimus käsitleb teatamisprotseduuri, mitte teatamiskohustust järelevalveasutusele

Klient küsib siin, kuidas teie intsidentide käsitlemise protsess toimib, mitte seda, kas olete varem andmelekke teatanud Isikuandmete Kaitsealusele. Küsitud vastus on protsessi kirjeldus: kuidas te turvaintsidenti äratunnistate, kes siis siseselt hoiatatakse, mis ajafraasiga klient ise teatamist saab, ja millisel kanali kaudu. See on täpselt see, mis peaks kehtima turvaintsidentide käsitlemise protseduur kui olete selleks juba poliitika kehtestanud.

Kui teil on selline kehtestatud protsess, siis on vastus tavaliselt "jah": teil on protseduur, kontaktisik ja lepitud teatamistähtaeg klientidele, kelle andmed või süsteemid on võinud sattuda ohtu. Kui see protsess puudub või on ainult suuline, siis on "ei" või "osaliselt" tegelikult õige vastus — lubadus, et te seda "edaspidi nii teete" ei ole vastus tänasele küsimusele. Pöörake tähelepanu ka seosele teenusepakkujatega: kui intsidendiga seotud kolmas osapool, kes teie eest töötab, puudutab see nõudeid, mille te panete oma teenusepakkujatele, ja mõned küsimustikud küsivad sellest eraldi.

Miks see artikli 21 lõike 2 alla kuulub

Intsidentide teatamisprotseduurid kuuluvad NIS2-direktiivi artikli 21 lõige 2 kümnesse meetmesse (direktiiv (EL) 2022/2555); punkt b nimetab intsidendi käsitlemist nimepilt. Küberturvalisuse seaduses, Hollandi ülevõtmises, mis jõustub 15. augustil 2026, esineb sama kohustus üksuste jaoks, kes selle seaduse alla kuuluvad. ISO/IEC 27001 nõuab Lisas A sarnast kehtestamist intsidendi juhtimise kontrollmeetmete hulgas. Milline kolmest kehtib teie ettevõtte jaoks, sõltub sellest, kas teie ettevõte ise kuulub ühe neist regulatsioonidest alla — see on teine küsimus kui see.