pitääkö meidän ilmoittaa asiakkaalle, jos tietolähde on paljastettu

Yleensä kyllä, jos häiriötapaus vaikuttaa palveluun tälle asiakkaalle

Useimmissa tapauksissa häiriötapaus on ilmoitettava asiakkaallenne, mutta kaikista häiriötapauksista ei ole ilmoitettava ja ei kaikille. NIS2-direktiivin 21 artiklan 2 kohdan mukaan "häiriötapausten hallinta" on yksi kymmenestä pakollisesta toimenpiteestä, ja useimmat asiakkaiden kyselylomakkeet kääntävät tämän seuraavasti: onko sinulla prosessi häiriötapausten ilmoittamiseen, kenelle ja missä ajassa. Tämä eroaa lakisääteisestä ilmoitusvelvollisuudesta valvontaviranomaiselle — asiakkaan kysymys käsittelee sopimuksellista tai operatiivista sovintoa sinun ja heidän välilleen, ei ilmoitusvelvollisuutta, jonka Kyberturvallisuuslaki pian asettaa tietyille tahoille.

Tietovuoto, joka koskettaa vain omia sisäisiä järjestelmiään ja ei vaikuta mihinkään asiakkaan tietoihin tai palveluihin, jää usein sopimuksen ulkopuolelle. Heti kun häiriötapaus vaikuttaa tietoihin, järjestelmiin tai toimituksiin, jotka ovat asiakkaallesi tärkeitä, ilmoittaminen on perusteltua — usein sopimuksessa tai tietojen käsittäjän sopimuksessa mainitun aikarajan sisällä, ei aikarajan sisällä, jonka voimme tässä mainita. Tarkista siis ensin, mitä olet sopinut asiakkaallesi, sillä se menee yleiseen vastauksen edelle kyselylomakkeessa.

Mitä todistus on ja miten vastaat ilman menettelyä

Taustalla oleva todistus on turvallisuuspoikkeamien käsittelystä johtuvaan menettelyyn: siinä määritellään, kuka organisaatiossasi päättää, onko asiasta ilmoitettava, kenelle ja missä ajassa. Jos et ole dokumentoinut tätä menettelyä, "ei" on tosiasiallisesti oikea vastaus — kyllä ilman asiakirjoja ei kestä auditoinnissa. Asiakkaat, jotka esittävät tämän kysymyksen, kysyvät usein samasta kyselystä myös riskianalyysiksi ja tietojärjestelmien turvaamisen politiikaksi, koska häiriötapausten hallinta on NIS2:n 21 artiklan 2 kohdassa ja ISO/IEC 27001:n liitteessä A nähtävä yhtenäinen osa turvallisuuskäytäntöä, ei erillinen prosessi.