asiakas haluaa tietää, ilmoitanko poikkeamista 24 tunnin kuluessa

24 tuntia on varoitus, ei täydellinen ilmoitus

Ei, ei siinä mielessä, että täydellinen poikkeamakertomuksesta annettaisiin 24 tunnin kuluessa — mutta on kyllä velvoite, joka on lähellä sitä. NIS2-direktiivin 21 artiklan 2 kohta velvoittaa "tärkeitä" ja "välttämättömiä" toimijoita ilmoittamaan merkittävistä poikkeamista vaiheittain: varhainen varoitus 24 tunnin kuluessa, jonka jälkeen täydellinen ilmoitus 72 tunnin kuluessa, ja loppuraportti myöhemmin. Tämä velvoite koskee suoraan toimijaa, johon NIS2 sovelletaan — se on yleensä asiakas, joka lähettää kyselylomakkeen, ei automaattisesti toimittaja, joka täyttää sen. Se, koskeeko 24 tunnin velvoitetta myös omaa yritystäsi, riippuu siitä, oletko itse toimija direktiivin soveltamisalalla; se on kuvattu kohdassa kysymys siitä, ovatko yrityksen itsensä NIS2:n soveltamisalalla.

Mitä asiakas tällä kysymyksellä yleensä haluaa tietää, ei ole se, täytätkö lakisääteisen ilmoitusvelvoitteen valvontaviranomaiselle, vaan se, tietäätkö hänet tarpeeksi nopeasti, jos sinulla tapahtuu jotain, joka vaikuttaa hänen palveluntarjoontansa. Se on sopimusperusteinen sopimus, ei direktiivin itsensä sisältämä lakisääteinen määräaika — NIS2:n 24 tuntia on velvoite toimijan ja valvontaviranomaisen välillä, ei automaattisesti toimittajan ja asiakkaan välillä. Jos sinulla on poikkeamamenettely, jossa on omat sisäiset ilmoitusajat, se on todistusmateriaali, joka yleensä liittyy tähän; tämä menettely on kuvattu kohdassa kysymys tietoturvapoikkeamien menettelystä. Jos sinulla ei ole vahvistettua määräaikaa, niin "ei" lyhyellä perustelulla on rehellisempää kuin "kyllä", jota et voi perustella.

Missä tämä esiintyy ohjeistuksessa: artikla 21 luku 2

Vaiheittainen ilmoitusvelvoite — varhainen varoitus 24 tunnin kuluessa, ilmoitus 72 tunnin kuluessa, loppuraportti — on säädettynä direktiivin (EU) 2022/2555 21 artiklan 2 kohdassa osana kymmenen siellä lueteltua toimenpidettä. Tämä velvoite koskee suhdetta toimijan ja asianomaisen valvontaviranomaisen tai CSIRT:n välillä, ei toimittajan ja asiakkaan välistä suhdetta. Alankomaiden kyberturvallisuuslaki panna tämän direktiivin täytäntöön kansallisessa lainsäädännössä; kuka täsmälleen kuuluu ilmoitusvelvoitteen piiriin ja mistä lähtien, selviää tuosta laista sen tullessa voimaan.