kuinka vastaan kysymykseen tietolähteen paljastamisen ilmoittusmenettelystä

Ilmoitusprosessi itsessään, ei tietoturvaloukkausta

Kysymys koskee teidän sisäistä prosessia, ei sitä, onko vuotoa aiemmin tapahtunut. Asiakas haluaa tietää, onko olemassa dokumentoitu menettely tietoturvapoikkeamien käsittelyä varten: kuka ilmoittaa epäilyistä, kenelle, millä aikavälillä eskaloidaan, ja kuka päättää, ilmoitetaanko valvontaviranomaista tai asianosaisia. Se on sama menettely kuin sitä, josta kysytään tietoturvapoikkeamien menettely — tietovuoto on käytännössä tietyn tyyppiä oleva poikkeama kyseisessä prosessissa, ei erillinen asiakirja.

Jos sinulla on tämä menettely, "kyllä" voidaan perustella asiakirjalla itsellään: vaiheiden kuvaus, vastuussa oleva tehtävä (usein tietoturva-asiantuntija tai DPO) ja aiempien ilmoitusten rekisteri todisteeksi siitä, että prosessi toimii. Jos dokumentoidulla menettelyllä ei ole, mutta löytyy epävirallinen kanava ("soita omistajalle"), se ei yleensä riitä "kyllä"-vastaukseen — dossierilla ei ole lähdettä, johon tukeutua, ja järjestelmä ei tässä tapauksessa ehdota vastausta. Jotkut asiakkaat kysyvät samasta luettelosta myös, oletko itse ilmoitusvelvollisuuden piirissä; se on eri kysymys kuin menettely itsessään, ja se voidaan jäljittää NIS2-entiteetin asemasta.

Miksi tämä kuuluu artiklan 21 kohdan 2 piiriin

NIS2-direktiivin artiklan 21 kohdan 2 mainitsee "poikkeamien käsittelyn" yhtenä kymmenestä pakollisesta toimenpiteestä, ja tietovuodon ilmoitusprosessi on sen soveltaminen henkilötietojen osalta. ISO/IEC 27001 liite A kehittää tätä edelleen poikkeamien hallinnan hallintakeinoilla, mikä selittää, miksi asiakkaat ISO-kysymyksellä hyväksyvät usein saman menettelyn todisteeksi. Kyberturvallisuuslaki, Alankomaiden kansallistaminen, tulee voimaan 15. elokuuta 2026, ja vahvistaa tämän velvoitteen silloin myös kansallisesti niihin yksiköihin, joihin se sovelletaan.