dois-je signaler un incident de sécurité de l'année dernière dans le questionnaire

Un ancien incident devrait généralement être inclus dans la réponse

Oui, dans la plupart des cas, vous signalez également un incident de l'année dernière, si la question dans la liste n'est pas explicitement limitée à une période déterminée. Les questionnaires demandent généralement la situation en général : un incident s'est-il produit, et comment a-t-il été traité. Un petit incident de l'année dernière en fait partie, même s'il a depuis été résolu et n'a plus de conséquences. S'il y a une période dans la question — « au cours des douze derniers mois » ou « cette année civile » — cela prévaut, et vous ne tenez compte que de ce qui s'est produit au cours de cette période.

Plus important que l'incident lui-même est souvent la manière dont vous avez réagi. Un client qui demande des incidents veut en fait savoir s'il existe un processus derrière : a-t-il été signalé, a-t-il été résolu, en a-t-on tiré des leçons. Cela correspond à une procédure de traitement des incidents de sécurité. Si vous disposez d'une telle procédure et qu'elle a été suivie, alors un petit incident de l'année dernière n'est pas un problème à signaler — il montre même que le processus fonctionne. Si vous hésitez sur le fait que les détails sont trop sensibles à partager, utilisez le bouton de confidentialité pour la réponse au lieu de modifier la réponse elle-même.

Pourquoi ceci est distinct de l'obligation de notification dans la Loi sur la cybersécurité

Cette question dans un questionnaire client est différente de l'obligation légale de notification à une autorité de contrôle. L'article 21, paragraphe 2 de la directive NIS2 énumère la gestion des incidents comme l'une des dix mesures obligatoires pour les entités relevant de la directive ; la Loi sur la cybersécurité la transpose au niveau néerlandais, avec une obligation de notification à l'autorité compétente. Le fait que cette obligation de notification s'applique ou non à l'entreprise dépend de la question de savoir si l'entreprise elle-même est couverte par la directive — cela peut être vérifié auprès de la question de savoir si l'entreprise est couverte par la directive NIS2. La question dans un questionnaire client est indépendante de cela : elle ne demande pas une notification légale, mais la transparence envers le client sur la maturité du processus d'incident.