la liste de questions demande comment nous signalerions une violation de données

Cette question porte sur la procédure de notification, non sur l'obligation de notification auprès d'une autorité de contrôle

Le client vous demande ici comment fonctionne votre processus de gestion des incidents, non pas si vous avez déjà signalé un incident de données à l'Autorité de protection des données. La réponse qui est demandée est une description du processus : comment vous identifiez un incident de sécurité, qui en est averti en interne, dans quel délai le client lui-même reçoit une notification, et par quel canal. C'est exactement ce qui doit la procédure de traitement des incidents de sécurité être couvert si vous avez déjà établi une politique à ce sujet.

Si vous disposez d'un processus formellement établi, la réponse est généralement « oui » : vous avez une procédure, un point de contact et un délai de notification convenu envers vos clients dont les données ou les systèmes auraient pu être touchés. S'il manque ce processus, ou s'il n'existe que de façon informelle, alors « non » ou « partiellement » est la réponse factuellement correcte — une promesse de faire « dorénavant ainsi » n'est pas une réponse pour aujourd'hui. Attention aussi au lien avec les fournisseurs : si l'incident provient d'un tiers qui travaille pour vous, cela affecte les exigences que vous imposez à vos propres fournisseurs, et certains questionnaires en demandent séparément.

Pourquoi cela relève de l'article 21 paragraphe 2

Les procédures de notification des incidents font partie des dix mesures de l'article 21, paragraphe 2, de la directive NIS2 (Directive (UE) 2022/2555) ; le point b mentionne expressément la gestion des incidents. Dans la Cybersecurity Act, la transposition néerlandaise qui entrera en vigueur le 15 août 2026, figure la même obligation pour les entités qui y sont soumises. ISO/IEC 27001 exige dans l'Annexe A une documentation similaire, parmi les mesures de contrôle de la gestion des incidents. Celle des trois qui vous concerne dépend de la question de savoir si votre entreprise elle-même est soumise à l'une de ces réglementations — c'est une question distincte de celle-ci.