trebam li prijaviti sigurnosni incident od prošle godine u popisu pitanja

Stari incident obično pripada u odgovor

Da, u većini slučajeva incident iz prošle godine prijaviš i sada, ako pitanje na popisu nije eksplicitno ograničeno na određeni period. Popisi pitanja obično se odnose na situaciju općenito: je li došlo do incidenta, i kako je rukovano. Mali incident iz prošle godine pada pod to, čak i ako je u međuvremenu riješen i više nema posljedica. Ako je period naveden u pitanju — "u posljednjih dvanaest mjeseci" ili "ove kalendarске godine" — onda je to mjerodavno, i tada uključuješ samo ono što pada u taj period.

Često je važnije od samog incidenta kako si na njega reagirao. Kupac koji pita o incidentima, zapravo želi znati postoji li proces iza toga: je li signaliziran, je li riješen, je li naučeno iz njega. To se povezuje s procedurom za rukovanje sigurnosnim incidentima. Ako imaš takvu proceduru i ako je slijeđena, mali incident iz prošle godine nema problema prijaviti — zapravo pokazuje da proces funkcionira. Ako dvojiš jesu li detalji previše osjetljivi za dijeljenje, koristi gumb povjerljivosti uz odgovor umjesto da prilagođavaš sam odgovor.

Zašto je ovo odvojeno od obaveze izvještavanja prema Zakonu o kibernetskoj sigurnosti

Ovo pitanje na popisu pitanja razlikuje se od zakonske obaveze izvještavanja nadzornom tijelu. Članak 21. stavak 2. Direktive NIS2 spominje rukovanje incidentima kao jednu od deset obaveznih mjera za subjekte koji spadaju pod Direktivu; Zakon o kibernetskoj sigurnosti to razrađuje kao hrvatsku implementaciju, s obvezom izvještavanja nadležnom autoritetu. Primjenjuje li se ta obaveza izvještavanja na poduzeće ovisi o tome spada li samo poduzeće pod Direktivu — to se može provjeriti kod pitanja spada li poduzeće pod Direktivu NIS2. Pitanje na popisu pitanja klijenta stoji odvojeno od toga: ono se ne pita o zakonskoi prijavi, već o transparentnosti prema klijentu o tome koliko zrela je procedura rukovanja incidentima.