trebam li prijaviti curenje podataka klijentu čiji su to podaci

Ugovorno većinom da, zakonski ne automatski klijentu

Većinom da, ali ne zato što NIS2 to tako propisuje. Članak 21 stavak 2 Direktive obvezuje na prijavu značajne prijetnje ili incidenta nacionalnom CSIRT-u ili nadležnom tijelu — ne izravno svakom klijentu. Obaveza prijave samom klijentu obično se nalazi u ugovoru ili sporazumu o obradbi podataka, i često je stroža i brža nego što to traži NIS2. Onaj tko gleda samo na Direktivu i ne konsultira vlastite ugovore, može dakle propustiti obavezu koja je u praksi ona koja se prvo javlja.

Za klijenta koji postavi pitanje na upitnici, obično se ne radi o zakonskoj obvezi prijave već o procesu: imate li stalan put za prepoznavanje, procjenu i prosljeđivanje incidenta, i je li u njemu navedeno kada se klijent obavještava? Upravo je to ono na što se postupka za sigurnosne incidente misli, i većina upitnika pita o postojanju tog postupka, a ne o pojedinim slučajevima. Ako poduzeće nema taj postupak dokumentirano, tada je ovdje "ne" iskreit odgovor — nitko ne može ovdje umjesto vas unijeti obvezu da će klijent uvijek biti pozvan.

Osnova za to: članak 21 stavak 2 NIS2 i vlastiti ugovor

Članak 21 stavak 2 Direktive (EU) 2022/2555 navodi deset mjera koje entitet mora poduzeti, uključujući pod i) proces upravljanja incidentima; obaveza prijave nadležnoj vlasti nalazi se u članku 23, a ne u samom stavku 2, i usmjerena je na CSIRT ili nadležno tijelo. Prilog A standarda ISO/IEC 27001 poznat je kao sličan kontrolni rad za upravljanje incidentima, uključujući komunikaciju s dionicima, ali niti tamo klijent nije automatski standardni primatelj — to se unosi po organizaciji. Zakon o kibernetskoj sigurnosti, nizozemska provjera koji stupaju na snagu 15. kolovoza 2026., slijedi istu strukturu. Onaj tko želi znati je li vlastita organizacija sama pod tim pravilima, provjerava to kod pitanja je li poduzeće NIS2 entitet; prijava samom klijentu ostaje u svim slučajevima pitanjem primjenjivog ugovora.