kell-e a támadást vagy adatsértést jeleznem az ügyfélnek

Az ügyfélnek történő bejelentés általában szerződési, nem pedig jogi kötelezettség

A kiberincidensre vonatkozó bejelentési kötelezettség a legtöbb esetben a megrendelővel kötött szerződésben szerepel, nem pedig közvetlenül a jogszabályban. Az NIS2-irányelv 21. cikkének 2. bekezdése azokat a szervezeteket kötelezi, amelyekre maga az irányelv vonatkozik, az incidensre adandó reagálásra és saját felügyeleti szervük felé történő bejelentésre — ez az a tíz intézkedésből álló lista, amely szinte minden kérdőívben megjelenik. Az felügyeleti szervhez történő bejelentési kötelezettség különbözik a megrendelőnek történő bejelentési kötelezettségtől. Tehát, hogy egy incidenst be kell-e jelentened megbízódnak, attól függ, hogy mi áll az adatfeldolgozási szerződésben vagy a szállítási szerződésben, illetve attól, hogy a megrendelőd maga az NIS2-irányelv hatálya alá esik-e, és így függő-e az ő saját láncának rendben tartásához szükséges bejelentésedtől.

A gyakorlatban a kérdőív nem azt kérdezi, hogy «volt-e incidensze», hanem azt, hogy létezik-e eljárás az incidensek felismerésére, értékelésére és bejelentésére — ez pontosan az a biztonsági incidensi eljárásra vonatkozó kérdés célja. Ha van ilyen eljárásod, akkor ezt a kérdést igennel válaszolhatod meg anélkül, hogy valaha is azt kellene elmondanod, hogy volt-e és mikor volt konkrét incidens. Ez utóbbi egy külön, szerződési kérdés marad, amely ügyfelenként eltérő lehet.

Ennek alapja: Cyberbevédelmi törvény és A melléklet

A Kibervédelmi törvény, az NIS2 holland megvalósítása, amely 2026. augusztus 15-én lép hatályba, előírja a bejelentési kötelezettséget az olyan entitások felügyeleti hatóságánál, amelyekre a törvény vonatkozik — hogy ez vonatkozik-e az Ön vállalkozására, az a kérdés, amely szintén megjelenik a vagy a vállalkozás maga az NIS2-irányelv hatálya alá tartozik-eAz ISO/IEC 27001 Annex A ezt belsőleg a szabályozza az incidenskezelés ellenőrzési intézkedéseként, függetlenül a külső félhez való bejelentési kötelezettségtől. Az ügyfélnek szóló szerződéses bejelentési kötelezettség tehát ezen kívül áll, és nem helyettesíti ezeket a jogi és normatív kereteket.