devo segnalare un incidente di sicurezza dello scorso anno nella lista di domande

Un incidente passato di solito appartiene sì alla risposta

Sì, nella maggior parte dei casi segnali un incidente dello scorso anno anche adesso, se la domanda nell'elenco non è esplicitamente limitata a un determinato periodo. I questionari di solito chiedono informazioni sulla situazione in generale: si è verificato un incidente e come è stato gestito. Un piccolo incidente dello scorso anno rientra in questa categoria, anche se nel frattempo è stato risolto e non ha più conseguenze. Se il periodo è indicato nella domanda — "negli ultimi dodici mesi" o "quest'anno solare" — questo è determinante, e allora includi solo ciò che rientra in quel periodo.

Spesso è più importante come hai risposto all'incidente stesso. Un cliente che chiede informazioni sugli incidenti vuole in realtà sapere se c'è un processo dietro: è stato segnalato, è stato risolto, se ne è imparato qualcosa. Ciò è in linea con una procedura per la gestione degli incidenti di sicurezza. Se hai una tale procedura e l'hai seguita, allora un piccolo incidente dello scorso anno non è un problema da segnalare — mostra anzi che il processo funziona. Se dubiti che i dettagli siano troppo sensibili per essere condivisi, utilizza il pulsante di riservatezza nella risposta invece di modificare la risposta stessa.

Perché questo è separato dall'obbligo di notifica della Legge sulla sicurezza informatica

Questa domanda in un questionario è diversa dall'obbligo di notifica legale a un'autorità di controllo. L'articolo 21 paragrafo 2 della direttiva NIS2 cita la gestione degli incidenti come una delle dieci misure obbligatorie per le entità soggette alla direttiva; la Legge sulla sicurezza informatica lo implementa come il recepimento olandese, con un obbligo di notifica all'autorità competente. Se questo obbligo di notifica si applica all'azienda dipende da se essa stessa rientra nella direttiva — questo può essere verificato presso la domanda se l'azienda è soggetta alla direttiva NIS2. La domanda in un questionario del cliente è indipendente da ciò: non chiede una notifica legale, ma trasparenza verso il cliente su quanto maturo sia il processo degli incidenti.