devo segnalare una violazione di dati al cliente di cui sono i dati

Contrattualmente sì per lo più, legalmente non automaticamente al cliente

Per lo più sì, ma non perché NIS2 lo prescrive così. L'articolo 21 paragrafo 2 della direttiva obbliga a notificare una minaccia significativa o un incidente all'ente CSIRT nazionale o all'autorità competente — non direttamente a ogni cliente. L'obbligo di notifica al cliente stesso è per lo più stabilito nel contratto o nell'accordo di trattamento dei dati, ed è spesso più severo e più rapido di quanto richiesto da NIS2. Chi guarda solo la direttiva e non consulta i propri contratti, si perde quindi l'obbligo che in pratica conta di più.

Per il cliente che pone la domanda in un questionario, di solito non si tratta dell'obbligo legale di notifica ma del processo: avete una procedura fissa per riconoscere, valutare e notificare un incidente, e in essa è indicato quando viene informato un cliente? Questo è esattamente ciò di cui la procedura per gli incidenti di sicurezza parla, e la maggior parte dei questionari chiedono l'esistenza di quella procedura, non casuistica isolata. Se l'impresa non ha quella procedura per iscritto, allora "no" è qui la risposta onesta — nessuno può compilare qui per te una promessa che un cliente verrà sempre contattato.

Su cui si basa: articolo 21 paragrafo 2 NIS2 e il proprio contratto

L'articolo 21 paragrafo 2 della Direttiva (UE) 2022/2555 elenca le dieci misure che un'entità deve adottare, tra cui i) un processo di gestione degli incidenti; l'obbligo di notifica a un'autorità è stabilito nell'articolo 23, non nel paragrafo 2 stesso, e si rivolge all'ente CSIRT o all'autorità competente. L'Allegato A di ISO/IEC 27001 prevede un analogo controllo gestionale per la gestione degli incidenti, inclusa la comunicazione alle parti interessate, ma nemmeno qui il cliente è automaticamente il destinatario standard — questo viene definito per ogni organizzazione. La Legge sulla sicurezza informatica, il recepimento olandese che entra in vigore il 15 agosto 2026, segue la stessa struttura. Chi vuole sapere se la propria impresa ricade sotto queste norme, lo verifica presso la domanda se l'impresa è un'entità NIS2; la notifica al cliente stesso rimane in tutti i casi una questione del contratto applicabile.