il questionario chiede come comunicheremmo una violazione di dati

Questa domanda riguarda la procedura di segnalazione, non l'obbligo di segnalazione a un'autorità di vigilanza

Il cliente chiede qui come funziona il vostro processo di gestione degli incidenti, non se avete mai segnalato una violazione di dati all'Autorità per la protezione dei dati. La risposta richiesta è una descrizione del processo: come riconoscete un incidente di sicurezza, chi viene allertato internamente, entro quanto tempo il cliente riceve una notifica, e attraverso quale canale. Questo è esattamente quello che dovrebbe la procedura per gli incidenti di sicurezza rientrare se avete già definito una politica al riguardo.

Se avete un tale processo definito, la risposta di solito è "sì": avete una procedura, un punto di contatto e un termine di notifica concordato nei confronti dei clienti i cui dati o sistemi potrebbero essere stati interessati. Se manca questo processo, o esiste solo verbalmente, allora "no" o "parzialmente" è la risposta effettivamente corretta — una promessa di farlo "in futuro" non è una risposta per oggi. Fate attenzione anche al collegamento con i fornitori: se l'incidente si verifica presso una terza parte che lavora per voi, questo interessa i requisiti che ponete ai vostri stessi fornitori, e alcuni questionari chiedono informazioni separate al riguardo.

Perché rientra nell'articolo 21 paragrafo 2

Le procedure di segnalazione degli incidenti rientrano tra i dieci provvedimenti dell'articolo 21, paragrafo 2, della direttiva NIS2 (Direttiva (UE) 2022/2555); il paragrafo b menziona espressamente la gestione degli incidenti. Nel Cybersecurity Act, il recepimento olandese che entra in vigore il 15 agosto 2026, lo stesso obbligo si applica alle entità che rientrano in tale legge. ISO/IEC 27001 richiede una registrazione comparabile nell'Allegato A, tra le misure di controllo per la gestione degli incidenti. Quale delle tre si applica a voi dipende dal fatto che la vostra azienda rientri effettivamente in uno di questi regimi — questa è una domanda diversa da questa.