trebamo li prijaviti sigurnosni incident od prošle godine našem klijentu

Stari incident spada u upitnik, a ne u odvojeni kanal izvještavanja

Da, sigurnosni incident iz prošle godine unosite ako se pitanje odnosi na incidente ili na njihovo rješavanje — čak i ako je sam incident već zatvoren. Pitanje u većini upitnika klijenata ne odnosi se na trenutnu prijetnju, već na to postoji li procedure i funkcionira li ona. Riješeni incident iz prošle godine javljajem se kao dokaz nego kao rizik: pokazuje da postupkom rukovanja incidentima sigurnosti u praksi je proveden, od signaliziranja do zatvaranja.

Ovo je dakle drugačije od zakonske obaveze prijave nadzornom tijelu — koja ima svoje rokove i svoje primatelje, a ti rokovi su давно istekli ako je incident iz prošle godine. Upitnik vašeg klijenta nije mjesto za prijavu; to je pitanje odgovornosti. Odgovorite na temelju onoga što je sada utvrđeno: postoji li procedure, je li primjena, jesu li poboljšanja provedena na temelju incidenta? Ako potonje nedostaje, tada su "ne" ili "djelomično" toliko valjani odgovori kao "da" — ako su samo u skladu s onim što je navedeno u dokumentaciji lanca.

Odakle ovo dolazi: članak 21 stavak 2 i Prilog A

Članak 21 stavak 2 Direktive NIS2 navodi rukovanje incidentima kao jednu od deset obaveznih mjera, zajedno s ostalim stvarima kao što je analizu rizika i zaštitu informacijskih sustava i politika kontinuiteta. ISO/IEC 27001 to razvija u Prilogu A u mjere kontrole koje zahtijevaju registraciju, odgovor i procjenu incidenta — zatvorena datoteka iz prošle godine idealno se uklapa kao primjer materijala. Zakon o kibernetskoj sigurnosti, netherlanska primjena NIS2, stupa na snagu 15. august 2026. i regulira zakonsku obavezu prijave vladi; to je drugačiji proces od odgovornosti koju klijent traži u svom vlastitom upitaniku.