måste jag rapportera ett dataöverträdelse till kunden vars data det är

Vanligtvis enligt avtal, men inte automatiskt enligt lag till kunden

Vanligtvis ja, men inte för att NIS2 föreskriver det. Artikel 21 punkt 2 i direktivet kräver att ett betydande hot eller incident anmäls till det nationella CSIRT eller behörig myndighet — inte direkt till varje kund. Anmälningsplikten gentemot själva kunden fastställs vanligtvis i avtalet eller databehandlingsavtalet, och denna är ofta strängare och snabbare än vad NIS2 kräver. Den som endast läser direktivet och inte kontrollerar sina egna avtal missar därför den plikt som är mest relevant i praktiken.

För kunden som ställer frågan i en enkät handlar det vanligtvis inte om den lagstiftade anmälningsplikten utan om processen: har ni en etablerad rutin för att upptäcka, bedöma och anmäla ett incident, och framgår det av denna när en kund informeras? Det är exakt vad proceduren för säkerhetsincidenter handlar om, och de flesta enkäter frågar efter existensen av denna process, inte om enskilda fall. Om företaget inte har denna process dokumenterad är "nej" här det ärliga svaret — ett löfte om att en kund alltid kontaktas kan ingen fylla i här för dig.

Vad detta baseras på: artikel 21 punkt 2 NIS2 och det egna avtalet

Artikel 21 punkt 2 i Direktiv (EU) 2022/2555 anger de tio åtgärder som en enhet måste vidta, däribland under i) en incidenthanteringsprotes; anmälningsplikten till en myndighet återfinns i artikel 23, inte i punkt 2 själv, och riktar sig till CSIRT eller behörig myndighet. Bilaga A till ISO/IEC 27001 innehåller en motsvarande kontrollåtgärd för incidenthantering, inklusive kommunikation till intressenter, men även där är kunden inte automatiskt standardmottagaren — det fastställs för varje organisation. Cybersäkerhetslag, den nederländska genomföringen som träder i kraft den 15 augusti 2026, följer samma struktur. Den som vill veta om sitt eget företag omfattas av dessa regler kontrollerar det hos frågan om företaget är en NIS2-enhet; anmälan till själva kunden förblir i alla fall en fråga om det gällande avtalet.