kyselylomake kysyy, olemme ilmoittaneet poikkeamista valvontaviranomaiselle

Ilmoitusvelvollisuus koskee vain, jos olet itse NIS2:n piirissä

Tämä kysymys on relevantti vain, jos yrityksesi on itse NIS2-yksikkö — välttämätön tai tärkeä. Jos et ole tämän piirissä, vastaus on yleensä "ei sovellettavissa" ja voit merkitä sen näin, lyhyellä perustelulla miksi. Jos olet epävarma asemastasi, se on selvitettävä ensin osoitteessa tai määritä, kuuluuko yritys NIS2-direktiivin soveltamisalaan — vastaus tähän kysymykseen riippuu siitä suoraan.

Jos olet NIS2:n piirissä, kysymys käsittelee sitä, oletko todella ilmoittanut häiriöistä, jotka täyttävät ilmoituskriteerit, CSIRT:lle tai asianomaiselle valvontaviranomaiselle, määräajassa (ensimmäinen ilmoitus, väliraportti, loppuraportti). Jos olet tehnyt sen, "kyllä" voidaan perustella ilmoituksen vahvistuksella tai häiriörekisterillä todisteena. Jos sinulla ei ollut ilmoitusvelvoitteeseen oikeuttavaa häiriötapausta kysytyn ajanjakson aikana, "ei" on faktisesti oikea vastaus — se ei ole puute, ja voit selittää sen näin vapaamuotoisessa tekstikentässä. Ongelmalliseksi asiaksi tulee vasta, jos häiriö oli olemassa, se täytti kriteerit ja ilmoitusta ei tehty; se on tosiasia, joka dossierisiin täytyy yksinkertaisesti heijastua, ei asia, jota pitäisi muotoilla uudelleen. Tällä kysymyksellä on muuten yhteys turvallisuuspoikkeamien käsittelystä johtuvaan menettelyyn`: ilman toimivaa menettelyä ei yleensä ole myöskään eheää ilmoitusprosessia.

Mistä tämä johtuu: artiklan 21 kohdan 2 alakohta b ja Kyberturvallisuuslaki

Ilmoitusvelvollisuus sinänsä ei sisälly artiklan 21 kohtaan 2 — artikla kuvaa kymmenen toimenpidettä, joista b:n alainen häiriöiden käsittely on hallinnollinen toimenpide. Varsinainen ilmoitusvelvollisuus määräajoineen on säädetty erikseen direktiivissä ja otetaan Alankomaissa käyttöön Kyberturvallisuuslaissa, joka tulee voimaan 15. elokuuta 2026. Siihen saakka Alankomaissa ei ole NIS2:een perustuvaa kansallista ilmoitusvelvollisuutta; mitä asiakas nyt jo kysymyslistassa kysyy, on usein ennakko kyseisestä velvoitteesta tai ISO 27001 -kysymys häiriöiden rekisteröinnistä liitteessä A.