klausimynas klausia, ar pranešėme apie incidentus priežiūros institucijai

Pranešimo pareiga galioja tik jei tu pats negrybtum NIS2

Šis klausimas yra aktualus tik jei jūsų įmonė pati yra NIS2 subjektas — esminis arba svarbus. Jei jūs ten nepatekate, atsakymas paprastai yra "netaikytina" ir tai taip pat galite nurodyti trumpu paaiškinimu, kodėl. Jei abejojate dėl šio statuso, tai pirmiausia turėtų būti išaiškinta per ar įmonė patenka į NIS2 direktyvos taikymo sritį — šio klausimo atsakymas tiesiogiai nuo to priklauso.

Jei jūs turite NIS2 taikyti, klausimas susiveda į tai, ar jūs iš tiesų pranešėte apie incidentus, atitinkančius pranešimo kriterijus, CSIRT arba kompetentingai priežiūros institucijai, per nustatytus terminus (pirmasis pranešimas, tarpinis pranešimas, galutinė ataskaita). Jei tai padarėte, "taip" galima pagrįsti pranešimo patvirtinimu ar incidentų registru kaip įrodymu. Jei per nurodytą laikotarpį jūs tiesiog neturėjote incidento, atitinkančio pranešimo pareigą, tada "ne" yra faktiškai teisingas atsakymas — tai nėra trūkumas, ir tai galite paaiškinti laisvos formos teksto lauke. Problemiška tampa tik tada, jei buvo incidentas, atitinkantis kriterijus, ir pranešimas nebuvo pateiktas; tai yra faktas, kurį jūsų byla turėtų paprasčiausiai atspindėti, o ne bandyti kitaip suformuluoti. Šis klausimas, beje, yra susijęs su procedūrą saugumo incidentams tvarkyti: be veikiančios procedūros paprastai nėra ir sausumo tikrinti pranešimo proceso.

Iš kur tai išplaukia: 21 straipsnio 2 dalis b punktas ir Kibernetinio saugumo įstatymas

Pati pranešimo pareiga nėra 21 straipsnyje 2 dalyje — tas straipsnis aprašo dešimt priemonių, iš kurių b dalyje — incidentų tvarkymas kaip valdymo priemonė. Dėl faktinės pranešimo pareigos su terminais yra atskirai nustatyta direktyvoje ir Nyderlandams perkeliama per Kibernetinio saugumo įstatymą, kuris įsigalios 2026 m. rugpjūčio 15 d. Iki tos datos Nyderlanduose nėra jokios teisinės pranešimo pareigos pagal NIS2; tai, ką klientas dabar jau klausia anketoje, dažnai yra išankstinis pasiruošimas tai pareigai arba ISO 27001 klausimas apie incidentų registraciją Priede A.