klausimas paklausimas, kaip mes pranešime apie duomenų pažeidimą jiems

Šis klausimas yra apie pranešimo procedūrą, o ne apie pranešimo pareigą priežiūros institucijai

Klientas čia klausia, kaip veikia jūsų incidento procesas, o ne tai, ar jūs kada nors esate pranešę apie duomenų nuotėkį Asmenų duomenų apsaugos institucijai. Prašomas atsakymas yra proceso aprašymas: kaip jūs atpažįstate saugos incidentą, kas tada yra perspėjamas viduje, per kokį laiką pats klientas gauna pranešimą ir per kokį kanalą. Tai yra būtent tai, kas turėtų būti saugumo incidentų tvarkos procedūra įtraukta, jei jūs jau nustatėte politiką šiam klausimui.

Jei turite tokį nustatytą procesą, atsakymas dažniausiai yra „taip": turite procedūrą, atsakingą asmenį ir susitartą pranešimo terminą klientams, kurių duomenys ar sistemos gali būti paveikti. Jei šio proceso nėra, arba jis egzistuoja tik žodžiu, tai „ne" arba "iš dalies" yra faktiškai teisingas atsakymas — žodinis įsipareigojimas tai „nuo šiol daryti" nėra šiandienos atsakymas. Atkreipkite dėmesį ir į ryšį su tiekėjais: jei incidentas kilo pas trečiąją šalį, kuri dirba jūsų naudai, tai liečia reikalavimus, kuriuos jūs keliате savo tiekėjams, ir kai kurie klausimynai dėl to klausia atskirai.

Kodėl tai patenka į 21 straipsnio 2 dalį

Incidentų pranešimo procedūros yra dešimt NIS2 direktyvos 21 straipsnio 2 dalies (Direktyva (ES) 2022/2555) priemonių; dalis b konkrečiai nurodo incidento tvarkymo procedūras. Kibernetinio saugumo įstatyme, Nyderlandų šio įstatymo perėmime, kuris įsigalios 2026 m. rugpjūčio 15 d., yra tas pats reikalavimas subjektams, kurie patenka į šio įstatymo taikymo sritį. ISO/IEC 27001 priede A reikalauja panašaus nustatymo pagal incidento valdymo kontrolės priemones. Kuris iš šių trijų jums taikomas, priklauso nuo to, ar jūsų įmonė pati patenka į vieną iš šių reguliavimo aktų – tai yra kitas klausimas nei šis.