vai man ir jāziņo par drošības incidentu no pagājušā gada anketā

Vecs incidents parasti tomēr pieder atbildē

Jā, vairumā gadījumu jūs paziņojat par iepriekšējā gada incidentu arī tagad, ja jautājums sarakstā nav skaidri ierobežots ar noteiktu laika periodu. Jautājumlistās parasti tiek jautāts par situāciju kopumā: vai ir noticis incidents un kā tas tika risināts. Neliels incidents no iepriekšējā gada ietilpst tajā, pat ja tas jau ir atrisināts un vairs nav negatīvu sekas. Ja jautājumā ir norādīta laika periode — "pēdējos divpadsmit mēnešus" vai "šo kalendāro gadu" — tā ir noteicošā, un tad jūs iekļaujat tikai to, kas ietilpst šajā periodā.

Bieži svarīgāks nekā pats incidents ir tas, kā uz to esat reaģējuši. Klients, kurš jautā par incidentiem, patiesībā vēlas uzzināt, vai aiz tā ir kāds process: vai tas ir konstatēts, vai tas ir atrisināts, vai no tā ir mācīts. Tas atbilst drošības incidentu apstrādes procedūrai. Ja jums ir šāda procedūra un tā tika ievērota, tad mazs incidents no iepriekšējā gada nav problēma paziņot — tas drīzāk parāda, ka process darbojas. Ja jūs šaubāties, vai sīkumus ir pārāk sensitīvi dalīties, tad vietā tam, lai pielāgotu pašu atbildi, izmantojiet konfidencialitātes pogu.

Kāpēc tas atšķiras no paziņošanas pienākuma Cybersecurity Act

Šis jautājums jautājumlistā atšķiras no likumā noteiktā paziņošanas pienākuma uzraudzības iestādei. NIS2 direktīvas 21. panta 2. punkts uzskaita incidentu apstrādi kā vienu no desmit obligātiem pasākumiem entītijām, kas ietilpst direktīvā; Cybersecurity Act to nosaka kā Nīderlandes transponējumu ar paziņošanas pienākumu kompetentajai iestādei. Vai šis paziņošanas pienākums attiecas uz uzņēmumu, ir atkarīgs no tā, vai tas pats ietilpst direktīvā — to var pārbaudīt vietnē jautājums, vai uzņēmums ietilpst NIS2 direktīvā. Jautājums klientu jautājumlistā atšķiras no tā: tas neprasa likumdošanas paziņošanu, bet gan pārredzamību pret klientu par to, cik briedis ir incidents process.