vai mums jāziņo par iepriekšējā gada drošības incidentu mūsu klients

Vecs incidents pieder jautājumlapiņai, nevis atsevišķam paziņošanas kanālam

Jā, iepriekšējā gada drošības incidents jāaizpilda, ja jautājums attiecas uz incidentiem vai to risināšanu — pat ja pats incidents jau ir slēgts. Lielākās daļas klientu jautājumlapiņas jautājums neskar aktuālu draudus, bet gan to, vai pastāv procedūra un vai tā darbojas. Pagājušā gada atrisināts incidents ir labāks pierādījums nekā risks: tas parāda, ka drošības incidentu risināšanas procedūru praksē ir izpildīts, no signāla paziņošanas līdz slēgšanai.

Tas atšķiras no likumā noteiktās paziņošanas pienākuma uzraudzības iestādei — tai ir savas derīguma termiņi un savas adresāti, un šie termiņi jau sen ir pagājuši, ja incidents ir no pagājušā gada. Jūsu klienta jautājumlapiņa nav paziņošanas punkts; tas ir atbildības jautājums. Atbildiet uz to, pamatojoties uz to, kas šobrīd ir fiksēts: vai pastāv procedūra, vai tā tika piemērota, vai tika veikti uzlabojumi incidents ņemot vērā? Ja pēdējais trūkst, tad "nē" vai "daļēji" ir tikpat derīga atbilde kā "jā" — ja vien tā atbilst tam, kas ir ketnes dosijē.

No kurienes tas nāk: 21. pants, 2. punkts un Pielikums A

NIS2 direktīvas 21. panta 2. punkts nosaka incidentu risināšanu kā vienu no desmit obligātajiem pasākumiem, kā arī riska analīzi un informācijas sistēmu aizsardzību un nepārtrauktas darbības politika. ISO/IEC 27001 to Pielikumā A izstrādā par drošības kontroles pasākumiem, kas prasa incidentu reģistrēšanu, reagēšanu un novērtēšanu — pagājušā gada slēgts fails ir ideāli piemērots kā parauga materiāls. Kiberdrosmības likums, NIS2 Nīderlandes transponēšana, stājas spēkā 2026. gada 15. augustā un regulē likumā noteikto paziņošanas pienākumu valstij; tas ir atšķirīgs ceļojums nekā atbildība, ko klients pieprasa savā paziņumlapiņā.