Kā es atbildu uz jautājumu par mūsu paziņošanas procedūru datu noplūdes gadījumā

Pašas paziņošanas procedūra, nevis datu noplūde

Jautājums ir par jūsu iekšējiem procesiem, nevis par to, vai jau kādreiz ir bijusi noplūde. Klients vēlas zināt, vai ir izstrādāta procedūra drošības incidentu risināšanai: kurš paziņo par aizdomām, kam, cik ilgā laikā notiek eskalācija, un kurš izlemj, vai informēt uzraudzības iestādi vai personīgās datus skartos personas. Tā ir tā pati procedūra, par kuru tiek jautāts arī pie drošības incidentu risināšanas procedūras — datu noplūde ir praksē noteikts incidents šajā procesā, nevis atsevišķs dokuments.

Ja jums ir šāda procedūra, "jā" var pamatot ar pašu dokumentu: soļu plānu, atbildīgu personu (bieži vien drošības darbinieks vai DPO) un iepriekšējo paziņojumu reģistrāciju kā pierādījumu, ka process arī darbojas. Ja sistematizēta procedūra trūkst, bet pastāv neformāla shēma ("zvaniet īpašniekam"), tas parasti nav pietiekami, lai teiktu "jā" — dossier nav avota, uz kura balstīties, un sistēma šajā gadījumā neietekmē nevienu atbildi. Daži klenti vēlas noskaidrot arī to, vai jūs paši pakļaujat paziņošanas pienākumam; tas ir atšķirīgs jautājums nekā pati procedūra, un to var izsekot, izmantojot statusu kā NIS2 entītija.

Kāpēc tas ietilpst 21. panta 2. punktā

NIS2 direktīvas 21. panta 2. punktā "incidentu risināšana" minēta kā viena no desmit obligātajām pasākumiem, un datu noplūdes paziņošanas procedūra ir tā realizācija personīgo datu kontekstā. ISO/IEC 27001 Pielikums A to turpina attīstīt ar kontroles pasākumiem, kas saistīti ar incidentu vadību, kas izskaidro, kāpēc klients ar ISO jautājumu bieži pieņem vienu un to pašu procedūru kā pierādījumu. Kiberdraudzības likums, Nīderlandes transponējums, stājas spēkā 2026. gada 15. augustā un arī nacionālā līmenī nosaka šo pienākumu entītijām, kuras tam pakļaujas.