czy muszę zgłosić włamanie lub naruszenie danych mojemu zleceniodawcy

Zgłoszenie klientowi jest zwykle umowne, a nie ustawowe

Obowiązek zgłoszenia w przypadku incydentu cybernetycznego znajduje się w większości przypadków w umowie z klientem, a nie bezpośrednio w prawie. Artykuł 21 ust. 2 dyrektywy NIS2 zobowiązuje organizacje, które same podlegają tej dyrektywie, do reagowania na incydenty i do zgłaszania ich własnemu organowi nadzorczemu — to jest lista dziesięciu środków, które pojawia się w praktycznie każdej ankiecie. Ten obowiązek zgłoszenia organowi nadzorczemu różni się od obowiązku zgłoszenia klientowi. To, czy musisz zgłosić incydent swojemu zleceniodawcy, zależy od tego, co zawiera umowa o przetwarzaniu danych lub umowa dostawy, oraz od tego, czy twój klient sam podlega dyrektywie NIS2 i dlatego zależy od twojego zgłoszenia, aby utrzymać łańcuch w porządku.

W praktyce ankieta nie pyta "czy miał pan incydent", ale czy istnieje procedura rozpoznawania, oceny i zgłaszania incydentów — to dokładnie to, do czego zmierza. pytaniu o procedurę obsługi incydentów bezpieczeństwa dąży. Jeśli masz taką procedurę, możesz odpowiedzieć tak na to pytanie bez konieczności mówienia, czy i kiedy miał miejsce konkretny incydent. To ostatnie pozostaje odrębnym pytaniem umownym, które może się różnić w zależności od klienta.

Podstawa: Ustawa o bezpieczeństwie cybernetycznym i Załącznik A

Ustawa o bezpieczeństwie cybernetycznym, polska implementacja NIS2, która wchodzi w życie 15 sierpnia 2026 r., nakłada obowiązek zgłoszenia organowi nadzorczemu na podmioty podlegające ustawie — to, czy dotyczy to twojego przedsiębiorstwa, jest pytaniem, które pojawia się również na czy przedsiębiorstwo samo podlega dyrektywie NIS2. ISO/IEC 27001 Załącznik A pracuje to wewnętrznie jako środek kontroli zarządzania incydentami, niezależnie od jakiegokolwiek obowiązku zgłoszenia stronie trzeciej. Umowny obowiązek zgłoszenia klientowi stoi zatem obok, a nie zamiast tych ram prawnych i normatywnych.