czy muszę zgłosić incydent bezpieczeństwa z ubiegłego roku w liście pytań

Stary incydent zwykle powinien być uwzględniony w odpowiedzi

Tak, w większości przypadków zgłaszasz incydent z zeszłego roku również teraz, jeśli pytanie na liście nie jest wyraźnie ograniczone do określonego okresu. Kwestionariusze zwykle pytają o sytuację w ogólności: czy doszło do incydentu i jak został on rozwiązany. Mały incydent z zeszłego roku podpada pod to, nawet jeśli został już rozwiązany i nie ma już żadnych skutków. Jeśli pytanie zawiera okres — "w ciągu ostatnich dwunastu miesięcy" lub "w tym roku kalendarzowym" — to jest wiążące, i wówczas uwzględniasz tylko to, co mieści się w tym okresie.

Ważniejsze niż sam incydent jest często to, jak na niego zareagowałeś. Klient, który pyta o incydenty, chce właściwie wiedzieć, czy istnieje za tym proces: czy został on wykryty, czy został rozwiązany, czy wyciągnięto wnioski. To odpowiada procedurze postępowania w przypadku incydentów bezpieczeństwa. Jeśli masz taką procedurę i została ona zastosowana, to mały incydent z zeszłego roku nie stanowi problemu do zgłoszenia — pokazuje to wręcz, że proces działa. Jeśli wątpisz, czy szczegóły są zbyt wrażliwe, aby je udostępnić, zamiast tego użyj przycisku poufności przy odpowiedzi zamiast modyfikować samą odpowiedź.

Dlaczego jest to oddzielone od obowiązku zgłoszenia wynikającego z Ustawy o Cyberbezpieczeństwie

To pytanie na liście pytań różni się od ustawowego obowiązku zgłoszenia do organu nadzoru. Artykuł 21 ust. 2 dyrektywy NIS2 wymienia zarządzanie incydentami jako jeden z dziesięciu obowiązkowych środków dla podmiotów podlegających dyrektywie; Ustawa o Cyberbezpieczeństwie wdrażający to jako polska transpozycja, z obowiązkiem zgłoszenia właściwemu organowi. To, czy ten obowiązek zgłoszenia ma zastosowanie do przedsiębiorstwa, zależy od tego, czy samo podlega dyrektywie — można to sprawdzić w kontekście kwestii, czy przedsiębiorstwo podlega dyrektywie NIS2. Pytanie na liście pytań od klienta jest od tego niezależne: pyta nie o zgłoszenie ustawowe, ale o przejrzystość wobec klienta dotyczącą tego, jak dojrzały jest proces obsługi incydentów.