czy musimy poinformować naszego klienta o wycieku danych

Zwykle tak, jeśli zdarzenie dotyczy usługi świadczonej temu klientowi

W większości przypadków należy zgłosić zdarzenie klientowi, ale nie każde zdarzenie i nie wszystkim. Artykuł 21 ust. 2 dyrektywy NIS2 wymienia "obsługę zdarzeń" jako jedną z dziesięciu obowiązkowych środków, a większość list kontrolnych klientów przekłada to na: czy mają Państwo proces zgłaszania zdarzeń, do kogo i w jakim terminie. To coś innego niż obowiązek prawny zgłoszenia do organu nadzoru — pytanie klienta dotyczy umowy lub ustaleń operacyjnych między Państwem a nimi, a nie obowiązku zgłoszenia, który ustawa o cyberbezpieczeństwie wkrótce nałoży na określone podmioty.

Naruszenie danych, które dotyczy wyłącznie wewnętrznych systemów Państwa i nie obejmuje żadnych danych ani usług istotnych dla tego klienta, często wykracza poza ustalenia. Gdy zdarzenie rzeczywiście dotyczy danych, systemów lub dostaw istotnych dla tego klienta, zgłoszenie jest uzasadnione — często w terminie określonym w umowie lub umowie przetwarzania, a nie w terminie, który możemy tutaj podać. Sprawdzenie najpierw, co zostało ustalone w Państwa umowie z tym klientem, jest zatem konieczne, ponieważ ma to pierwszeństwo przed ogólną odpowiedzią w liście kontrolnej.

Co stanowi dowód i jak Państwo odpowiadacie bez procedury

Dowodem jest procedurą obsługi incydentów bezpieczeństwa: zawiera informacje o tym, kto wewnętrznie decyduje o konieczności zgłoszenia, do kogo i w jakim terminie. Jeśli Państwo nie udokumentowali tej procedury, wówczas "nie" jest faktycznie poprawną odpowiedzią — odpowiedź "tak" bez dokumentu nie wytrzyma audytu. Klienci stawiający to pytanie często zadają w tej samej liście również polityki analizy ryzyka i bezpieczeństwa systemów informatycznych, ponieważ obsługa zdarzeń w artykule 21 ust. 2 NIS2 i w Załączniku A ISO/IEC 27001 jest postrzegana jako powiązana część polityki bezpieczeństwa, a nie jako proces autonomiczny.