lista kontrolna pyta, jak zgłosilibyśmy im wyciek danych

To pytanie dotyczy procedury zgłoszenia, a nie obowiązku zgłoszenia do organu nadzoru

Klient pyta tutaj, jak działa Twój proces obsługi incydentów, a nie czy już kiedyś zgłosiłeś wyciek danych Urzędowi Ochrony Danych Osobowych. Poszukiwana odpowiedź to opis procesu: jak rozpoznajesz incydent bezpieczeństwa, kto wówczas zostaje ostrzeżony wewnętrznie, w jakim czasie klient sam otrzymuje powiadomienie i za pośrednictwem jakiego kanału. To dokładnie to, co powinno procedury obsługi incydentów bezpieczeństwa mieć zastosowanie, jeśli już opracowałeś w tej sprawie politykę.

Jeśli masz taki udokumentowany proces, odpowiedź jest zwykle „tak‟: posiadasz procedurę, osobę do kontaktu i uzgodniony termin powiadomienia wobec klientów, których dane lub systemy mogły zostać uszkodzone. Jeśli brakuje Ci tego procesu lub istnieje on tylko ustnie, wtedy „nie‟ lub „częściowo‟ jest faktycznie prawidłową odpowiedzią — obietnica, że będziesz robić to „od teraz‟ nie jest odpowiedzią na dzisiaj. Zwróć również uwagę na związek z dostawcami: jeśli incydent ma miejsce u strony trzeciej, która pracuje dla Ciebie, dotyczy to wymogów, które stawiasz swoim własnym dostawcom, a niektóre listy pytań pytają o to osobno.

Dlaczego to podlega artykułowi 21 ust. 2

Procedury zgłaszania incydentów wchodzą w skład dziesięciu środków z artykułu 21 ust. 2 dyrektywy NIS2 (Dyrektywa (UE) 2022/2555); ustęp b wymienia obsługę incydentów z nazwy. W Ustawie o bezpieczeństwie cybernetycznym, polskiej implementacji, która wchodzi w życie 15 sierpnia 2026 r., ten sam obowiązek obowiązuje dla podmiotów podlegających tej ustawie. ISO/IEC 27001 wymaga w Załączniku A podobnej dokumentacji, zgodnie ze środkami kontrolnymi zarządzania incydentami. Który z trzech ma zastosowanie w Pani/Pana przypadku, zależy od tego, czy Pani/Pana przedsiębiorstwo samo podlega jednym z tych regulacji — to jest inne pytanie niż to.