devemos informar o nosso cliente se houve uma violação de dados

Geralmente sim, se o incidente afetar o serviço desse cliente

Na maioria dos casos, você deve comunicar um incidente ao seu cliente, mas nem todo incidente e nem a todos. O artigo 21.º, n.º 2 da Diretiva NIS2 menciona "tratamento de incidentes" como uma das dez medidas obrigatórias, e a maioria dos questionários de clientes traduz isso em: tem um processo para comunicar incidentes, a quem e em que prazo? É algo diferente de uma obrigação legal de comunicação a uma autoridade de supervisão — a questão do seu cliente diz respeito ao acordo contratual ou operacional entre vocês e eles, não à obrigação de comunicação que a Lei de Cibersegurança em breve imporá a determinadas entidades.

Uma violação de dados que afeta apenas seus próprios sistemas internos e não afeta nenhum dado ou serviço desse cliente geralmente fica fora do acordo. Assim que o incidente afetar dados, sistemas ou entregas relevantes para esse cliente, é recomendável comunicar — geralmente dentro do prazo estipulado no contrato ou no acordo de processamento, não dentro de um prazo que possamos indicar aqui. Verifique primeiro o que foi acordado no seu próprio contrato com esse cliente, pois isso tem precedência sobre uma resposta geral num questionário.

O que é o documento de apoio e o que você responde sem procedimento

A evidência subjacente é o procedimento para o tratamento de incidentes de segurança: nela consta quem internamente decide se algo deve ser comunicado, a quem e em que prazo. Se não tiver formalizado esse procedimento, então "não" é a resposta factualmente correta — um sim sem documentação não resiste a uma auditoria. Clientes que colocam esta questão geralmente perguntam também sobre política de análise de risco e segurança dos sistemas de informação, porque o tratamento de incidentes no artigo 21.º, n.º 2 NIS2 e no Anexo A da ISO/IEC 27001 é considerado como parte coerente da política de segurança, não como um processo isolado.