cliente quer saber se eu informo incidentes dentro de 24 horas

24 horas é um aviso, não uma notificação completa

Não, no sentido de um relatório de incidente completo dentro de 24 horas — mas existe sim uma obrigação que se aproxima disso. O artigo 21.º, n.º 2 da Diretiva NIS2 obriga as entidades «importantes» e «essenciais» a notificar incidentes significativos em fases: um aviso inicial dentro de 24 horas, seguido de uma notificação completa dentro de 72 horas, e um relatório final posteriormente. Esta obrigação aplica-se diretamente à entidade que se enquadra na NIS2 — normalmente é o cliente que envia o questionário, não automaticamente o fornecedor que o preenche. Se a obrigação de 24 horas também recai sobre a sua própria empresa depende de se enquadrar ou não como entidade sob a diretiva; isso está descrito em a questão de se a empresa se enquadra ou não na NIS2.

O que um cliente geralmente quer saber com esta questão não é se cumpre a obrigação legal de notificação a uma autoridade supervisora, mas se o informa com suficiente rapidez caso algo corra mal em seu serviço. Esta é uma acordada contratual, não um prazo legal da diretiva em si — as 24 horas da NIS2 são uma obrigação entre entidade e autoridade supervisora, não automaticamente entre fornecedor e cliente. Se tem um procedimento de incidente com prazos internos de notificação próprios, é esse o documento comprovativo que normalmente se aplica; esse procedimento está descrito em a questão sobre um procedimento para incidentes de segurança. Se não tem um prazo estabelecido, é mais honesto responder «não» com uma breve explicação do que um «sim» que não consegue fundamentar.

Onde consta na diretiva: artigo 21.º, n.º 2

A obrigação de notificação faseada — aviso inicial dentro de 24 horas, notificação dentro de 72 horas, relatório final — consta do artigo 21.º, n.º 2 da Diretiva (UE) 2022/2555, como parte das dez medidas enumeradas. Esta obrigação diz respeito à relação entre a entidade e a autoridade supervisora competente ou o CSIRT, não à relação entre fornecedor e cliente. A Lei Holandesa de Cibersegurança transpõe esta diretiva para a legislação nacional; quem exatamente se enquadra na obrigação de notificação e a partir de quando resulta dessa lei assim que entrar em vigor.