devo informar uma violação de dados ao cliente cujos dados foram afetados

Contractualmente geralmente sim, legalmente não automaticamente ao cliente

Geralmente sim, mas não porque a NIS2 o prescreva desta forma. O artigo 21.º, n.º 2 da Diretiva obriga a notificar uma ameaça significativa ou incidente à CSIRT nacional ou à autoridade competente — não diretamente a cada cliente. A obrigação de notificação ao próprio cliente consta geralmente do contrato ou do acordo de processamento, e é frequentemente mais rigorosa e mais rápida do que o que a NIS2 exige. Quem apenas consulta a Diretiva e não verifica os seus próprios contratos, perde assim a obrigação que na prática é a primeira a aplicar-se.

Para o cliente que coloca a questão num questionário, geralmente não se trata da obrigação legal de notificação, mas do processo: têm uma rota estabelecida para detetar, avaliar e comunicar um incidente, e está aí definido quando um cliente é informado? É precisamente isto que o procedimento para incidentes de segurança trata, e a maioria dos questionários pergunta pela existência desse procedimento, não por casuística isolada. Se a empresa não tem esse procedimento documentado, então "não" é a resposta honesta aqui — ninguém pode preencher um compromisso de telefonar sempre a um cliente por ti.

Em que se baseia: artigo 21.º, n.º 2 da NIS2 e o seu próprio contrato

O artigo 21.º, n.º 2 da Diretiva (UE) 2022/2555 enumera as dez medidas que uma entidade deve implementar, incluindo sob i) um processo de tratamento de incidentes; a obrigação de notificação a uma autoridade consta do artigo 23.º, não do n.º 2, e dirige-se à CSIRT ou à autoridade competente. O Anexo A da ISO/IEC 27001 inclui uma medida de controlo similar para gestão de incidentes, incluindo comunicação com partes interessadas, mas também aí o cliente não é automaticamente o destinatário padrão — isso é preenchido por cada organização. A Lei de Segurança Cibernética, a transposição holandesa que entra em vigor em 15 de agosto de 2026, segue a mesma estrutura. Quem pretender saber se a sua própria empresa está abrangida por estas regras, verifica junto de a questão de saber se a empresa é uma entidade NIS2; a notificação ao cliente permanece em qualquer caso uma questão do contrato aplicável.