como respondo à pergunta sobre o nosso procedimento de notificação em caso de violação de dados

O procedimento de comunicação em si, não a violação de dados

A pergunta é sobre o seu processo interno, não sobre se já houve uma violação. O cliente quer saber se existe um procedimento estabelecido para lidar com incidentes de segurança: quem comunica uma suspeita, a quem, em quanto tempo há escalação, e quem decide se uma autoridade de supervisão ou os interessados são informados. Este é o mesmo procedimento sobre o qual se pergunta em o procedimento para incidentes de segurança — uma violação de dados é na prática um tipo específico de incidente dentro desse processo, não um documento separado.

Se têm esse procedimento, é possível apoiar uma resposta "sim" com o documento em si: um plano de ação, uma função responsável (frequentemente oficial de segurança ou DPO), e um registo de comunicações anteriores como prova de que o processo também funciona. Se falta um procedimento estabelecido, mas existe uma linha informal ("ligue ao proprietário"), isso geralmente não é suficiente para um "sim" — o dossiê não tem então uma fonte em que se apoiar, e o sistema não propõe uma resposta nesse caso. Alguns clientes perguntam também se estão sujeitos a uma obrigação de comunicação; esta é uma pergunta diferente do procedimento em si, e pode ser rastreada através de o estatuto de entidade NIS2.

Por que isto se enquadra no artigo 21.º n.º 2

O artigo 21.º n.º 2 da Diretiva NIS2 menciona "incident handling" como uma das dez medidas obrigatórias, e um procedimento de comunicação de violações de dados é a sua concretização em relação aos dados pessoais. A Norma ISO/IEC 27001 Anexo A desenvolve isto ainda mais nas medidas de controlo relacionadas com a gestão de incidentes, o que explica por que razão os clientes com uma pergunta sobre ISO frequentemente aceitam o mesmo procedimento como peça de prova. A Lei de Cibersegurança, a transposição neerlandesa, entra em vigor em 15 de agosto de 2026 e também estabelece esta obrigação a nível nacional para as entidades que se lhe sujeitem.