trebuie să raportez un atac sau scurgere de date către mandantul meu

Raportarea către client este de obicei contractuală, nu legală

Obligația de raportare în caz de incident de securitate cibernetică se află în majoritatea cazurilor în contractul cu clientul tău, nu direct în lege. Articolul 21 alineatul 2 al Directivei NIS2 obligă organizațiile care se încadrează în cadrul directivei să răspundă la incidente și să raporteze autorității de supraveghere proprii — aceasta este seria de zece măsuri pe care o vezi în aproape fiecare chestionar. Această obligație de raportare unei autorități de supraveghere este diferită de obligația de raportare către un client. Dacă trebuie să raportezi un incident managerului tău, depinde de ceea ce prevede contractul de prelucrare sau contractul de furnizare, și dacă clientul tău însuși se încadrează în Directiva NIS2 și, prin urmare, depinde de raportarea ta pentru a-și menține propria lanț de aprovizionare în ordine.

În practică, chestionarul nu întreabă "ați avut un incident", ci dacă există o procedură pentru a recunoaște, evalua și raporta incidentele — aceasta este exact ceea ce își propune. întrebarea privind o procedură pentru incidente de securitate dacă ai această procedură, poți răspunde cu da la acea întrebare fără a fi nevoit să spui vreodată dacă și când ai avut un incident specific. Acesta din urmă rămâne o întrebare separată, contractuală, care poate diferi în funcție de client.

Pe ce se bazează aceasta: Legea de securitate cibernetică și Anexa A

Legea de securitate cibernetică, transpunerea olandeză a NIS2 care intră în vigoare pe 15 august 2026, stabilește obligația de raportare autorității de supraveghere pentru entitățile care se încadrează în cadrul legii — dacă acest lucru se aplică întreprinderii tale este întrebarea care apare, de asemenea, în cazul dacă întreprinderea se încadrează sub Directiva NIS2. ISO/IEC 27001 Anexa A o elaborează ca măsură de control pentru gestionarea incidentelor, independent de orice obligație de raportare către o parte externă. Prin urmare, o obligație contractuală de raportare către un client se situează alături de, nu în locul, acestor cadre legale și normative.