trebuie să informez clientul nostru dacă a avut loc o încălcare de date

De obicei da, dacă incidentul afectează serviciul pentru acel client

În cele mai multe cazuri, trebuie să raportați un incident cllientului dumneavoastră, dar nu fiecare incident și nu tuturor. Articolul 21 alineatul 2 al Directivei NIS2 menționează "gestionarea incidentelor" ca una dintre cele zece măsuri obligatorii, și majoritatea listelor de întrebări ale clienților transpun aceasta în: aveți un proces pentru a raporta incidentele, către cine, și în ce termen. Aceasta este diferit de o obligație legală de a raporta unei autorități de supraveghere — întrebarea clientului dumneavoastră se referă la acordul contractual sau operational dintre dumneavoastră și aceștia, nu la obligația de raportare pe care Legea de securitate cibernetică o va impune în curând anumitor entități.

O încălcare a datelor care afectează doar sistemele dvs. interne și nu atingă nici un fel de date sau serviciu al acelui client se situează adesea în afara acordului. De îndată ce incidentul afectează date, sisteme sau livrări care sunt relevante pentru acel client, raportarea este indicată — adesea în termenul prevăzut în contract sau în acordul de prelucrare, nu într-un termen pe care să-l putem preciza aici. Verificați deci mai întâi ce se stabilește în propria dumneavoastră înțelegere cu acel client, deoarece aceasta prevalează asupra unui răspuns general dintr-o listă de întrebări.

Ce reprezintă dovada și ce răspundeți fără procedură

Dovada subiacentă este procedura de gestionare a incidentelor de securitate: aceasta indică cine decide intern dacă ceva trebuie raportat, către cine, și în ce termen. Dacă nu ați stabilit acea procedură, atunci "nu" este răspunsul factual corect — un "da" fără document nu rezistă unui audit. Clienții care pun această întrebare, adesea întreabă și în aceeași listă despre politicii privind analiza riscurilor și securitatea sistemelor de informații, deoarece gestionarea incidentelor în articolul 21 alineatul 2 NIS2 și în Anexa A a ISO/IEC 27001 este considerată ca o parte coerentă a politicii de securitate, nu ca un proces separat.