client vrea să știe dacă raportez incidente în termen de 24 de ore

24 de ore este o avertizare, nu o notificare completă

Nu, nu în sensul unui raport complet de incident în 24 de ore — dar există o obligație care se apropie de aceasta. Articolul 21 alineatul 2 din Directiva NIS2 obligă entitățile „importante ,.

Ceea ce dorește de obicei un client cu această întrebare nu este dacă tu îndeplinești obligația legală de raportare la o autoritate de supraveghere, ci dacă îl informezi pe el suficient de repede dacă ceva se întâmplă la tine care afectează serviciile sale. Aceasta este o înțelegere contractuală, nu o perioadă legală din directiva în sine — cele 24 de ore din NIS2 sunt o obligație între entitate și autoritatea de supraveghere, nu automat între furnizor și client. Dacă ai o procedură de incident cu propriile termene interne de raportare, acesta este documentul care se potrivește de obicei aici; această procedură este descrisă la întrebarea privind o procedură pentru incidente de securitate. Dacă nu ai un termen stabilit, atunci un "nu" cu o scurtă explicație este mai cinstit decât un "da" pe care nu îl poți justifica.

Unde se află aceasta în directivă: articolul 21 alineat 2

Obligația de notificare în faze — avertizare timpurie în 24 de ore, notificare în 72 de ore, raport final — este prevăzută în articolul 21 alineatul 2 din Directiva (UE) 2022/2555, ca parte a zece măsuri enumerate acolo. Această obligație se referă la relația dintre entitate și autoritatea de supraveghere competentă sau CSIRT-ul, nu la relația dintre furnizor și client. Legea olandeză privind securitatea cibernetică transpune această directivă în reglementările naționale; cine exact cade sub obligația de notificare și din ce moment rezultă din acea lege imediat ce intră în vigoare.