musíme oznámiť bezpečnostný incident z minulého roku našemu zákazníkovi

Starý incident patrí do dotazníka, nie do samostatného komunikačného kanála

Áno, bezpečnostný incident z minulého roka vyplníte, ak sa otázka týka incidentov alebo ich riešenia — aj keď bol samotný incident už uzavretý. Otázka vo väčšine zákazníckeho dotazníka sa netýka aktuálnej hrozby, ale toho, či existuje postup a či funguje. Vyriešený incident z minulého roka je na to skôr dôkazom ako rizikom: ukazuje, že postupom na spracovanie bezpečnostných incidentov v praxi sa previedol, od nahlásenia až po uzavretie.

Toto je teda niečo iné ako zákonná oznamovacia povinnosť voči dohľadnému orgánu — ten má vlastné lehoty a vlastných príjemcov, a tieto lehoty už dávno uplynuli, ak bol incident z minulého roka. Dotazník vášho zákazníka nie je miestom na nahlásenie; je to otázka zodpovednosti. Odpovedzte naň na základe toho, čo je teraz zistené: existuje postup, bol použitý, boli vykonané zlepšenia nasledujúce po incidente? Ak to chýba, potom je "nie" alebo "čiastočne" rovnako platnou odpoveďou ako "áno" — pokiaľ to len zodpovedá tomu, čo je v súbore reťazca.

Odkiaľ to pochádza: článok 21 odsek 2 a príloha A

Článok 21 ods. 2 smernice NIS2 uvádza riešenie incidentov ako jedno z desiatich povinných opatrení, okrem iného popri analýza rizík a bezpečnosť informačných systémov a politike kontinuity. ISO/IEC 27001 to rozpracúva v Prílohe A na kontrolné opatrenia, ktoré vyžadujú registráciu, reakciu a vyhodnotenie incidentov — uzavretý spis z minulého roka sa tam presne hodí ako príkladný materiál. Zákon o kybernetickej bezpečnosti, holandská transpozícia smernice NIS2, nadobúda účinnosť 15. augusta 2026 a upravuje zákonné povinnosti hlásenia štátnym orgánom; to je iný proces ako zdôvodnenie, ktoré klient požaduje vo svojom vlastnom dotazníku.