Musíme informovať nášho klienta, ak došlo k porušeniu údajov

Zvyčajne áno, ak incident ovplyvní službu pre tohto zákazníka

Vo väčšine prípadov musíte hlásit incident svojmu zákazníkovi, ale nie každý incident a nie všetkým. Článok 21 odsek 2 Smernice NIS2 spomína "spracovanie incidentov" ako jedno z desiatich povinných opatrení a väčšina zoznamov otázok zákazníkov to prekladá takto: máte proces na hlásenie incidentov, komu a v akom čase. To je niečo iné ako zákonná povinnosť hlásenia dohľadnému orgánu — otázka vášho zákazníka sa týka zmluvnej alebo operačnej dohody medzi vami a nimi, nie povinnosti hlásenia, ktorú vám Zákon o kybernetickej bezpečnosti čoskoro uloží určitým subjektom.

Únik údajov, ktorý ovplyvní iba vaše vlastné vnútorné systémy a nevyvolá žiadne údaje ani služby relevantné pre tohto zákazníka, často spadá mimo dohodu. Akonáhle incident zasahne údaje, systémy alebo dodávky, ktoré sú pre tohto zákazníka relevantné, je hlásenie na mieste — zvyčajne v lehote uvedenej v zmluve alebo v dohode o spracovaní, nie v lehote, ktorú tu môžeme uviesť. Preto si najskôr skontrolujte, čo je dohodnuté v kope vlastnej zmluvy s týmto zákazníkom, pretože to má prednosť pred všeobecnou odpoveďou v zozname otázok.

Čo je dôkazný dokument a ako odpovedáte bez postupu

Základným dôkazom je postupom na spracovanie bezpečnostných incidentov: v ňom je uvedené, kto interne rozhoduje, či sa niečo musí hlásit, komu a v akom čase. Ak nemáte tento postup vypracovaný, potom je "nie" fakticky správna odpoveď — áno bez dokumentu sa neudrží pri audite. Zákazníci, ktorí si položia túto otázku, sa zvyčajne v tom istom zozname pýtajú aj na politiky analýzy rizík a bezpečnosti informačných systémov, pretože spracovanie incidentov v článku 21 odsek 2 NIS2 a v Prílohe A normy ISO/IEC 27001 sa považujú za súvisiacu súčasť bezpečnostnej politiky, nie za samostatný proces.