zoznam otázok sa pýta, či sme hlásili incidenty dozornému orgánu

Oznamovacia povinnosť platí iba ak sám podliehate NIS2

Táto otázka je relevantná iba ak je vaša spoločnosť sama entitou NIS2 — podstatná alebo dôležitá. Ak tam nepatríte, odpoveď je spravidla "nie je relevantné" a môžete to aj tak zaznamenať s krátkim vysvetlením prečo. Ak si nie ste istí týmto statusom, musí sa to najskôr vyriešiť cez či organizácia spadá pod smernicu NIS2 — odpoveď na túto otázku z toho priamo vyplýva.

Ak podliehate NIS2, otázka sa týka toho, či ste incidenty, ktoré spĺňajú kritériá oznamovania, skutočne nahlásili CSIRT alebo príslušnému dohľadnému orgánu v stanovených lehotách (prvotné oznámenie, priebežné oznámenie, záverečná správa). Ak ste tak urobili, "áno" sa dá podložiť potvrdením oznamovacieho procesu alebo registrom incidentov ako dôkazný materiál. Ak ste v požadovanom období jednoducho nemali oznamovací incident, potom je "nie" fakticky správna odpoveď — to nie je nedostatočnosť a môžete to vysvetliť aj v poli voľného textu. Problematické to bude iba vtedy, ak sa incident skutočne vyskytol, spĺňal kritériá a nebolo vykonané žiadne oznámenie; to je fakt, ktorý by váš spis jednoducho mal odrážať, nielen ako inou formuláciu. Túto otázku som inak spojil s postupom na spracovanie bezpečnostných incidentov": bez funkčného postupu zvyčajne nie je ani uzavretý proces oznamovania.

Kde to vyplýva: článok 21 odsek 2 písmeno b a Zákon o kybernetickej bezpečnosti

Samotná oznamovacia povinnosť nie je v článku 21 odsek 2 — tento článok popisuje desať opatrení, vrátane spracovávania incidentov ako bezpečnostného opatrenia pod písmenom b. Skutočná oznamovacia povinnosť s lehotami je samostatne upravená v smernici a je pre Holandsko transponovaná do Zákona o kybernetickej bezpečnosti, ktorý vstúpi do platnosti 15. augusta 2026. Do tohto dátuma neexistuje holandská zákonná oznamovacia povinnosť na základe NIS2; to, čo zákazník v zozname otázok teraz požaduje, je často predzáväzok tejto povinnosti alebo otázka ISO 27001 týkajúca sa registrácie incidentov v prílohe A.