moramo poročati o varnostnem incidentu iz lani našemu stranki

Starejši incident spada v vprašalnik, ne v ločen kanal za prijavo

Ja, varnostni incident iz lanskega leta vneseš, če vprašanje obravnava incidente ali njihovo obravnavo — tudi če je sam incident že zaključen. Vprašanje v večini vprašalnikov odjemalcev se ne nanaša na trenutno grožnjo, temveč na to, ali obstaja postopek in ali deluje. Zaključen incident iz lanskega leta je za to prej dokaz kot tveganje: kaže, da postopkom za obravnavo varnostnih incidentov se je v praksi izvedel, od odkritja do zaključka.

To je torej drugače kot zakonska dolžnost prijave pri nadzorniku — ta ima svoje roke in svoje naslovnike, in te roke so že potekle, če je incident iz lanskega leta. Vprašalnik tvojega odjemalca ni meldna točka; je vprašanje za odgovornost. Odgovori na podlagi tega, kar je sedaj dokumentirano: ali obstaja postopek, ali je bil uporabljen, ali so bili izvedeni izboljšave na podlagi incidenta? Če slednje manjka, sta "ne" ali "deloma" prav tako veljavna odgovora kot "ja" — če se le ujemata s tem, kar je navedeno v datoteki verige.

Izvor: člen 21(2) in Annex A

Člen 21 odstavek 2 Direktive NIS2 kot enega od desetih obveznih ukrepov ob drugih navedenih napreduje obravnavo incidentov, skupaj z analizo tveganja in zaščito informacijskih sistemov in politiko kontinuitete. ISO/IEC 27001 to v Dodatku A obravnava do kontrol, ki zahtevajo registriranje, odzivanje in vrednotenje incidentov — zaključena mapa iz lanskega leta se tu natanko ujema kot primer gradiva. Zakon o kibernetski varnosti, osnutek države Članice NIS2, začne veljati 15. avgusta 2026 in ureja zakonsko dolžnost prijave državi; to je drugačen proces kot odgovornost, ki jo odjemalec zahteva v svojem lastnem vprašalniku.