Moramo obvestiti našo stranko, če je prišlo do puščanja podatkov

Običajno da, če incident vpliva na storitev temu stranku

V večini primerov morate incident prijaviti svojemu stranku, vendar ne vsakega incidenta in ne vsakomur. Članak 21 točka 2 Direktive NIS2 kot eno od desetih obveznih ukrepov navaja "obravnavo incidentov", in večina zahtevkov strank to prevede v: ali imate postopek za prijavo incidentov, komu in v katerem roku. To se razlikuje od zakonske obveznosti prijave nadzornemu organu — vprašanje vašega stranku se nanaša na pogodbo ali operativno dogovorko med vami in njimi, ne na obveznost prijave, ki jo bo Zakon o kibernetski varnosti kmalu naložil določenim subjektom.

Kršitev podatkov, ki zadeva le vaše lastne notranje sisteme in ne posega v nobene podatke ali storitve tega stranku, pogosto ne spada pod dogovorko. Takoj ko incident zajema podatke, sisteme ali dobave, ki so za tega stranku pomembni, se prijava obiskuje — pogosto v roku, ki je naveden v pogodbi ali v sporazumu o obdelavi podatkov, ne v roku, ki ga tukaj lahko navedemo. Zato najprej preverite, kaj je v vaši lastni pogodbi s tem strankom dogovorjeno, saj to prednjači splošnemu odgovoru v vprašalniku.

Kaj je dokazilo in kaj odgovorite brez postopka

Osnovno dokazilo je postopkom za obravnavo varnostnih incidentov: v njem je navedeno, kdo interno odloči, ali je treba nekaj prijaviti, komu in v katerem roku. Če niste formalnega postopka, je "ne" faktično pravilen odgovor — da brez dokumenta ne drži pri reviziji. Stranke, ki postavljajo to vprašanje, pogosto v istem vprašalniku sprašujejo tudi o politike analize tveganja in zaščite informacijskih sistemov, ker se obravnava incidentov v članu 21 točka 2 NIS2 in v Dodatku A standarda ISO/IEC 27001 obravnava kot povezan del varnostne politike, ne kot ločen postopek.