moram o varnostnem vdoru obvestiti naročnika, katerega podatki so bili ogroženi

Pogodbensko večinoma da, zakonsko ne samodejno odjemalcu

Večinoma da, vendar ne zato, ker to predpisuje NIS2. Člen 21 odstavek 2 Direktive zahteva prijavo pomembne grožnje ali incidenta nacionalnemu CSIRT ali pristojnemu organu — ne neposredno vsakemu odjemalcu. Obveznost prijave samemu odjemalcu je običajno predvidena v pogodbi ali sporazumu za obdelavo osebnih podatkov, in ta je pogosto strožja in hitrejša od zahtevkov NIS2. Kdor samo gleda direktivo in ne preverka lastnih pogodb, tako zamudi obveznost, ki jo je treba najprej izpolniti v praksi.

Za odjemalca, ki to vprašanje postavlja v vprašalniku, gre običajno ne za zakonsko obveznost prijave, temveč za postopek: imate vi fiksno pot za odkrivanje, ocenjevanje in prijavo incidenta, in je v njej navedeno, kdaj se odjemalec obvesti? To je ravno tisto, o čemer gre postopek za varnostne incidente , in večina vprašalnikov sprašuje po obstoju tega postopka, ne po posamičnih primerih. Če podjetje tega postopka nima zapisanega, je »ne« tukaj pošten odgovor — nihče ti tukaj ne more izpolniti obljube, da bo odjemalec vedno pozvan.

Kam sega to: člen 21 odstavek 2 NIS2 in lastna pogodba

Člen 21 odstavek 2 Direktive (EU) 2022/2555 navaja deset ukrepov, ki jih mora sprejeti subjekt, vključno pod i) postopek za obravnavo incidentov; obveznost prijave organom je navedena v členu 23, ne v samem odstavku 2, in se nanaša na CSIRT ali pristojni organ. Dodatek A standarda ISO/IEC 27001 pozna podobno nadzorno mero za upravljanje incidentov, vključno s komunikacijo s zainteresiranimi stranmi, vendar tudi tam odjemalec ni samodejni prejemnik — to se v vsaki organizaciji določi posebej. Zakon o kibernetski varnosti, nizozemska reforma, ki začne veljati 15. avgusta 2026, sledi enaki strukturi. Kdor želi vedeti, ali je njegovo lastno podjetje samo po sebi subjekt pod temi pravili, to preveri pri vprašanju, ali je podjetje subjekt NIS2; prijava samemu odjemalcu ostane v vseh primerih stvar verodostojne pogodbe.