Kako odgovorim na vprašanje o našem postopku prijave v primeru puščanja podatkov

Postopek prijave sam po sebi, ne kršitev podatkov

Vprašanje se nanaša na vaš notranji proces, ne na to, ali se je že kdaj zgodila kršitev. Stranka želi vedeti, ali obstaja vzpostavljen postopek za obravnavo varnostnih incidentov: kdo prijavi sum, komu, v katerem roku se eskalira in kdo odloči, ali bodo obveščeni nadzorni organi ali vpleteni posamezniki. To je isti postopek, na katerega se sprašuje pri postopek za varnostne incidente — kršitev podatkov je v praksi poseben tip incidenta v tem procesu, ne samostojen dokument.

Če imate ta postopek, je "da" mogoče utemeljiti s samim dokumentom: načrt korakov, odgovorna funkcija (pogosto varnostni officer ali DPO) in register prejšnjih prijav kot dokaz, da proces deluje. Če ni vzpostavljenega postopka, vendar obstaja neformalna linija ("pokliči lastnika"), to običajno ni dovolj za "da" — dosje nima vira, na katerega bi se lahko naslonilo, in sistem v tem primeru ne predlaga odgovora. Nekatere stranke v istem vprašalniku sprašujejo tudi, ali sami spadate pod obveznost prijave; to je drugo vprašanje kot sam postopek in ga je mogoče slediti preko statusa kot subjekta NIS2.

Zakaj spada to pod členom 21(2)

Člen 21(2) Direktive NIS2 omenja "obravnavo incidentov" kot eno od desetih obveznih ukrepov, postopek prijave za kršitve podatkov pa je njegova izvedba v smeri osebnih podatkov. ISO/IEC 27001 Annex A to nadaljuje s kontrolnimi ukrepi glede upravljanja incidentov, kar pojasnjuje, zakaj stranke s ISO vprašanjem pogosto sprejemejo isti postopek kot dokaz. Zakon o kibernetski varnosti, nizozemska prenos, začne veljati 15. avgusta 2026 in to obveznost tudi nacionalno določa za subjekte, ki nanjo spadajo.