Stranka vprašuje, kako hitro bi jih obvestili o kršitvi podatkov

Tri javni pozivi v roku 72 ur, ne ena

Stranka sprašuje po roku za prijavo, vendar članak 21 odstavek 2 direktive NIS2 ne predvideva enega samega roka — gre za serijo treh trenutkov. V roku 24 ur po odkritju pomembnega varnostnega vpliva se pošlje zgodno opozorilo pristojnemu organu ali CSIRT-u. V roku 72 ur sledi podrobnejša prijava s prvo oceno resnosti in vpliva. Po enem mesecu po zaključku pa sledi končno poročilo s kauzalno analizo, sprejetimi ukrepi in čezmejnimi učinki. Če vprašalnik preprosto sprašuje »v koliko urah prijavite kršitev podatkov«, je odgovor pravzaprav trideljen in ga lahko tudi tako izpolnite: ne ena številka, temveč tri koraki z lastnimi roki.

Pomembna podrobnost: ti roki veljajo za subjekte, ki sami spadajo pod direktivo, in dolžnost prijave velja za lastnega nadzornika — ne avtomatično za stranko, ki pošilja vprašalnik. Ali je podjetje samo taka zavezana oseba, je odvisno od sektorja in velikosti; to je opisano pri ali podjetje samo spada pod direktivo NIS2 ali njeno nacionalno preuvedbo. Kar stranka praviloma želi vedeti, je, ali obstaja notranji postopek, ki doseže takšne roke — to je drugačna točka kot zakonska dolžnost prijave oblastem in je obravnavana posebej pri je predpisani postopek za obravnavo varnostnih incidentov.

Kjerkoli se to v direktivi nahaja: članak 21 odstavek 2, točka b

Tri javni pozivi — 24 ur, 72 ur, en mesec — neposredno izhajajo iz članka 21 odstavka 2 pod b Direktive (EU) 2022/2555. Nizozemski zakon o kibernetski varnosti to dolžnost pretvori v narodno pravo in stopi v veljavo 15. avgusta 2026; do tega datuma je direktiva sama viri, nato pa besedilo zakona, kot je objavljeno na wetten.overheid.nl.