vprašalnik sprašuje, ali smo poročali o incidentih pri nadzornemu organu

Obveznost prijave velja le, če sam spadaš pod NIS2

To vprašanje je relevantno le, če je vaša podjetja sama entiteta NIS2 — ključna ali pomembna. Če pod to ne spadate, je odgovor običajno »ne velja« in ga lahko tudi takšno navedete s kratkim pojasnilom razlogov. Če ste negotovi glede tega statusa, ga je treba najprej ugotoviti preko ali je podjetje zajeto v Direktivo NIS2 — odgovor na to vprašanje je direktno odvisen od tega.

Če spadate pod NIS2, se vprašanje vrti okrog tega, ali ste incidente, ki izpolnjujejo merila za prijavo, tudi dejansko prijavili CSIRT-u ali pristojnemu organu, v predpisanih rokih (prva prijava, vmesna prijava, končno poročilo). Če ste to storili, je mogoče »da« podpreti s potrdilom o prijavi ali register incidentov kot dokaz. Če v vprašanem obdobju dejansko niste imeli incidenta, za katerega je bila prijava obvezna, je »ne« faktično pravilen odgovor — to ni pomanjkljivost in jo lahko tudi takšno pojasnite v polju za prosto besedilo. Problematično se zgodi šele, če je bil incident, ki je izpolnjeval merila, in prijave ni bilo; to je dejstvo, ki mora vaš dosje dejansko odražati, ne pa nekaj, kar bi drugače formulirali. To vprašanje je sicer povezano s postopkom za obravnavo varnostnih incidentov: brez delujoče procedure običajno ni zaprta prijava.

Kjer to izhaja: članek 21 odstavek 2 točka b in Zakon o kibernetski varnosti

Obveznost prijave sama po sebi ni v členu 21 odstavek 2 — ta članek opisuje deset ukrepov, med katerimi je b upravljanje incidentov kot vanostna ukrep. Dejansko obveznost prijave s časovnimi roki je ločeno urejena v direktivi in se za Nizozemsko prenaša v Zakon o kibernetski varnosti, ki stopi v veljavo 15. avgusta 2026. Do takrat v Nizozemski ni zakonske obveznosti prijave na podlagi NIS2; kar odjemalec v vprašalniku sedaj vprašuje, je pogosto pričakovanje te obveznosti ali vprašanje ISO 27001 o registraciji incidentov v Aneksu A.