vprašalnik sprašuje, kako bi jim sporočili o kršitvi podatkov

To vprašanje se nanaša na postopek prijave, ne na obveznost prijave pri nadzornem organu

Stranka vas tu vpraša, kako poteka vaš postopek obravnave incidentov, ne pa ali ste že kdaj prijavili kršitev podatkov Uradu za varstvo osebnih podatkov. Odgovor, ki se pričakuje, je opis postopka: kako prepoznate varnostni incident, kdo se nato interno obvesti, v katerem roku stranko obvestite sami, in prek katerega kanala. To je natanko tisto, kar bi moralo spadati postopek za varnostne incidente sem kot obveznost, če ste že sprejeli politiko v zvezi s tem.

Če imate tak sprejet postopek, je odgovor običajno »da«: imate postopek, stik in dogovorjeni rok za obvestilo strank, katerih podatki ali sistemi so morda prizadeti. Če tak postopek manjka ali obstaja le ustno, je »ne« ali »delno« dejansko pravilen odgovor — obljuba, da boste »to naslednjič« storili, ni odgovor za danes. Pozorni bodite tudi na povezavo s prikrajšanci: če incident nastane pri tretji strani, ki za vas dela, to vpliva na zahteve, ki jih postavljate svojim lastnim prikrajšancem, in nekatere vprašalniki to posebej spraševajo.

Zakaj spada to pod členom 21(2)

Postopki prijave incidentov so del desetih ukrepov iz člena 21(2) Direktive NIS2 (Direktiva (EU) 2022/2555); točka b posebej omenja obravnavo incidentov. V Zakonu o varnosti kibernetskega prostora, ki je njegova reforma v ZDA in ki stopa v veljavo 15. avgusta 2026, se ista obveznost pojavi za subjekte, ki spadajo pod ta zakon. ISO/IEC 27001 v Prilogi A zahteva podobno dokumentacijo v okviru ukrepov nadzora za upravljanje incidentov. Kateri od treh velja za vas, je odvisno od tega, ali vaše podjetje samo spada pod eno od teh ureditev — to je drugačno vprašanje kot je to.