måste jag rapportera en säkerhetshändelse från förra året i frågelistan

Ett gammalt incident hör vanligtvis väl till svaret

Ja, i de flesta fall rapporterar du ett incident från förra året även nu, om frågan i listan inte uttryckligen är begränsad till en viss tidsperiod. Frågelistor frågar vanligtvis om situationen i allmänhet: har ett incident inträffat, och hur har det hanteras. Ett litet incident från förra året faller under detta, även om det sedan dess har lösts och inte längre har några konsekvenser. Om det finns en tidsperiod i frågan — "under de senaste tolv månaderna" eller "detta kalenderår" — är det vägledande, och då tar du bara med det som faller inom den perioden.

Viktigare än själva incidenten är ofta hur du reagerade på det. En kund som frågar om incidenter vill egentligen veta om det finns en process bakom: har det upptäckts, har det lösts, har man lärt sig något av det. Det stämmer överens med en procedur för hantering av säkerhetshändelser. Om du har en sådan procedur och den följdes, är ett litet incident från förra året inget problem att rapportera — det visar snarare att processen fungerar. Om du är osäker på om detaljer är för känsliga för att dela, använd då sekretessknappen när du svarar i stället för att ändra själva svaret.

Varför detta är skilt från anmälningsplikten enligt lagen om cybersäkerhet

Denna fråga i en frågelist skiljer sig från den juridiska anmälningsplikten till en tillsynsmyndighet. Artikel 21 punkt 2 i NIS2-direktivet nämner hantering av incidenter som en av tio obligatoriska åtgärder för enheter som omfattas av direktivet; lagen om cybersäkerhet implementerar detta som Sveriges omställning, med en anmälningsplikt till relevanta myndigheter. Huruvida denna anmälningsplikt gäller för företaget beror på om det själv omfattas av direktivet — detta kan kontrolleras vid frågan om företaget omfattas av NIS2-direktivet. Frågan i en kundfrågelista är skild från detta: den frågar inte efter en juridisk anmälan, utan efter transparens gentemot kunden om hur mogna er incidentprocess är.