måste vi rapportera en säkerhetsbrist från förra året till vår kund

En gamla incident hör hemma i enkäten, inte i en separat rapporteringskanal

Ja, en säkerhetshändelse från förra året fyller du i om frågan gäller incidenter eller hantering av dem — även om själva händelsen redan är avslutad. Frågan i de flesta kundenkäter handlar inte om ett aktuellt hot, utan om huruvida det finns en procedur och om den fungerar. En avslutad händelse från förra året är då snarare ett bevis än en risk: det visar att förfarandet för hantering av säkerhetstillbud i praktiken har genomförts, från signalering till avslutning.

Detta är alltså något annat än en lagstadgad rapporteringsskyldighet till en tillsynsmyndighet — som har egna tidsfrister och egna mottagare, och dessa tidsfrister har redan överskridits om händelsen är från förra året. Kundenkäten är ingen rapporteringspunkt; det är en ansvarsfråga. Besvara den utifrån vad som nu är fastslaget: finns det en procedur, har den tillämpats, har förbättringar genomförts utifrån händelsen? Saknas det senare är "nej" eller "delvis" ett lika giltigt svar som "ja" — så länge det stämmer överens med vad som står i kedjedossien.

Varifrån detta kommer: artikel 21 punkt 2 och bilaga A

Artikel 21 punkt 2 i NIS2-direktivet nämner hantering av incidenter som en av de tio obligatoriska åtgärderna, tillsammans med bland annat riskanalys och säkring av informationssystem och kontinuitetspolicy. ISO/IEC 27001 utvecklar detta i Annex A till kontrollåtgärder som kräver registrering, respons och utvärdering av incidenter — ett avslutat dossier från förra året passar perfekt in som exempelmaterial. Cybersäkerhetslag, den nederländska implementeringen av NIS2, träder i kraft den 15 augusti 2026 och reglerar den lagstadgade rapporteringsskyldigheten till staten; det är ett annat förfarande än den ansvarsmässiga redovisning som en kund begär i sin egen enkät.