kund vill veta om jag rapporterar incidenter inom 24 timmar

24 timmar är en varning, inte en fullständig rapportering

Nej, inte i betydelsen en fullständig incidentrapport inom 24 timmar — men det finns en förpliktelse som ligger nära detta. Artikel 21 stycke 2 i NIS2-direktivet förpliktar "viktiga" och "väsentliga" enheter att rapportera betydande incidenter i etapper: en tidig varning inom 24 timmar, följt av en fullständig rapportering inom 72 timmar, och en slutlig rapport senare. Denna förpliktelse gäller direkt för den enhet som omfattas av NIS2 — det är vanligtvis den kund som skickar frågelistan, inte automatiskt den leverantör som fyller den i. Huruvida du själv omfattas av 24-timmarsplikten beror på om du själv är en enhet enligt direktivet; det beskrivs i huruvida företaget själv omfattas av NIS2.

Det en kund vanligtvis vill veta med denna fråga är inte om du uppfyller den lagstadgade anmälningsplikten gentemot en tillsynsmyndighet, utan om du informerar honom tillräckligt snabbt om något går fel hos dig som påverkar hans tjänstleverans. Det är en avtalsmässig överenskommelse, inte en lagstadgad tidsfrist från direktivet själv — de 24 timmarna från NIS2 är en förpliktelse mellan enhet och tillsynsmyndighet, inte automatiskt mellan leverantör och kund. Om du har en incidentprocedur med egna interna anmälningstider är det dokumentet som vanligtvis passar här; den proceduren beskrivs i frågan om en procedur för säkerhetsincidenter. Om du inte har en fastställd tidsfrist är ett "nej" med en kort förklaring mer ärligt än ett "ja" som du inte kan underbygga.

Där det står i direktivet: artikel 21 punkt 2

Den fasindelade anmälningsplikten — tidig varning inom 24 timmar, rapportering inom 72 timmar, slutlig rapport — står i artikel 21 stycke 2 i direktiv (EU) 2022/2555, som en del av de tio åtgärder som anges där. Denna förpliktelse riktar sig till relationen mellan enheten och den behörig tillsynsmyndighet eller CSIRT, inte till relationen mellan leverantör och köpare. Den nederländska cyberlagstiftningen genomför detta direktiv i nationell lagstiftning; vem som precis omfattas av anmälningsplikten och från vilket ögonblick följer ur denna lag när den träder i kraft.