enkäten frågar hur vi skulle rapportera ett dataläckage till dem

Den här frågan handlar om rapporteringsprocedurer, inte om rapporteringsskyldighet gentemot en tillsynsmyndighet

Kunden frågar här hur er incidentprocess fungerar, inte om ni någon gång har rapporterat ett dataintrång till Myndigheten för dataskydd. Det svar som efterfrågas är en beskrivning av processen: hur ni upptäcker en säkerhetshändelse, vem som då varnas internt, inom vilken tid kunden själv får ett meddelande, och via vilken kanal. Det är precis det som ska proceduren för säkerhetsincidenter ingå om ni redan har fastställt en policy för detta.

Om ni har en sådan fastställd process är svaret vanligtvis "ja": ni har en procedur, en kontaktperson och en överenskommen rapporteringstid gentemot kunder vars data eller system kan ha påverkats. Om processen saknas eller endast existerar muntligt är "nej" eller "delvis" det faktiskt korrekta svaret — ett löfte om att ni "hädanefter gör det så" är inget svar för idag. Notera även kopplingen till leverantörer: om incidenten uppstår hos en tredje part som arbetar för er påverkar det de krav ni ställer på era egna leverantörer, och vissa frågelistor frågar separat om detta.

Varför detta faller under artikel 21 punkt 2

Rapporteringsprocedurer för incidenter är en del av de tio åtgärder i artikel 21 punkt 2 i NIS2-direktivet (Direktiv (EU) 2022/2555); punkt b nämner incidenthantering vid namn. I Cybersakerhetslag, den svenska implementeringen som träder i kraft den 15 augusti 2026, återkommer samma skyldighet för enheter som omfattas av den lagen. ISO/IEC 27001 kräver något motsvarande i Bilaga A, under kontrollåtgärderna för incidenthantering. Vilken av de tre som gäller för er beror på om er organisation själv omfattas av någon av dessa regleringar — det är en annan fråga än denna.