трябва ли да докладвам хак или нарушение на данни на моя клиент

Докладването на клиента обикновено е договорно, а не законово

Задължението да се докладва при киберинцидент в повечето случаи се съдържа в договора с клиента, а не директно в закона. Член 21, параграф 2 от Директива NIS2 задължава организациите, които сами попадат под директивата, да отговорят на инцидентите и да докладват на техния собствен надзорен орган — това е списъкът на десет мерки, който виждате в почти всеки въпросник. Това задължение да се докладва на надзорния орган е различно от задължението да се докладва на клиент. Дали трябва да докладвате инцидент на вашия поръчител, зависи от това, което е написано в договора за обработка или договора за доставка, и от въпроса дали вашият клиент сам попада под Директива NIS2 и следователно зависи от вашето докладване, за да поддържа своята верига в ред.

На практика въпросникът не пита "сте ли имали инцидент", а дали съществува процедура за разпознаване, оценка и докладване на инцидентите — това е точно това, към което въпросът за процедура за инциденти в областта на киберсигурността сочи. Ако имате тази процедура, можете да отговорите утвърдително на този въпрос, без да трябва да казвате дали и кога сте имали конкретен инцидент. Последното остава отделен, договорен въпрос, който може да се различава в зависимост от клиента.

Основата на това: Киберсигурностният закон и Приложение A

Киберсигурностният закон, холандската имплементация на NIS2, която влиза в сила на 15 август 2026 г., установява задължението да се докладва на надзорния орган за субектите, които попадат под закона — дали това се отнася до вашето предприятие, е въпросът, който също се появява в дали предприятието самостоятелно попада под NIS2 директиватаISO/IEC 27001 Приложение A разработва това вътрешно като контролна мярка за управление на инцидентите, отделно от всяко задължение да се докладва на външна страна. Договорното задължение да се докладва на клиент е따 lado, а не вместо, тези законови и нормативни рамки.