Трябва ли да информираме нашия клиент, ако е имало нарушение на данни

Обикновено да, ако инцидентът засяга услугата към този клиент

В повечето случаи трябва да докладвате за инцидент на вашия клиент, но не всеки инцидент и не на всички. Член 21, параграф 2 на Директива NIS2 посочва "управление на инцидентите" като една от десетте задължителни мерки, и повечето клиентски въпросници превеждат това в: имате ли процес за докладване на инциденти, на кого и в какъв период. Това е различно от законова задължение за докладване на надзорен орган — въпросът на вашия клиент се отнася до договорното или оперативното споразумение между вас и тях, а не до задължението за докладване, което Закона за киберсигурност скоро ще наложи на определени субекти.

Нарушение на данни, което засяга само вашите собствени вътрешни системи и не засяга никакви данни или услуги на този клиент, често попада извън споразумението. Щом инцидентът засяга данни, системи или доставки, които са релевантни за този клиент, докладването е очевидно — обикновено в периода, предвиден в договора или споразумението за обработка на данни, а не в период, който можем да посочим тук. Проверете първо какво е договорено в вашето собствено споразумение с този клиент, тъй като това има приоритет пред общ отговор в въпросник.

Какво е доказателството и какво отговаряте без процедура

Подкрепящото доказателство е процедурата за обработка на инциденти в областта на сигурността: в него е посочено кой вътрешно решава дали нещо трябва да бъде докладвано, на кого и в какъв период. Ако нямате установена тази процедура, тогава "не" е фактически правилния отговор — да без документ не издържа при одит. Клиентите, които задават този въпрос, често в същия списък питат и за политиката за анализ на риска и защита на информационните системи, тъй като обработката на инцидентите в член 21, параграф 2 на NIS2 и в Приложение A на ISO/IEC 27001 се разглеждат като свързана част от политиката за безопасност, а не като отделен процес.