трябва ли да докладвам нарушение на данни на клиента чиито данни са засегнати

Договорно обикновено да, законово не автоматично на клиента

Обикновено да, но не защото NIS2 това предписва. Член 21 параграф 2 на Директивата задължава да се докладва значителна заплаха или инцидент на националния CSIRT или на компетентния орган — не директно на всеки клиент. Задължението за докладване на самия клиент обикновено е предвидено в договора или в договора за обработка на данни, и това често е по-строго и по-бързо, отколкото NIS2 изисква. Този, който разглежда само Директивата и не консултира собствените си договори, пропуска следователно задължението, което в практиката е първото, което трябва да се изпълни.

За клиента, който поставя въпроса в анкета, обикновено не е важна законодателната задължение за докладване, а самият процес: имате ли установена процедура за разпознаване на инцидент, оценяване на инцидента и докладване на инцидента, и е ли в нея определено кога се информира клиент? Именно това е предмет на процедурата за инциденти в областта на сигурността анкетите, и повечето списъци питат за съществуването на тази процедура, не за отделни казусове. Ако предприятието няма тази процедура документирана, тогава "не" е честният отговор тук — никой не може да попълни за вас обещание, че клиент винаги ще бъде позван.

На какво се основава: член 21, параграф 2 NIS2 и собственият договор

Член 21, параграф 2 на Директива (EU) 2022/2555 посочва десетте мерки, които един субект трябва да предприеме, включително под i) процес за управление на инциденти; задължението за докладване на орган е посочено в член 23, а не в самия параграф 2, и е насочено към CSIRT или компетентния орган. Приложение A на ISO/IEC 27001 предвижда подобна мярка за управление на инциденти, включително комуникация със заинтересованите страни, но и там клиентът не е автоматично стандартния получател — това се определя за всяка организация. Законът за кибербезопасност, холандския преглед, който влиза в сила на 15 август 2026 г., следва същата структура. Всеки, който желае да узнае дали собственото му предприятие попада под тези правила, проверява дали предприятието е NIS2-субект; докладването на самия клиент остава във всички случаи въпрос на действащия договор.