musím nahlásit bezpečnostní incident z loňského roku v seznamu otázek

Starý incident obvykle patří do odpovědi

Ano, v mnohých případech hlásíte incident z loňského roku i nyní, pokud není otázka v seznamu výslovně omezena na určité období. Seznamy otázek se obvykle týkají obecné situace: došlo k incidentu a jak byl vyřešen. Malý incident z loňského roku do toho spadá, i když už je vyřešen a nemá žádné další důsledky. Pokud je v otázce obsaženo období — "v posledních dvanácti měsících" nebo "v tomto kalendářním roce" — je to rozhodující a berete v úvahu pouze to, co spadá do tohoto období.

Často je důležitější než samotný incident to, jak jste na něj reagovali. Zákazník, který se ptá na incidenty, vlastně chce vědět, zda za tím stojí nějaký proces: byl incident rozpoznán, byl vyřešen, byly z něj vyvozeny ponaučení. To souvisí s postupem pro zpracování bezpečnostních incidentů. Máte-li takový postup a byl-li dodržen, pak malý incident z loňského roku není problém hlásit — ukazuje to spíše, že proces funguje. Pokud si nejste jisti, zda jsou podrobnosti příliš citlivé na sdílení, použijte místo toho tlačítko důvěrnosti u odpovědi namísto úpravy samotné odpovědi.

Proč se to liší od oznamovací povinnosti v zákoně o kybernetické bezpečnosti

Tato otázka v seznamu otázek se liší od právní oznamovací povinnosti vůči dozorčímu úřadu. Článek 21 odst. 2 směrnice NIS2 uvádí nakládání s incidenty jako jednu z deseti povinných opatření pro subjekty spadající pod tuto směrnici; zákon o kybernetické bezpečnosti to ve své české transpozici zpracovává s oznamovací povinností vůči příslušnému úřadu. To, zda se tato oznamovací povinnost vztahuje na podnik, závisí na tom, zda sám spadá pod tuto směrnici — to je možné zkontrolovat v otázce, zda podnik spadá pod směrnici NIS2. Otázka v seznamu otázek od zákazníka je od toho nezávislá: nejedná se o právní hlášení, ale o transparentnost vůči zákazníkovi o tom, jak vyspělý je postup pro řešení incidentů.