zákazník chce vědět, zda hlásím incidenty do 24 hodin

24 hodin je varování, nikoli úplné hlášení

Ne, nikoli v tom smyslu, že by se jednalo o úplnou zprávu o incidentu do 24 hodin — avšak existuje povinnost, která se tomu blíží. Článek 21 odst. 2 směrnice NIS2 ukládá "důležitým" a "zásadním" subjektům hlásit významné incidenty postupně: včasné varování do 24 hodin, následovaného úplným hlášením do 72 hodin a konečnou zprávou později. Tato povinnost se vztahuje přímo na subjekt, na který se NIS2 vztahuje — tím je obvykle zákazník, který posílá dotazník, ne automaticky dodavatel, který jej vyplňuje. Zda se povinnost hlášení do 24 hodin vztahuje i na vaši vlastní firmu, závisí na tom, zda sami spadáte pod tuto směrnici jako subjekt; to je popsáno v otázce, zda se podnik sám vztahuje na NIS2.

Co chce zákazník obvykle touto otázkou vědět, není, zda splňujete zákonnou oznamovací povinnost vůči orgánu dohledu, ale zda jej dostatečně rychle informujete, pokud u vás dojde k něčemu, co ovlivní poskytování jeho služeb. Jedná se o smluvní dohodu, nikoli o právní termín ze samotné směrnice — 24 hodin z NIS2 je povinností mezi subjektem a orgánem dohledu, nikoli automaticky mezi dodavatelem a zákazníkem. Pokud máte proceduru pro incidenty se svými vlastními interními termíny hlášení, jde o doklad, který zde obvykle náleží; tato procedura je popsána v otázce na postup v případě bezpečnostních incidentů. Pokud nemáte stanovenou lhůtu, je "ne" s krátkou poznámkou čestnější než "ano", které se nedá podložit.

Kde se to v směrnici nachází: článek 21 odstavec 2

Postupná oznamovací povinnost — včasné varování do 24 hodin, oznámení do 72 hodin, závěrečná zpráva — je uvedena v článku 21 odst. 2 Směrnice (EU) 2022/2555, jako součást deseti opatření, která jsou tam uvedena. Tato povinnost se vztahuje na vztah mezi entitou a příslušným orgánem dohledu nebo CSIRT, nikoli na vztah mezi dodavatelem a odběratelem. Nizozemský zákon o kybernetické bezpečnosti tuto směrnici převádí do národní legislativy; kdo přesně podléhá oznamovací povinnosti a od kterého okamžiku, vyplývá z tohoto zákona, jakmile vstoupí v platnost.