musím informovat zákazníka o úniku dat, která se ho týkají

Smluvně obvykle ano, zákonně ne automaticky klientovi

Obvykle ano, ale ne proto, že by to takto předepsala NIS2. Článek 21 odst. 2 směrnice zavazuje hlásit významnou hrozbu nebo incident národnímu CSIRT nebo příslušnému orgánu — ne přímo každému klientovi. Povinnost hlášení samotnému klientovi je obvykle obsažena v kontraktu nebo v dodatku ke smlouvě o zpracování, a ta je často přísnější a rychlejší, než vyžaduje NIS2. Kdo se dívá pouze na směrnici a nekontroluje své vlastní smlouvy, mine tedy povinnost, kterou je v praxi třeba plnit jako první.

Pro klienta, který otázku v dotazníku klade, obvykle nejde o zákonnou povinnost hlášení, ale o proces: máte pevnou cestu k tomu, jak incident rozpoznat, posoudit a o něm informovat, a je v ní uvedeno, kdy se klient dozví? To je přesně to, na co se postupu pro bezpečnostní incidenty zaměřuje, a většina dotazníků se ptá na existenci tohoto postupu, ne na jednotlivé případy. Nemá-li podnik tento postup písemně zpracovaný, pak je "ne" zde upřímnou odpovědí — nikdo ti tu nemůže vyplnit slib, že se klient vždy zavolá.

Na čem je to založeno: článek 21 odst. 2 NIS2 a vlastní smlouva

Článek 21 odst. 2 Směrnice (EU) 2022/2555 uvádí deset opatření, která musí subjekt provést, včetně pod i) procesu zpracování incidentů; oznamovací povinnost vůči orgánu je uvedena v článku 23, nikoli v samotném odstavci 2, a týká se CSIRT nebo příslušného orgánu. Příloha A normy ISO/IEC 27001 obsahuje podobné kontrolní opatření pro řízení incidentů, včetně komunikace se zúčastněnými stranami, ale ani tam není zákazník automaticky standardním příjemcem — to se vyplňuje pro jednotlivé organizace. Zákon o kybernetické bezpečnosti, dutlutí zaměření, který vstoupí v platnost 15. srpna 2026, následuje stejnou strukturu. Kdo chce vědět, zda je vlastní podnik sám pod tyto pravidla spadající, to si ověří u otázky, zda je podnik entitou v rámci NIS2; hlášení samotému zákazníkovi zůstává ve všech případech záležitostí příslušné smlouvy.