Dotazník se ptá, jak bychom jim nahlásili únik dat

Tato otázka se týká postupu hlášení, nikoli povinnosti hlásit dohled orgánu

Zákazník se zde ptá, jak funguje váš proces řešení incidentů, nikoli zda jste již jednou nahlásili únik dat Úřadu na ochranu osobních údajů. Požadovaná odpověď je popis procesu: jak rozpoznáte bezpečnostní incident, kdo je pak interně upozorněn, v jaké lhůtě obdrží oznámení sám zákazník a prostřednictvím kterého kanálu. To je přesně to, co by mělo postupu pro bezpečnostní incidenty spadat, pokud jste si už pro to vypracovali směrnici.

Máte-li takový zdokumentovaný proces, odpověď je obvykle "ano": máte postup, kontaktní osobu a dohodnutou lhůtu hlášení směrem k zákazníkům, kterých se dotkly jejich údaje nebo systémy. Pokud takový proces chybí nebo existuje pouze ústně, pak je "ne" nebo "částečně" skutečně správná odpověď — slib, že to "odteď budete dělat takto" není odpovědí na dnešek. Pamatujte také na vazbu na dodavatele: pokud incident vznikl u třetí strany, která pro vás pracuje, to se týká požadavků, které kladete na své vlastní dodavatele,, a některé dotazníky se na to ptají zvlášť.

Proč to spadá pod článek 21 odst. 2

Postupy hlášení incidentů patří mezi deset opatření v článku 21 odst. 2 směrnice NIS2 (Směrnice (EU) 2022/2555); odstavec b konkrétně zmiňuje řešení incidentů. V zákoně o kybernetické bezpečnosti, nizozemské implementaci, která vstoupí v platnost 15. srpna 2026, se objevuje stejná povinnost pro subjekty, které spadají pod tento zákon. ISO/IEC 27001 vyžaduje v Příloze A podobnou dokumentaci v rámci kontrolních opatření pro řízení incidentů. Která z těchto tří se na vás vztahuje, závisí na tom, zda vaše podnikání samo spadá pod jednu z těchto právních úprav — to je jiná otázka než tato.