skal jeg rapportere et hackerangreb eller datalæk til min opdragsgiver

Indberetning til kunden er typisk kontraktuel, ikke lovpligtig

Indberetningspligten ved en cyberbegivenhed ligger i de fleste tilfælde i kontrakten med din kunde, ikke direkte i lovgivningen. Artikel 21, stk. 2 i NIS2-direktivet forpligter organisationer, der selv falder under direktivet, til hændelseshåndtering og indberetning til deres egen tilsynsmyndighed — det er den liste med ti foranstaltninger, som du finder i næsten hver spørgeskema. Den pligt til at indberette til en tilsynsmyndighed er noget helt tredje end en pligt til at indberette til en kunde. Hvorvidt du skal indberette en hændelse til din opdragsgiver, afhænger således af, hvad der står i behandleraftalen eller leveringsaftalen, og af spørgsmålet om din kunde selv falder under NIS2-direktivet og derfor er afhængig af din indberetning for at holde sin egen forsyningskæde i orden.

I praksis spørger spørgeskemaet ikke "har I haft en hændelse", men om der findes en procedure til at identificere, vurdere og indberette hændelser — det er netop hvad spørgsmålet om en procedure for sikkerhedshændelser tilstræber. Hvis du har den procedure, kan du besvare det spørgsmål med ja uden nogensinde at skulle oplyse, om og hvornår du har haft en konkret hændelse. Sidstnævnte forbliver et separat, kontraktuelt spørgsmål, som kan variere fra kunde til kunde.

Hvilket grundlag dette bygger på: Cybersikkerhedsloven og Annex A

Cybersikkerhedsloven, den nederlandske gennemførelse af NIS2, som træder i kraft den 15. august 2026, fastslår indberetningspligten til tilsynsmyndigheden for enheder, der falder under loven — hvorvidt det gælder for din virksomhed, er det spørgsmål, som også dukker op hos eller om virksomheden selv falder under NIS2-direktivet. ISO/IEC 27001 Annex A udfolder dette internt som en kontrolforanstaltning for hændelseshåndtering, uafhængigt af enhver indberetningspligt til en ekstern part. En kontraktuel indberetningspligt til en kunde står således ved siden af, ikke i stedet for, disse juridiske og normative rammer.