skal jeg rapportere en sikkerhedsincident fra sidste år i spørgeskemaet

En gammel hændelse hører normalt godt med i svaret

Ja, i de fleste tilfælde rapporterer du en hændelse fra sidste år også nu, hvis spørgsmålet på listen ikke udtrykkeligt er begrænset til en bestemt periode. Spørgsmålslisterne spørger typisk om situationen generelt: er der opstået en hændelse, og hvordan er den håndteret. En lille hændelse fra sidste år falder herunder, selv hvis den er løst nu og ikke har konsekvenser længere. Hvis perioden står i spørgsmålet — "i løbet af de seneste tolv måneder" eller "dette kalenderår" — så er det vejledende, og så medtager du kun det, der falder inden for denne periode.

Vigtigere end hændelsen selv er ofte, hvordan du har reageret på den. En kunde, der spørger om hændelser, vil gerne vide, om der er en proces bag: er den blevet opdaget, er den løst, er der lært af den. Det stemmer overens med en procedure for håndtering af sikkerhedshændelser. Hvis du har sådan en procedure, og den er blevet fulgt, så er en lille hændelse fra sidste år ikke noget problem at rapportere — det viser snarere, at processen virker. Hvis du er usikker på, om detaljer er for følsomme til at dele, skal du bruge fortrolighedsknappen ved svaret i stedet for at tilpasse selve svaret.

Hvorfor dette er adskilt fra anmeldelsespligten i cybersikkerhedsloven

Dette spørgsmål på en spørgsmålsliste er noget helt tredje end den juridiske anmeldelsespligt til en tilsynsmyndighed. Artikel 21, stk. 2 i NIS2-direktivet nævner håndtering af hændelser som en af ti obligatoriske foranstaltninger for enheder omfattet af direktivet; cybersikkerhedsloven gennemfører dette som den danske gennemførelse, med en anmeldelsespligt til den kompetente myndighed. Om denne anmeldelsespligt gælder for virksomheden, afhænger af, om den selv omfattes af direktivet — det kan kontrolleres ved spørgsmålet om virksomheden omfattes af NIS2-direktivet. Spørgsmålet på en kundespørgsmålsliste er uafhængigt heraf: det spørger ikke om en juridisk anmeldelse, men om transparens over for kunden om, hvor modent hændelsesprocessen er.