hvordan besvarer jeg spørgsmålet om vores procedure ved et datalek

Meldeproceduren selv, ikke databredet

Spørgsmålet drejer sig om jeres interne proces, ikke om der nogensinde har været et brud. Kunden ønsker at vide, om der foreligger en fastlagt procedure for håndtering af sikkerhedsincidenter: hvem der melder et mistanke, til hvem, inden for hvilken tidsramme der eskaleres, og hvem der beslutter, om en tilsynsmyndighed eller de berørte skal informeres. Det er den samme procedure som der spørges om ved proceduren for sikkerhedsincidenter — et databrud er i praksis en specifik type incident inden for denne proces, ikke et separat dokument.

Hvis I har den procedure, kan "ja" understøttes med dokumentet selv: en handlingsplan, en ansvarlig funktion (ofte sikkerhedschef eller databeskyttelsesombud), og en registrering af tidligere meldinger som bevis for, at processen fungerer. Hvis der mangler en fastlagt procedure, men der findes en uformel linje ("ring til ejeren"), er det normalt ikke tilstrækkeligt for et "ja" — dosseret har så ingen kilde at støtte sig på, og systemet foreslår i dette tilfælde intet svar. Nogle kunder spørger også i samme liste, om I selv er underlagt en meldepligt; det er et andet spørgsmål end proceduren selv og kan spores via status som NIS2-entitet.

Hvorfor dette falder under artikel 21 stk. 2

Artikel 21 stk. 2 i NIS2-direktivet nævner "incident handling" som en af de ti obligatoriske foranstaltninger, og en meldeprocedure for databrud er implementeringen heraf over for personoplysninger. ISO/IEC 27001 Annex A udarbejder dette yderligere i kontrolforanstaltningerne omkring incidentledelse, hvilket forklarer, hvorfor kunder med et ISO-spørgsmål ofte accepterer samme procedure som bevisstykke. Cybersikkerhedsloven, den danske omfatning, træder i kraft den 15. august 2026 og fastslår denne forpligtelse herefter også nationalt for de enheder, der er omfattet.