spørgeskemaet spørger, hvordan vi ville rapportere et databrud til dem

Dette spørgsmål handler om indberetningsprocedure, ikke om indberetningspligt til en tilsynsmyndighed

Kunden spørger her, hvordan jeres hændelsesproces fungerer, ikke om I allerede har indberettet et databrud til Datatilsynet. Det svar, der ønskes, er en beskrivelse af processen: hvordan I identificerer en sikkerhedshændelse, hvem der derefter advares internt, inden for hvilken tidsramme kunden selv får en indberetning, og via hvilken kanal. Det er netop det, der hører til proceduren for sikkerhedsincidenter hvis I allerede har fastlagt en politik for det.

Hvis I har sådan en fastlagt proces, er svaret som regel "ja": I har en procedure, en kontaktperson og en aftalt indberetningsfrist over for kunder, hvis data eller systemer muligvis er påvirket. Hvis denne proces mangler, eller kun eksisterer mundtligt, er "nej" eller "delvist" det faktisk korrekte svar — et løfte om at I "fremtidigt gør det sådan" er ikke et svar for i dag. Vær også opmærksom på forbindelsen til leverandører: hvis hændelsen opstår hos en tredjepartner, der arbejder for jer, påvirker det de krav, I stiller til jeres egne leverandører, og nogle spørgeskemaer spørger der særskilt til.

Hvorfor dette falder under artikel 21 stk. 2

Indberetningsprocedurer for hændelser hører til de ti foranstaltninger i artikel 21, stk. 2 i NIS2-direktivet (Direktiv (EU) 2022/2555); punkt b nævner håndtering af hændelser ved navn. I Cybersikkerhedsloven, den danske gennemførelse, som træder i kraft den 15. august 2026, genfindes det samme krav for enheder, der falder ind under denne lov. ISO/IEC 27001 kræver i Bilag A tilsvarende dokumentation under kontrolforanstaltninger for hændelsesstyring. Hvilken af de tre, der gælder for jer, afhænger af, om jeres virksomhed selv falder ind under en af disse regelordninger — det er et andet spørgsmål end dette.