πώς απαντώ στην ερώτηση σχετικά με τη διαδικασία αναφοράς μας σε περίπτωση διαρροής δεδομένων

Η ίδια η διαδικασία ανακοίνωσης, όχι η παραβίαση δεδομένων

Το ερώτημα αφορά την εσωτερική σας διαδικασία, όχι το αν έχετε ποτέ αντιμετωπίσει μια παραβίαση. Ο πελάτης θέλει να γνωρίζει αν υπάρχει μια τεκμηριωμένη διαδικασία για το χειρισμό περιστατικών ασφαλείας: ποιος υποβάλλει μια υποψία, σε ποιον, σε ποιο χρονικό διάστημα γίνεται κλιμάκωση, και ποιος αποφασίζει αν ενημερώνεται μια αρχή εποπτείας ή οι ενδιαφερόμενοι. Αυτή είναι η ίδια διαδικασία που ερωτάται και για την τη διαδικασία για περιστατικά ασφαλείας — μια παραβίαση δεδομένων είναι στην πράξη ένας συγκεκριμένος τύπος περιστατικού εντός αυτής της διαδικασίας, όχι ένα ξεχωριστό έγγραφο.

Αν διαθέτετε αυτή τη διαδικασία, το «ναι» μπορεί να τεκμηριωθεί με το ίδιο το έγγραφο: ένα σχέδιο δράσης, μια υπεύθυνη λειτουργία (συχνά security officer ή DPO), και μια καταγραφή προηγούμενων ανακοινώσεων ως απόδειξη ότι η διαδικασία λειτουργεί. Αν απουσιάζει μια τεκμηριωμένη διαδικασία, αλλά υπάρχει μια άτυπη διαδρομή ("καλέστε τον ιδιοκτήτη"), τότε συνήθως δεν επαρκεί για ένα «ναι» — το δοσιέ δεν έχει αξιόπιστη πηγή, και το σύστημα σε αυτή την περίπτωση δεν προτείνει κάποια απάντηση. Ορισμένοι πελάτες θέτουν επίσης το ερώτημα αν εσείς οι ίδιοι υπόκεισθε σε υποχρέωση ανακοίνωσης· αυτό είναι ένα διαφορετικό ερώτημα από τη διαδικασία ίδια, και μπορεί να εντοπιστεί μέσω της κατάστασης ως οντότητα NIS2.

Γιατί αυτό εμπίπτει στο άρθρο 21 παράγραφος 2

Το άρθρο 21 παράγραφος 2 της Οδηγίας NIS2 αναφέρει την «αντιμετώπιση περιστατικών» ως ένα από τα δέκα υποχρεωτικά μέτρα, και μια διαδικασία ανακοίνωσης για παραβιάσεις δεδομένων είναι η υλοποίησή της σε σχέση με τα προσωπικά δεδομένα. Το ISO/IEC 27001 Annex A το αναπτύσσει περαιτέρω στις ελεγκτικές μεθόδους που περιβάλλουν τη διαχείριση περιστατικών, γεγονός που εξηγεί γιατί οι πελάτες με ένα ερώτημα ISO συχνά δεχόμενται την ίδια διαδικασία ως αποδεικτικό στοιχείο. Ο Κυβερνοασφαλείας Νόμος, η ολλανδική μεταφορά, θα τεθεί σε ισχύ στις 15 Αυγούστου 2026 και θα επιβάλει και αυτή την υποχρέωση εθνικά για τις οντότητες που υπόκεινται στο πεδίο εφαρμογής του.