¿debo notificar a mi cliente de un pirateo o fuga de datos

Notificar al cliente suele ser contractual, no legal

La obligación de notificación en caso de incidente cibernético se encuentra en la mayoría de los casos en el contrato con tu cliente, no directamente en la ley. El artículo 21 apartado 2 de la Directiva NIS2 obliga a las organizaciones que están sujetas a la Directiva a la respuesta ante incidentes y a la notificación a su propia autoridad supervisora — es la serie de diez medidas que ves en prácticamente cada cuestionario. Esa obligación de notificación a una autoridad supervisora es diferente de una obligación de notificación a un cliente. Por lo tanto, si debes notificar un incidente a tu contratante depende de lo que establezca el acuerdo de tratamiento de datos o el acuerdo de suministro, y de la cuestión de si tu cliente está sujeto a la Directiva NIS2 y, por lo tanto, depende de tu notificación para mantener su propia cadena en orden.

En la práctica, el cuestionario no pregunta "¿ha sufrido un incidente", sino si existe un procedimiento para identificar, evaluar y notificar incidentes — eso es exactamente lo que la pregunta sobre un procedimiento para incidentes de seguridad pretende. Si tienes ese procedimiento, puedes responder afirmativamente a esa pregunta sin tener que decir si y cuándo has sufrido un incidente concreto. Esta última sigue siendo una cuestión contractual separada que puede variar según el cliente.

En qué se basa: Ley de Ciberseguridad y Anexo A

La Ley de Ciberseguridad, la transposición holandesa de NIS2 que entra en vigor el 15 de agosto de 2026, establece la obligación de notificación a la autoridad supervisora para las entidades sujetas a la ley — si tu empresa está sujeta es la cuestión que también aparece en si la empresa se incluye de forma independiente en la Directiva NIS2. ISO/IEC 27001 Anexo A lo desarrolla internamente como medida de control para la gestión de incidentes, independientemente de cualquier obligación de notificación a terceros. Una obligación contractual de notificación a un cliente se suma, por lo tanto, a estos marcos legales y normativos, no los sustituye.