kas ma pean teatama andmete rikkumisest kliendile, kelle andmete rikkumise käitub

Lepinguliselt tavaliselt jah, seaduslikult mitte automaatselt kliendile

Tavaliselt jah, kuid mitte seetõttu, et NIS2 seda nõuab. Direktiivi artikkel 21 lõige 2 kohustab teatama olulist ohtu või intsidenti riikliku CSIRT-i või pädevatele asutustele — mitte otse igale kliendile. Kliendile teatamise kohustus on tavaliselt kirjas lepingus või töötlemislepingus, ning see on sageli rangem ja kiirem kui NIS2 nõuab. Kes vaatab ainult direktiivi ja ei kontrolli omaenda lepinguid, jätab seega vahele kohustuse, mis praktikas esmalt kehtib.

Kliendi jaoks, kes küsimust küsimustikus esitab, ei ole tavaliselt tegemist seaduslikku teatamiskohustuse, vaid protsessiga: kas teil on kindel marsruut intsidendi tuvastamiseks, hindamiseks ja edastamiseks, ning kas selles kirjas on, millal kliendiinformeerida? See on täpselt see, mille juurde turvaintsidentide käsitlemise protseduur kuulub, ja enamik küsimustikke küsivad selle protseduuri olemasolu järgi, mitte üksikjuhtumite järgi. Kui ettevõttel sellist protseduuri kirjalikult pole, siis "ei" siin on aus vastus — lubaduse kohta, et klient alati helistatakse, ei saa keegi siin sinu eest täita.

Millel see on põhinev: artikkel 21 lõige 2 NIS2 ja oma leping

Direktiivi (EL) 2022/2555 artikkel 21 lõige 2 määrab kümme meetme, mida üksus peab võtma, sealhulgas i) intsindendihaldusprots; teatamiskohustus asutusele on artiklis 23, mitte ise lõikes 2, ja see on suunatud CSIRT-ile või pädevale asutusele. ISO/IEC 27001 lisa A tunneb sarnast kontrollivahendi juhtimist intsindendihaldustamisel, kaasaarvatud sidepidamine huviliste osapooledega, kuid ka siin ei ole kliendikuljaarvaline vastuvõtja — selle täidab iga organisatsioon oma viisil. Kes tahab teada, kas tema organisatsioon ise selle reegli raamesse kuulub, kontrollib seda aadressil küsimuse puhul, kas organisatsioon on NIS2-üksus; teatamine kliendile jääb kõigil juhtudel lepingu kehtivuse küsimuseks.