klient küsib, kui kiiresti me neile andmelekke teataksime

Kolm teatamishetke 72 tunni jooksul, mitte üks

Klient küsib teatamistähtajast, kuid NIS2 artikli 21 lõike 2 järgi pole eraldi tähtaega — see on kolm hetke jada. Juba 24 tunni jooksul pärast olulise intsidendi avastamist saadetakse varajane hoiatus pädevale asutusele või CSIRT-ile. 72 tunni jooksul järgneb üksikasjalikum teatamine koos esimese tõsiduse ja mõju hinnanguga. Kuu jooksul pärast lahendamist järgneb lõppraport koos põhjuste, võetud meetmete ja piiriüleste mõjudega. Kui küsimustik lihtsalt küsib "mitme tunni jooksul teatate andmete rikkumisest", on vastus tegelikult kolmeosaline ja võite seda ka nii sisestada: mitte üks arv, vaid kolm sammu nende otseste tähtaegadega.

Oluline detail: need tähtajad kehtivad entiteetidele, kes ise kuuluvad direktiivi reguleerimisala alla, ja teatamiskohustus on oma järelevalveasutusele — mitte automaatselt kliendile, kes küsimustikku saadab. Kas ettevõte ise on selline teatamiskohustuslane, sõltub sektorist ja suurusest; see on kirjeldatud aadressil kas ettevõte ise kuulub NIS2-direktiivi või selle rahvusliku rakendamise alla. Mida klient tavaliselt teada tahab, on see, kas olemas on sisemine protseduur, mis neid tähtaegu täidab — see erineb teistsuguses punktis olevast teatamiskohustusest riigivalitsemisele ja käsitletakse eraldi aadressil kas seal on protseduur turvaintsidentide käsitlemiseks.

Kus direktiivis see asub: artikli 21 lõike 2 punkt b

Kolm teatamishetke — 24 tundi, 72 tundi, üks kuu — tulenevad otse direktiivi (EL) 2022/2555 artikli 21 lõike 2 punktist b. Hollandi küberturvalisuse seadus paneb selle kohustuse üle riikliku õiguse kehtesse ja jõustub 15. augustil 2026; selle kuupäevani on direktiiv ise allikaks, seejärel seadusetekst, nagu see on avaldatud veebisaidil wetten.overheid.nl.