onko minun ilmoitettava hakkeroinnista tai tietoturvaloukkauksesta työnantajalleni

Ilmoittaminen asiakkaalle on yleensä sopimuksellista, ei lakisääteistä

Ilmoitusvelvollisuus kyberturvallisuuspoikkeamasta on useimmissa tapauksissa sopimuksessa asiakkaan kanssa, ei suoraan laissa. NIS2-direktiivin 21 artiklan 2 kohta velvoittaa organisaatiot, jotka itse kuuluvat direktiivin soveltamisalaan, poikkeamavasteiden järjestämiseen ja ilmoitukseen omalle valvontaviranomaiselleen — se on se kymmenen toimenpiteen luettelo, jonka näet lähes jokaisella kyselylomakkeella. Ilmoitusvelvollisuus valvontaviranomaiselle on eri asia kuin ilmoitusvelvollisuus asiakkaalle. Se, ilmoitetaanko poikkeama toimeksiantajallesi, riippuu siitä, mitä käsittelijäsopimuksessa tai toimituussopimuksessa sanotaan, ja siitä, kuuluuko asiakkaasi itse NIS2-direktiivin soveltamisalaan ja onko hän siis riippuvainen ilmoituksestasi oman toimitusketjunsa järjestämiseksi.

Käytännössä kyselylomake ei kysykään "onko teille sattunut poikkeama", vaan ovatko sinulla olemassa menettelyt poikkeamien tunnistamiseksi, arvioimiseksi ja ilmoittamiseksi — se on juuri sitä, mihin kysymys tietoturvapoikkeamien menettelystä tähtää. Jos sinulla on tämä menettely, voit vastata kyllä tähän kysymykseen ilman, että sinun koskaan tarvitsee kertoa, onko sinulle sattunut konkreettinen poikkeama ja milloin. Viimeksi mainittu pysyy erillisenä, sopimuksellisena kysymyksenä, joka voi poiketa asiakkaittain.

Millä tämä perustuu: Cyberbeveiligingswet ja Annex A

Cyberbeveiligingswet, Alankomaiden NIS2-direktiivin täytäntöönpanolaki, joka tulee voimaan 15. elokuuta 2026, säätää ilmoitusvelvollisuuden valvontaviranomaiselle entiteeteille, jotka kuuluvat lain soveltamisalaan — se, koske koskea sitä vai ei omaa yritystäsi, on kysymys, joka tulee esiin myös tai kuuluuko yritys itse NIS2-direktiivin soveltamisalaan. ISO/IEC 27001 Annex A täsmentää tämän sisäisen hallintomenettelynä poikkeamien hallintaan, erillään kaikesta ilmoitusvelvollisuudesta ulkopuoliselle osapuolelle. Sopimuksellinen ilmoitusvelvollisuus asiakkaalle on siis tämän oikeudellisen ja normatiivisen kehyksen rinnalla, ei sen sijasta.