minun on ilmoitettava tietovuoto asiakkaalle, jonka tiedot vuosi

Sopimuksellisesti yleensä kyllä, lailla ei automaattisesti asiakkaalle

Yleensä kyllä, mutta ei siksi, että NIS2 niin vaatisi. Direktiivin 21 artiklan 2 kohta edellyttää merkittävän uhan tai poikkeaman ilmoittamista kansalliselle CSIRT:lle tai toimivaltaiselle viranomaiselle – ei suoraan jokaiselle asiakkaalle. Asiakkaalle itselleen annettavan ilmoitusvelvollisuuden vaatimukset sisältyvät yleensä sopimukseen tai tietojen käsittelyä koskevan sopimuksen ehtoihin, ja nämä ovat usein tiukemmat ja nopeammat kuin mitä NIS2 edellyttää. Jos katsoo vain direktiiviä eivätkä tarkista omia sopimuksia, jää huomaamatta se velvollisuus, joka käytännössä on ensimmäinen.

Asiakkaalle, joka esittää kysymyksen kyselykaavakkeessa, ei yleensä ole kyse laillisesta ilmoitusvelvollisuudesta vaan prosessista: onko teillä vakiintunut reitti poikkeaman tunnistamiseksi, arvioimiseksi ja ilmoittamiseksi, ja sisältyykö siihen, milloin asiakas saadaan tiedoksi? Juuri siinä tietoturvapoikkeamien menettely on kyse, ja useimmat kyselykaavakkeet kysyvät kyseisen menettelytavan olemassaolosta, eivät irrallisista tapauskohtaisista tilanteista. Jos yrityksellä ei ole tätä menettelyä kirjallisena, on "ei" tässä rehellinen vastaus – kukaan ei voi täyttää tähän sen lupaamusta, että asiakas saadaan aina tiedoksi.

Mihin tämä perustuu: NIS2:n 21 artiklan 2 kohta ja oma sopimus

Direktiivin (EU) 2022/2555 21 artiklan 2 kohdassa luetellaan kymmenen toimenpidettä, jotka yhteisön on toteutettava, kuten i) poikkeamien käsittelyprosessi; ilmoitusvelvollisuus viranomaiselle sisältyy 23 artiklaan, ei itse 2 kohtaan, ja se koskee CSIRT:tä tai toimivaltaista viranomaista. ISO/IEC 27001:n liite A sisältää vastaavan poikkeamanhallintaa koskevan ohjausmenetelmän, joka sisältää myös tiedonannon sidosryhmille, mutta silläkään asiakasta ei ole automaattisesti oletusviestin vastaanottaja – se määritellään organisaatioittain. Ne, jotka haluavat tietää, ovatko ne itse näiden sääntöjen soveltamisalan piirissä, tarkistavat sen kysymyksen perusteella, onko organisaatio NIS2-yhteisö; ilmoitusvelvollisuus asiakkaalle itselleen säilyy kaikissa tapauksissa sopimuskysymyksenä.