asiakas kysyy, kuinka nopeasti ilmoittaisimme heille tietolähteestä

Kolme ilmoitushetkeä 72 tunnin sisällä, ei yksi ENNAKKO-ilmoitus

Asiakas kysyy ilmoitusajasta, mutta NIS2-direktiivin 21 artiklan 2 kohta ei tunne erillistä määräaikaa — se on sarja kolmesta hetkestä. 24 tunnin kuluessa merkittävän vaaratapahtuman havaitsemisesta lähetetään varhainen varoitus toimivaltaiselle viranomaiselle tai CSIRT:ille. 72 tunnin kuluessa seuraa yksityiskohtaisempi ilmoitus, jossa on alustava arvio vakavuudesta ja vaikutuksista. Kuukauden kuluessa käsittelyn päättymisestä lähetetään loppuraportti, jossa käsitellään syytä, toteutettuja toimenpiteitä ja rajat ylittäviä vaikutuksia. Jos kysymyslista yksinkertaisesti kysyy "kuinka monien tunnin kuluessa ilmoitatte tietovuodosta", vastaus on itse asiassa kolmiosainen, ja voit täyttää sen näin: ei yhtä lukua, vaan kolme vaihetta omilla määräajoillaan.

Tärkeä yksityiskohta: nämä määräajat koskevat sellaisia yhteisöjä, jotka itse kuuluvat direktiivin soveltamisalaan, ja ilmoitusvelvollisuus koskee omaa valvontaviranomaistaan — ei automaattisesti asiakasta, joka lähetti kysymyslistan. Se, kuuluuko yritys sellaiseksi ilmoitusvelvollisuuden alaiseksi yhteisöksi, riippuu toimialasta ja koosta; se on kuvattu kohdassa kuuluuko yritys itse NIS2-direktiivin tai sen kansallisen täytäntöönpanon soveltamisalaan. Mitä asiakas yleensä haluaa tietää, on se, ovatko käytössä sisäiset menettelyt, joilla näihin määräaikoihin pystytään — se on eri asia kuin viranomaisille asetettu lakisääteinen ilmoitusvelvollisuus, ja se käsitellään erikseen kohdassa onko meillä toimintaohje tietoturvahäiriöiden käsittelylle.

Missä se direktiivissä on: 21 artiklan 2 kohta, alakohta b

Kolme ilmoitushetkeä — 24 tuntia, 72 tuntia, yksi kuukausi — johtuvat suoraan Euroopan unionin direktiivin (EU) 2022/2555 21 artiklan 2 kohdan b alakohdasta. Alankomaiden kyberturvallisuuslaissa (Cyberbeveiligingswet) nämä velvoitteet saatetaan voimaan kansallisen lainsäädännön kautta, ja se astuu voimaan 15. elokuuta 2026; siihen asti direktiivi itse on lähde, tämän jälkeen lakiteksti sellaisena kuin se on julkaistu osoitteessa wetten.overheid.nl.