kyselylomake kysyy, kuinka ilmoittaisimme heille tietoturvaloukkauksesta

Tämä kysymys käsittelee ilmoitusmenettelyä, ei ilmoitusvelvollisuutta valvontaviranomaiselle

Asiakas kysyy tässä, kuinka túrtteiden vaaditaanhidastussovittelujen prosessi toimii, ei sitä, oletko jo koskaan ilmoittanut tietosuojarikkomuksesta tietosuojaviranomaiselle. Vaadittava vastaus on prosessin kuvaus: kuinka tunnistat tietoturvapoikkeaman, kenet sitten ilmoitetaan sisäisesti, missä ajassa asiakas saa itse ilmoituksen, ja millä kanavalla. Se on juuri sitä, mihin tietoturvapoikkeamien menettely kuuluu kuulua, jos olet siitä jo laatimasi politiikan perusteella.

Jos sinulla on sellainen dokumentoitu prosessi, vastaus on yleensä "kyllä": sinulla on menettely, vastuuhenkilö ja sovittu ilmoitusaika asiakkaille, joiden tiedot tai järjestelmät ovat mahdollisesti vaarassa. Jos prosessi puuttuu tai se on vain suullinen, "ei" tai "osittain" on tosiasioiden mukainen vastaus — lupaus, että teet sen "jatkossa" ei ole vastaus tänään. Huomio myös toimittajien yhteys: jos poikkeama syntyy kolmannen osapuolen toimesta, joka työskentelee puolestasi, se koskee vaatimuksia, jotka asitat omille toimittajillesi, ja jotkut kysymyslistat kysyvät siitä erikseen.

Miksi tämä kuuluu artiklan 21 kohdan 2 piiriin

Poikkeamien ilmoitusmenettelyt kuuluvat NIS2-direktiivin 21 artiklan 2 kohdan kymmeneen toimenpiteeseen (Direktiivi (EU) 2022/2555); alakohta b mainitsee nimenomaisesti poikkeamien hallinnan. Kyberturvallisuuslaissa, Alankomaiden täytäntöönpanossa, joka tulee voimaan 15. elokuuta 2026, sama velvoite toistuu entiteeteille, joihin laki soveltuu. ISO/IEC 27001 vaatii vastaavan dokumentoinnin liitteessä A poikkeamanhallinnon hallintotoimenpiteissä. Kumpaa kolmesta sinulla on, riippuu siitä, sovelletaanko yhteyttäsi johonkin näistä säännöksistä — se on eri kysymys kuin tämä.