comment dois-je répondre à la question sur notre procédure de notification en cas de fuite de données

La procédure de signalement elle-même, non la fuite de données

La question porte sur votre processus interne, non sur le fait qu'une fuite se soit déjà produite. Le client souhaite savoir s'il existe une procédure documentée pour traiter les incidents de sécurité : qui signale un soupçon, à qui, dans quel délai l'escalade intervient, et qui décide si une autorité de surveillance ou les personnes concernées doivent être informées. C'est la même procédure que celle demandée dans le cadre de la procédure de traitement des incidents de sécurité — une fuite de données est en pratique un type d'incident spécifique au sein de ce processus, non un document distinct.

Si vous disposez de cette procédure, un « oui » peut être justifié par le document lui-même : un plan d'action, une fonction responsable (souvent responsable de la sécurité ou délégué à la protection des données), et un registre des signalements antérieurs comme preuve du fonctionnement du processus. Si une procédure documentée fait défaut, mais qu'existe une ligne informelle (« appelez le propriétaire »), cela ne suffit généralement pas pour un « oui » — le dossier n'a alors pas de source sur laquelle s'appuyer, et le système ne propose pas de réponse dans ce cas. Certains clients demandent également si vous-mêmes êtes soumis à une obligation de signalement ; c'est une question différente de la procédure elle-même, et qui peut être retracée via le statut d'entité relevant de la NIS2.

Pourquoi cela relève de l'article 21 paragraphe 2

L'article 21 paragraphe 2 de la directive NIS2 mentionne la « gestion des incidents » comme l'une des dix mesures obligatoires, et une procédure de signalement des fuites de données en est l'application vers les données personnelles. L'annexe A de la norme ISO/IEC 27001 le développe davantage dans les mesures de contrôle autour de la gestion des incidents, ce qui explique pourquoi les clients ayant une question sur l'ISO acceptent souvent la même procédure comme pièce justificative. La Loi sur la cybersécurité, la transposition néerlandaise, entrera en vigueur le 15 août 2026 et établira également cette obligation au niveau national pour les entités qui en relèvent.